1/8 Procedimiento nº.: E/04030/2014 ASUNTO: Recurso de Reposición Nº RR/00387/2015 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04030/2014 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 31 de marzo de 2015 se dictó resolución por el Director de la Agencia Española de Protección de Datos (AEPD) en el expediente de actuaciones previas de inspección E/04030/2014 en la que se acordó proceder al archivo de las actuaciones practicadas. Dicha resolución fue notificada a A.A.A. en fecha 9 de abril de 2015, como lo acredita el acuse de recibo del Servicio de Correos que obra en el expediente. SEGUNDO: A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 7 de mayo de 2014, recurso de reposición, fundamentándolo, en esencia, en los siguientes argumentos: - 1. Afirma que el Banco Popular “miente” pues ni en la fecha de 20/11/2012 ni en ninguna otra él se presentó en la entidad y modificó la dirección de envío de la correspondencia bancaria de su domicilio (calle (C/..........1)) a otra dirección que nunca ha sido su domicilio (calle (C/..........2)). En prueba de que el Banco Popular, según dice, faltó a la verdad en sus alegaciones cita documentos que figuraban en el expediente: varios recibos girados por el Banco Popular meses antes de la fecha en la que supuestamente el denunciante habría solicitado el cambio en la domiciliación de la correspondencia bancaria (20/11/2012) y en los que ya constaba la dirección errónea. Recibo de adeudo por domiciliación de Vodafone de fecha 26/06/2012; recibo emitido del 02/07/2012, de adeudo por domiciliación de la comunidad de usuarios de aparcamiento XXXXX; un recibo de IBERDROLA de 17/07/2012. - 2. El recurrente invoca de nuevo los documentos aportados con la denuncia relativos a la Información Fiscal de la cuenta finalizada en los dígitos ****8, de la que son cotitulares él y su esposa, que demuestran que el Banco Popular remitió el 25/03/2013 un ejemplar a su nombre a la dirección errónea ( calle (C/..........2)) y otro al de su esposa a la dirección correcta (calle (C/..........1)) - 3. En relación a la SAN que se cita en la Resolución impugnada sobre la infracción del artículo 10 de la LOPD, considera que contradice las Sentencias del Tribunal Constitucional y la Sentencia del Tribunal Supremo 1539/2011. - 4. Declara que el Banco Popular nunca llegó a informarle de que había corregido la dirección de envío y que, por el contrario, la primera vez que el Banco Popular le convocó para hablar de esta cuestión fue el 12/01/2015, mucho tiempo después de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 que hubiera presentado su reclamación -el 07/05/2013- de la que nunca obtuvo respuesta y después de que la AEPD le hubiera requerido información como consecuencia de la denuncia que él presentó en este organismo. Añade que en la reunión de enero de 2015 el Director de la Sucursal del Banco Popular le pidió disculpas, lo que demuestra que existió culpabilidad por parte del Banco. - 5. Pese a insistir en que el Banco Popular jamás le informó, ni verbalmente ni por escrito, de haber rectificado el dato inexacto, reconoce que es cierto que el primer recibo que llegó a su dirección correcta estaba fechado el 8 de mayo de 2013 y que recibió el 21 de mayo 2013, pero insiste en que “no sabía si los siguiente recibos me llegarían a mi dirección correcta o no” - 6. Califica de atentado contra su honor el párrafo de la Resolución que dice que “el denunciante permaneció durante un año, según sus explicaciones y durante más de seis meses según la versión del BANCO POPULAR sin recibir correspondencia de dos cuentas bancarias de las que es titular y no acudió a la sucursal para interesarse por un asunto que le concierne”. Considera que en él se culpabiliza de los hechos debido a su supuesta falta de diligencia. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, que reiteran básicamente las ya realizadas en el escrito de denuncia, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, basada en los fundamentos jurídicos que se trascriben a continuación: <<IV El artículo 10 de la LOPD se ocupa del deber de secreto y tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus titulares. Como ha declarado el Tribunal Constitucional este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Derecho fundamental a la protección de los datos que “persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino”, (STC 292/2000), que impida que se produzcan situaciones atentatorias con la dignidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. La Audiencia Nacional, de manera reiterada, ha considerado que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (SAN de 11/06/2009). Pueden citarse a título de ejemplo las SAN de 12/06/2013, Rec. 403/2011, y 29/05/2013, Rec. 356/2012, que confirman las sanciones impuestas por la AEPD por vulneración del artículo 10 de la LOPD y que ponen el acento en que existió una efectiva revelación de datos a un tercero no legitimado para acceder a tales datos Partiendo de tal premisa hay que concluir que por lo que atañe a los hechos denunciados no se ha llegado a acreditar que los datos personales del denunciante relativos a sus