1/6 Procedimiento nº.: E/05075/2013 ASUNTO: Recurso de Reposición Nº RR/00569/2014 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05075/2013 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 09/06/2014 se dictó resolución por el Director de la Agencia Española de Protección de Datos (AEPD) en el expediente de actuaciones previas de inspección E/05075/2013 en la que se acordó el archivo de la denuncia presentada por A.A.A. contra NOVAGALICIA BANCO, S.A.U., por una presunta infracción del deber de secreto consistente en haber facilitado información personal de carácter financiero a su madre, D.ª B.B.B., procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución fue notificada a la recurrente en fecha 17/06/2014, como lo acredita el acuse de recibo que obra en el expediente. SEGUNDO: A.A.A. (en lo sucesivo la recurrente) presentó el 15/07/2014 recurso de reposición, que tuvo entrada en la AEPD en fecha 21/07/2014, fundamentándolo en los mismos argumentos expuestos en su denuncia. La recurrente disiente del criterio de la AEPD y considera que los hechos denunciados quedaron debidamente acreditados a través de los documentos que aportó en su día. A saber, “la documental a la que por la Directora de la Sucursal de Carballo (A Coruña) de la entidad bancaria denunciada hizo entrega a mi madre, Doña B..O. V., y en concreto de la Información General de contratos, cuentas corrientes y otros productos financieros de mi titularidad” y el documento firmado por la madre de la denunciante, B.B.B., mediante el que confirma los hechos que se denuncian. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 En relación a lo manifestado por la recurrente, que reitera los argumentos expuestos en su escrito de denuncia, procede indicar que tales cuestiones fueron analizadas en la Resolución impugnada cuyos Fundamentos Jurídicos II y III se reproducen: <<II El artículo 10 de la LOPD bajo la rúbrica “Deber de secreto” dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este precepto tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus titulares. La Audiencia Nacional, de manera reiterada, viene considerando que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (por todas SAN de 11/06/2009). El Tribunal Superior de Justicia de Madrid en Sentencia de 19/07/2001 afirmó que “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. (El subrayado es de la AEPD) En idéntico sentido se ha pronunciado la Audiencia Nacional, que en Sentencias de 14/09/2001 y 29/09/2004 declaró que “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE.” En definitiva, como expone el Tribunal Constitucional, el artículo 10 de la LOPD contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Derecho fundamental a la protección de los datos que “persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino”, (STC 292/2000), que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 III En relación con el asunto que nos ocupa -la presunta infracción del deber de secreto que se atribuye a NOVAGALICIA, materializada en la revelación, tanto verbal como por escrito, de información financiera de carácter personal de la denunciante relativa a los contratos bancarios y a las posiciones de las cuentas de su titularidad abiertas en la citada entidad- , debe advertirse que la denunciante no ha remitido a la AEPD con su denuncia ninguna prueba de la que se infiera la realidad de los hechos que expone. Así, las únicas aportaciones de la denunciante a tal fin son, por una parte, su declaración y, por otra, el testimonio de B.B.B., su madre, a quien presuntamente la entidad financiera denunciada habría revelado información personal de la afectada sin su consentimiento. Ninguno de estos elementos tiene virtualidad suficiente para destruir la presunción de inocencia que garantiza la Constitución Española, artículo 24.
- Así, en respuesta al requerimiento que la Inspección de Datos dirigió a la denunciante para que facilitara a la AEPD “Acreditación o indicios de que el documento número 3 [el que según su versión NOVAGALICIA entregó a su madre, B.B.B., por propia iniciativa, con información confidencial de sus contratos y posiciones bancarias,] fue facilitado en soporte documental a Dña. B.B.B.”, la denunciante envió un escrito firmado por su madre con su “manifestación”, que confirma la versión de los hechos que se relata en la denuncia. En ese escrito B.B.B. indica que la Directora de la oficina bancaria, “Ante el problema suscitado por la no concesión del préstamo pretendido, me planteó la posibilidad de que otra persona me avalase (..) procediendo en ese acto la Sra…a consultar, de forma unilateral, las bases de datos de mis hijas, procediendo en ese mismo acto a informarme, tanto verbalmente, como haciendo entrega de soporte papel de los extractos de cuentas bancarias, saldos y otros productos financieros en los que figuraba como titular (…) A.A.A.