1/4 Procedimiento nº.: PS/00179/2016 ASUNTO: Recurso de Reposición Nº RR/00791/2016 Examinado el recurso de reposición interpuesto por la entidad UNICAJA BANCO SAU contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00179/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 10/10/2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00179/2016, en virtud de la cual se imponía a la entidad UNICAJA BANCO SAU, una sanción de 50.000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13/12 (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.
- b)de dicha norma, de conformidad con lo establecido en el artículo 45.2, y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 13/10/2016 por servicio de mensajería privado y el 18/10/2016 por el servicio de Correos, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12.- RLOPD SEGUNDO: Como hechos probados del citado PS/00179/2016, quedó constancia de los siguientes: procedimiento sancionador, 1) En el procedimiento sancionador PS/00390/2012, en el que además de la ahora denunciante figuraba como tal, también A.A.A., se resolvió por esta AEPD el 21/01/2013, y así figuraba en hechos probados: “PRIMERO: Las personas denunciantes han manifestado que no mantienen relación alguna con la entidad Unicaja Banco SAU. SEGUNDO: En la base de datos Unicaja Banco SAU figuran los siguientes datos de las personas denunciantes: A.A.A. con DNI ***DNI.1 y B.B.B. con DNI ***DNI.2, como titulares del contrato firmado de libreta de ahorro ordinario de la cta. ***CCC.1, junto con sus datos personales de fecha de nacimiento, domicilio y profesión. La libreta estuvo abierta de 12/08/2004 a 25/02/2011. TERCERO: Unicaja Banco SAU afirma -pero no acredita- en su informe de 21/06/12 que los accesos del día 19 de mayo de 2011 al fichero de solvencia ASNEF, se llevaron a cabo como actuación previa a la constitución de un Aval Bancario que deberían formalizar A.A.A. y B.B.B., como consecuencia de las negociaciones sobre el alquiler de vivienda propiedad de una empleada de la Entidad, según acuerdo entre partes. CUARTO: El día 23/05/11 A.A.A. hizo una llamada telefónica al banco para que le dieran razón por el acceso a Asnef detectado. Unicaja ese mismo día a las 11:22.07.2 horas efectúa nueva consulta a los datos de A.A.A. en Asnef. Ese mismo día, por correo electrónico a las 13:36 horas, le solicita al denunciante copia de la información de Asnef C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 donde conste lo que denuncia, ya que no tienen constancia que desde la entidad se haya hecho consulta alguna. QUINTO: Unicaja Banco SAU, en aras de seguir manteniendo los procedimientos de control que garantizan la confidencialidad en las actuaciones, afirma -y aporta copiaque emitió una nueva circular interna la 24/12 "Bases de Datos de Solvencia, Procedimientos de consultas, finalidad y limitaciones legales". Asimismo en antecedentes de la resolución, en el SEGUNDO, figura en el punto 3 que el 21/06/2012 se recibe correo electrónico de UNICAJA en el que en respuesta a la solicitud de información remitida el 11/06/2012, manifiestan: “Los denunciante firmaron un contrato de apertura de cuenta corriente el 12/08/2004 que en los sistemas de la entidad consta como cancelada el 25/02/2011 La sanción impuesta en dicho procedimiento fue de 40.000 euros. (19 a 29, 32, 53, 55, 59 A 61). 2) Con fecha 20/05/2015, B.B.B. efectúa nueva denuncia contra la misma denunciada, acompañando copia de consultas al fichero BADEXCUG por UNICAJA BANCO SAU en los últimos seis meses, referidos a 5/05/2015. La denunciante ha manifestado que no mantiene relación alguna con la entidad UNICAJA BANCO SAU ni otorgó el consentimiento para dicha consulta. (1, 4, 5). 3) La denunciada no acredita que la consulta se haya producido vigente algún tipo de relación contractual entre las partes, considerando que el contrato de adhesión a los servicios a distancia de 12/08/2004 figuraba vinculado a la cuenta ***CCC.1, que era un contrato de libreta de ahorro ordinario, y dado que esta figuraba cancelada desde 25/02/2011.(11, 13 a 16, 20, 55, 59, 60, 61). “ TERCERO: UNICAJA BANCO SAU ha presentado en fecha 11/11/2016 en Correos (sello de registro en AEPD 16/11/2016), recurso de reposición fundamentándolo, básicamente, en:
- a)Reitera que existía consentimiento para el tratamiento de los datos de la denunciante al existir relación contractual, dando tal carácter al contrato de adhesión a los servicios a distancia de UNICAJA. Este contrato tiene una duración indefinida salvo denuncia unilateral por cualquiera de las partes, aunque el contrato de cuenta corriente fue cancelado. En virtud de dicho contrato, con la consulta en los ficheros habrían procedido a efectuar actuaciones tendentes al normal mantenimiento y cumplimiento de la relación negocial existente y vigente con una finalidad concreta establecida en el contrato.
- b)Reiteran que subsidiariamente existía interés legítimo en la consulta-tratamientoque no vulnera los derechos y libertades del interesado, si bien el interés lo cifra en que existía una relación negocial existente y vigente 10.3.
- b)del RLOPD.
- c)Reitera que se debería aplicar el apercibimiento, no la sanción. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por UNICAJA BANCO SAU, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho III que se trascribe: “III En cuanto a la alegación de la denunciada de la acreditación del consentimiento, constituye doctrina reiterada y consolidada de la Audiencia Nacional que, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la Ley, sólo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. En el presente caso, dadas las especificas circunstancias concurrentes y la relación de hechos probados a través de la documentación que consta en el expediente, resulta que la denunciada declara la vigencia de una relación contractual de 2004, cuando la cuenta asociada a dicho contrato se canceló el 2011, no acreditándose la vigencia de la cuenta vinculada misma sino que en sus sistemas estaba cancelada desde 25/02/2011. Por otro lado, no se justifica que dicha relación contractual y su pretendida vigencia per se, justifique o motive la consulta para enjuiciar la solvencia de la denunciante, que es lo que se pretende con dicho acto. Sobre la aplicación del procedimiento de apercibimiento, dada la reiteración de la conducta, que tiene antecedentes de procedimiento anterior y la entidad de la denunciada, no procede la aplicación de dicho procedimiento.” Por lo tanto, en el presente recurso de reposición, UNICAJA BANCO SAU no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por UNICAJA BANCO SAU contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 10/10/2016, en el procedimiento sancionador PS/00179/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad UNICAJA BANCO SAU. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es