dos cuentas bancarias hayan sido conocidos por alguna persona distinta del propio denunciante. Lo único que ha quedado probado es que la entidad financiera denunciada envió documentación de las cuentas del denunciante a la dirección de la calle (C/..........2) figurando siempre como destinatario de la comunicación el nombre y dos apellidos del denunciante. Sobre este particular hay que añadir que no se tiene noticia de que alguien con esos datos personales esté domiciliado en la dirección a la que se envió el correo postal. Es más, a requerimiento de la Inspección el BANCO POPULAR ha informado de que en sus sistemas no consta ninguna persona con idéntico nombre y apellidos a los del denunciante y con domicilio en la calle (C/..........2). Se concluye, por tanto, que como se dijo en la resolución recaída en el E/05053/2013, no están presentes en los hechos sobre los que versa la presente denuncia los elementos que integran la conducta típica descrita en el artículo 44.3.
- d)de la LOPD en relación con el artículo 10 al no quedar acreditado el suministro de datos a tercero alguno. V El denunciante invocó en el escrito de interposición del recurso de reposición (RR/00417/2014) -en cuya resolución se acordó la práctica de actuaciones de investigación en el expediente E/0430/2014 que nos ocupa- la Sentencia del Tribunal Supremo, Sala de lo Contencioso Administrativo, de 29/03/2011 (Rec 4153/2008) por considerar que el pronunciamiento que en ella se hace era extrapolable a los hechos que denuncia. La citada STS resolvió el recurso de casación interpuesto contra la Sentencia de la Audiencia Nacional que estimó parcialmente el recurso contencioso administrativo formulado contra la resolución de la AEPD que había sancionado al RACE de Cataluña por la comisión de dos infracciones de la LOPD, artículos 4.3 y 11, tipificadas en los artículos 44.3.
- d)y 44.4.b), respectivamente, de la citada norma. En su Sentencia, el Tribunal Supremo confirmó la dictada por la Audiencia Nacional, que había dejado sin efecto la sanción impuesta por la AEPD por una presunta infracción del artículo 11 de la LOPD y ratificado la sanción impuesta por la infracción del artículo 4.3 de la LOPD. Este último precepto consagra el principio de exactitud y veracidad de los datos, manifestación del principio de calidad de los datos. Los hechos en los que se materializó la vulneración del principio de exactitud o veracidad, cuya infracción fue sancionada por la AEPD y confirmada en vía contenciosa tanto por la Audiencia Nacional como por el Tribunal Supremo, consistieron en que, pese a que la persona afectada se había dado de baja del RACE de Cataluña como “beneficiaria” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 de su ex marido y de alta como socia, cuando su ex marido cambió de domicilio el RACE modificó también el domicilio de la afectada asignándole a ella el domicilio de aquel, de quien no era beneficiara y con quien no tenía ninguna relación, con la consecuencia de que, puesto que la afectada había contratado con LA CAIXA la tarjeta “RACC MASTER”, el RACE comunicó a la entidad financiera un domicilio que no era correcto, no era el de la afectada sino el de su ex cónyuge, y LA CAIXA envío al domicilio del ex cónyuge sus movimientos bancarios asociados a la tarjeta contratada. A la vista de la resolución que se invoca procede examinar si los hechos sobre los que versa la denuncia pudieran ser constitutivos de una infracción del principio de calidad de los datos previsto en el artículo 4.3 de la LOPD y si, en tal caso, debe acordarse la apertura de un expediente sancionador. La respuesta a esta cuestión exige subrayar algunas circunstancias relevantes que están presentes en los hechos denunciados. En primer término, la documentación que obra en el expediente acredita que el BANCO POPULAR, inicialmente, incorporó de manera correcta a sus sistemas informáticos los datos personales del denunciante vinculados a las dos cuentas corrientes contratadas por él y cuyos últimos dígitos son **27 y **7. Esto es, incorporó como dirección de envío de la correspondencia la de la calle (C/..........1). Domicilio que consta en el contrato relativo a la segunda de las cuentas corrientes citadas cuya copia obra en el expediente. Es más, el denunciante ha aportado documentación que demuestra que en octubre de 2012 la entidad financiera le enviaba los justificantes bancarios a la dirección de la calle (C/..........1). En segundo término, el denunciante reconoce que el BANCO POPULAR rectificó el dato -presuntamente inexacto- del domicilio de envío de correspondencia volviendo así a recibir la documentación en la calle (C/..........1). Afirma que el 21/05/2013 llegó a su domicilio el documento de adeudo por domiciliación de una póliza de seguro, cuya copia aporta, en el que consta impresa la dirección de la calle (C/..........1) y la fecha de emisión “08/05/2013”. Además el denunciante ha aportado una impresión de pantalla procedente de la página web http://www2.bancopopular.es, con la rúbrica “Justificante de operación” y la indicación “Comunicación cliente sucursal”, que está fechada el 07/05/2013. Se trata del mensaje que envió