…Ese soporte papel que me hizo entrega sin yo solicitarlo, la Directora de la citada sucursal bancaria coincide con el que mi hija aportó como documento nº3 que acompaña a la denuncia interpuesta ante la Agencia de Protección de Datos”. Sobre el nulo valor probatorio de este tipo de declaraciones puede mencionarse la SAN de 14/03/2013 (Rec.394/20111) en la que el Tribunal examinó la infracción del deber de secreto por la que la Agencia había sancionado a la entidad recurrente y en la que se entró a valorar las pruebas que la resolución de la AEPD impugnada había tomado en consideración en orden a acreditar dicha infracción. En particular, respecto a las pruebas esgrimidas por uno de los denunciantes (el número 5), que había “aportado la declaración de su hermano, en la que este manifiesta que ha recibido llamadas de X en su domicilio en las que le comunicaron que su hermano tenía una deuda con dicha entidad”, -prueba que la Agencia consideró suficiente para acreditar la comisión de una infracción del deber de secreto-, la Audiencia Nacional llega a una conclusión opuesta y dijo que “la citada declaración aportada por el denunciante 5 carece de consistencia para desvirtuar la presunción de inocencia que ampara a X y acreditar la infracción del deber de secreto imputada”, por lo que estimó el recurso y anuló la sanción impuesta por la Agencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Es más, a la falta de pruebas de la denunciante que corroboren su versión de los hechos, se añade la circunstancia de que la declaración facilitada por NOVAGALICIA durante las actuaciones de investigación previa contradice frontalmente la versión de la denunciante y de su madre, B.B.B. NOVAGALICIA ha informado que no dispone de documentación acreditativa de la solicitud realizada por la denunciante que haya dado lugar a la obtención de los datos que figuran en el documento que esta dice que se entregó a su madre, porque para que una oficina de la entidad pueda proporcionar al cliente que la solicita información sobre sus posiciones bancarias no se le requiere que haga una solicitud por escrito sino, únicamente, que se identifique debidamente mediante el DNI u otro documento fehaciente, a fin de garantizar que quien solicita la información y la obtiene es el titular de la misma. Y, en consonancia con ello, añade que su Norma General 14/2011 “prohíbe categóricamente facilitar datos de un cliente a cualquier otra persona, salvo que esta acredite encontrarse debidamente autorizada por dicho cliente (..) para recabar y obtener información, (..) prohibición que habrá de observarse incluso cuando la persona solicitante de la información acredite relación familiar, por próxima que sea, con el cliente al que los datos conciernan” Así las cosas, ante la falta de pruebas que confirmen los hechos denunciados, debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “
- Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en STS de 26 de octubre de 1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por su parte el Tribunal Constitucional en STC 24/1997 ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que: a) La prueba indiciaria ha de partir de hechos plenamente probados. b) Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” De la exposición precedente se concluye que el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. Muy significativa es la precitada SAN de 14 de marzo de 2013 (Rec.394/20111), en la que el Tribunal examinó la infracción del deber de secreto por la que la Agencia sancionó a la entidad recurrente, por revelar a terceros datos personales del denunciante (entre ellos su condición de moroso). La Sentencia estimó el recurso contencioso administrativo interpuesto contra la resolución sancionadora, por una infracción del artículo 10 LOPD, por cuanto el Tribunal consideró que la Agencia no había acreditado suficientemente que la entidad hubiera facilitado a terceros información sobre sus clientes. La citada SAN comienza recordando “El principio de presunción de inocencia recogido en el artículo 24.2 de la Constitución y 1371 de la LRJPAC, y que la doctrina del Tribunal Constitucional ha considerado aplicable al derecho administrativo sancionador (…) implica que la carga de la prueba de los hechos constitutivo de la infracción recaiga sobre la Administración…”. Y concluye que “al no haberse acreditado la infracción del deber del secreto por la que ha sido sancionada la entidad demandante” se estima el recurso y se anula la sanción impuesta. (El subrayado es de la AEPD) A la luz de las consideraciones precedentes y toda vez que en el asunto que nos ocupa la denunciante no ha aportado pruebas, ni siquiera indiciarias, de las que se infiera la comisión de una infracción del artículo 10 de la LOPD que atribuye a NOVAGALICIA,, en aplicación de los principios que rigen en el procedimiento administrativo sancionador, procede acordar el archivo de las presentes actuaciones.>> En la misma línea argumental de la resolución que se impugna cabe citar la Sentencia de la Audiencia Nacional de 25/05/2001 (Rec. 29/2000) en la que el Tribunal, ante la posibilidad de que una información pudiera partir de una pluralidad de sujetos, señala que “de la valoración de la prueba obrante en el expediente administrativo se llega a la conclusión que no ha quedado debidamente acreditado este hecho integrador del tipo, es decir no se prueba que el Banco entregara al Sr... el respectivo extracto, suscitándole este hecho concreto serias dudas, frente a la exigible certidumbre”. Añade que “sin negar que pudieron producirse los hechos como indica la denunciante, tampoco puede rechazarse la posibilidad que el extracto no le fuera entregado al marido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 por el Banco, sino que aquel lo obtuviera aprovechando alguna visita al domicilio o mediante la actuación de algún familiar, dicho ello en términos de pura hipótesis”. Y termina afirmando que la “Sala llega a la conclusión de no haberse probado debidamente el hecho de la entrega del extracto por personal del Banco sancionado al Sr…., hecho que le suscita dudas, por lo que procede a la estimación del recurso”, dejando sin efecto la sanción que la AEPD había impuesto a la entidad bancaria. III Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 09/06/2014 en el expediente de actuaciones previas de inspección E/05075/
- SEGUNDO: NOTIFICAR la presente resolución a A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es