a la denunciada explicando que el día anterior había descubierto que desde hacía casi un año le estaban enviando a “otra persona” los documentos, extractos y demás documentación que la entidad genera y que los envíos se hacen a A.A.A. a la calle (C/..........2), que su dirección, que nunca ha cambiado, es calle (C/..........1). Finaliza advirtiendo: “Les exijo que de forma inmediata, corrijan esa deficiencia y me informen por escrito y de forma detalla sobre las circunstancias de estos hechos”. El BANCO POPULAR, por su parte, ha reconocido que existió un cambio en la dirección de envío de correspondencia del denunciante. Sin acreditar la versión de los hechos que ofrece argumenta que, según sus registros informáticos, fue el mismo denunciante quien en fecha 20 de noviembre de 2012 modificó la dirección de envío. Añade que tal modificación se hizo personalmente por él en la oficina urbana número 39, del Paseo de las Delicias 104, y previa exhibición de su DNI En resumen, el BANCO POPULAR incluyó en sus registros informáticos, asociado al denunciante, un dato que pudiera ser inexacto –el de la dirección de la calle (C/..........2), a la que ha estado enviado durante meses las comunicaciones generadas por la relación contractual que les vincula-. No obstante, a diferencia de lo descrito en la STS de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 29/03/2011 que invoca, no se produce la implicación ni el envío a ningún tercero como sucede en el caso referido (al domicilio del ex cónyuge). Tampoco puede obviarse, por otra parte, que el dato presuntamente inexacto fue corregido de inmediato por la entidad denunciada. Como se ha indicado, el día 07/05/2013 el denunciante comunicó al Banco Popular, a través de su página web, que la noche anterior había conocido que los documentos se enviaban a una dirección que no era la suya y que el día 21/05/2013 recibió en su domicilio –calle (C/..........1)- un documento bancario que lleva impreso como fecha de emisión el 08/05/2013. Todo lo cual confirma que el BANCO POPULAR obró con gran diligencia para rectificar el dato supuestamente inexacto, pues en un periodo de veinticuatro horas hizo las correcciones oportunas. Llegados a este punto debemos indicar que cuando el ordenamiento jurídico admite varias soluciones alternativas como reacción ante una conducta resulta más adecuado acudir, en primer término, a las fórmulas procedimentales menos restrictivas de los derecho individuales, en definitiva menos gravosas, al amparo del principio de intervención mínima conforme al cual el mecanismo sancionador es la última ratio; de manera que el procedimiento sancionador entra en juego sólo cuando sea la única solución posible, por no existir otras fórmulas alternativas o porque el responsable de la conducta no ha acudido a estas vías alternativas. En esa línea la LOPD dispone en el artículo 4.4 que “Si los datos de carácter personal registrados resultaren ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. A su vez, el Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD (RLOPD), en su artículo 8.5 establece: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. (…) Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello. (…) Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) Trasladando las reflexiones precedentes a los hechos sobre los que versa la denuncia -y al haber quedado acreditado que el BANCO POPULAR obró con diligencia y rectificó el dato presuntamente inexacto del domicilio de correspondencia que constaba en sus ficheros asociado al denunciante nada más tener noticia, a través del correo interno de la entidad, de cuál era la voluntad de su cliente- a la luz del principio de intervención mínima, cabe concluir que no se dan en los hechos examinados las razones que justifiquen la incoación de un expediente sancionador. En consecuencia, procede acordar el archivo de las presentes actuaciones de investigación previa. Por último – pese a que no se da validez a la versión que la denunciada ha ofrecido sobre el origen del cambio del domicilio de envío de la correspondencia- es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 obligado destacar la inactividad y falta de diligencia demostrada por el denunciante en relación a estos hechos. El denunciante permaneció durante un año, según sus explicaciones, y durante más de seis meses, según la versión del BANCO POPULAR, sin recibir correspondencia de dos cuentas bancarias de las que es titular y no acudió a la sucursal bancaria (que según explicó está junto a su domicilio) para interesarse por un asunto que le concierne directamente.>> III Parece oportuno, finalmente, hacer las siguiente consideraciones en relación a los argumentos que el recurrente esgrime en su escrito de recurso. - a. Respecto a la falsedad que, presuntamente, cometió el Banco Popular en las alegaciones que hizo a la AEPD en respuesta al requerimiento informativo que le dirigió, y según las cuales el denunciante se habría presentado en sus oficinas el 20/11/2012 y modificado la dirección de envío de la correspondencia postal, hay que subrayar que la AEPD en la resolución que se impugna, en ningún momento ha dado por ciertas las citadas declaraciones ni éstas han sido tomadas en consideración como fundamento de la resolución de archivo de actuaciones que ahora se recurre. Así, en el Fundamento III de la Resolución la Agencia se limita, única y exclusivamente, a describir la versión de los hechos que el Banco Popular ofreció en su escrito de alegaciones. En el Fundamento de Derecho V se vuelve a hacer mención al alegato del Banco Popular, pero tampoco en este apartado se acepta la versión ofrecida por la denunciada. La resolución se limita a decir que “El BANCO POPULAR, por su parte, ha reconocido que existió un cambio de la dirección de envió de correspondencia del denunciante. Sin acreditar la versión de los hechos que ofrece, argumenta que, según sus registros informáticos, fue el mismo denunciante quien en fecha 20 de noviembre de 2012 modificó la dirección de envío. Añade que tal modificación se hizo personalmente por él en la oficina urbana número 39 del paseo de las Delicias 104, previa exhibición de su DNI.” Como demuestra la lectura de este párrafo, la AEPD se ha limitado a reproducir las alegaciones de una parte y, al tiempo, a subrayar que su versión de los hechos no ha quedado probada. En definitiva, la circunstancia de que el BANCO POPULAR hubiera remitido a la dirección errónea el correo postal del denunciante mucho tiempo antes de que, según su propia versión de lo ocurrido, el denunciante, supuestamente, hubiera solicitado a la entidad financiera que modificara la dirección de los envíos, no desvirtúa los argumentos en los que se apoya la resolución de archivo que nos ocupa, pues las razones en las que se sustenta la resolución que la AEPD dictó son ajenas a tal circunstancia, como lo evidencia el texto de los Fundamentos IV y V que han sido trascritos. - C/ Jorge Juan, 6 28001 – Madrid b. Por lo que concierne a la discrepancia del recurrente con el criterio seguido por la Audiencia Nacional en relación a la infracción www.agpd.es sedeagpd.gob.es 7/8 del artículo 10 de la LOPD, que en su opinión contradice las Sentencias del Tribunal Constitucional y la Sentencia del Tribunal Supremo 1539/2011, esta Agencia no puede sino reiterar la Doctrina seguida por la Audiencia Nacional y, por tanto, el sentido de la resolución impugnada. - c. Alega que el Banco Popular nunca le informó de que había corregido la dirección de envío y advierte que la primera vez que el Banco Popular le convocó para hablar de esta cuestión fue el 12/01/2015, mucho tiempo después de que hubiera presentado su reclamación -el 07/05/2013- de la que nunca obtuvo respuesta y después de que la AEPD hubiera requerido a esa entidad información como consecuencia de la denuncia que había formulado en este organismo. La AEPD en su Resolución en ningún caso dice que la entidad denunciada hubiera informado al recurrente de que había corregido la dirección de envío”. Lo que sí indica en la Resolución impugnada es lo siguiente: “Tampoco puede obviarse, por otra parte, que el dato presuntamente inexacto fue corregido de inmediato por la entidad recurrente”. Lo que es distinto de decir que el BANCO POPULAR le hubiera informado de que había corregido la irregularidad cometida. Es más, esa afirmación que la AEPD hace en la Resolución -que “(…) el dato presuntamente inexacto fue corregido de inmediato por la entidad recurrente”se apoya en las propias manifestaciones del recurrente. Fue él quien declaró en la denuncia y reiteró en el recurso que el 07/05/2013 había informado al BANCO POPULAR que el día anterior había descubierto que desde hacía un año estaba enviado a otra persona “los recibos que pago, los extractos bancarios y cualquier otra información que generan” en relación con la cuenta cuyos últimos dígitos son ****8. También manifestó que el 21/05/2013 recibió en su casa, en el domicilio de la calle (C/..........1), el justificante de pago a MAPFRE que evidenciaba que el problema se había resuelto. Son estas circunstancias las que llevaron a la AEPD a apreciar que el BANCO POPULAR obró diligentemente en la corrección del dato inexacto. - d. Sobre el atentado contra su honor que a su juicio del denunciante se comete en la Resolución impugnada, basta indicar que la AEPD ha puesto de relieve un hecho que el recurrente menciona en su escrito: que desde el mes de junio de 2012 y hasta mayo de 2013 “todos los recibos que tengo domiciliados en el Banco han sido remitidos a (…) una dirección que no es la mía” y que no fue hasta el 07/05/2013 cuando hizo una reclamación al Banco Popular a través de la página web. IV Por tanto, dado que en el presente recurso de reposición no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, pues los expuestos por el recurrente no desvirtúan los razonamientos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 sustentan la citada resolución, recogidos en los Fundamentos IV y V que se han reproducido, procede acordar su desestimación Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 31 de marzo de 2015 en el expediente de actuaciones previas de inspección E/04030/2014. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción introducida por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es