← España

REPOSICION-PS-00235-2017

1/15 Procedimiento nº.: PS/00235/2017 ASUNTO: Recurso de Reposición Nº RR/00972/2017 Examinado el recurso de reposición interpuesto por la entidad CAIXABANK, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00235/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 15 de noviembre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00235/2017, en virtud de la cual se imponía a CAIXABANK, S.A., una sanción de 40.001 € (cuarenta mil un euros), por la vulneración de lo dispuesto en el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 92.3 y 108 del RLOPD, infracción tipificada como grave en el artículo 44.3.h), de conformidad con lo establecido en en los apartados 2 y 4 del artículo 45 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 16 de noviembre de 2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00235/2017, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: A mediados de diciembre de 2016 la denunciante presentó en la oficina ***OFICINA.1 de CAIXABANK, S.A. solicitud de liquidación del Plan de Pensiones Individual de su titularidad, aportando junto a la misma informes médicos, historial clínico y tratamientos médicos seguidos a fin de justificar la contingencia de enfermedad grave causante de la prestación solicitada. (folios 1 al 3) SEGUNDO: Con fecha 20 de enero de 2017 la denunciante presentó ante la Junta de Andalucía, Consejería de Gobernación, una reclamación contra CAIXABANK por la pérdida de la documentación aportada, en la que señalaba que: (folio 3) “Para el rescate del plan de pensiones, en esta oficina se han presentado los papeles entre, los cuales informes médicos, tratamiento de psiquiatría, que según empleados de la oficina han sido enviados por valija por motivos de seguridad y protección de datos e informes médicos sobre el 20-12-16”, añadiendo que “A fecha 20-01-17 la documentación no está entregada, está extraviada. No saben dónde están, informes médicos. No se cumplen medidas de protección de datos.” En la misma reclamación, la representante de la oficina ***OFICINA.1 de CAIXABANK hacía las siguientes observaciones respecto del extravío de la documentación objeto de la reclamación: “La documentación se envió por el circuito indicado en el procedimiento y nos comunican del Centro Destino que no ha llegado. Mientras se ha reclamado a este departamento que lo busquen se le comunica a la clienta si nos los puede de nuevo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 entregar para ir adelantando el procedimiento.” TERCERO: Con fecha 27 de enero de 2017, el Servicio de Atención al Cliente de CAIXABANK, comunicó a la denunciante: (folio 4) “Distinguida señora: Contestamos su reclamación de fecha 20 de enero, relativa a la documentación de un rescate de plan de pensiones enviada desde la oficina ***OFICINA.1 y que no ha llegado al departamento correspondiente. En primer lugar deseamos pedirle disculpas por las molestias que le hayamos podido ocasionar, ya que la entidad y sus empleados son especialmente sensibles a la hora de custodiar los datos personales, tratando siempre la información confidencial de nuestros clientes dentro de un estricto respecto. Asimismo, nos comunican que en documentación correspondiente.(…)” fecha 24 de enero se ha vuelto a enviar la CUARTO: Con fecha 9 de febrero de 2017 la Guardia Civil del Puesto Principal de ***LOCALIDAD.1 levanta Atestado recogiendo comparecencia de la denunciante, en la que ésta declara que se persona para poner en conocimiento lo siguiente: (folios 37 al 39) “Manifiesta que el pasado mes de Noviembre al solicitar el rescate de un plan de pensiones, en la entidad la Caixa, ésta le solicita informes médicos, historial clínico, tratamiento psiquiátrico, facturas de psiquiatría. Los presentaron, a principio de diciembre en la entidad, exactamente en la sucursal de ***LOCALIDAD.1 . El pasado 20 de diciembre les informa que han mandado por valija la documentación anterior al departamento correspondiente, que el pasado 20 de enero, recibe llamada telefónica de una empleada de dicha sucursal, llamada A.A.A., comunicando que deben volver a entregar toda la documentación porque se ha extraviado. Que vuelven a presentar la documentación y le reclama la anterior, entonces la entidad reconoce que se ha extraviado y reclaman la documentación de forma interna. La denunciante está preocupada por el tipo de documentación que es, ya aparecen datos muy importantes y personales. Que el pasado lunes, día 6, se persona de nuevo en la entidad y le dicen que no sabe dónde está la documentación y no le dan ninguna respuesta”. QUINTO: Con fecha 27 de julio de 2017 la denunciante manifiesta que con posterioridad a la formulación de la denuncia ante la AEPD la denunciada “nunca nos ha contactado ni nos ha comunicado la localización de nuestra documentación”. (folio 33)>> TERCERO: CAIXABANK, S.A., (en lo sucesivo el recurrente), con fecha 18 de diciembre de 2017 presentó a través del Servicio de Correos recurso de reposición, registrado de entrada en esta Agencia con fecha 27 de diciembre de 2017, en el que solicitaba su estimación con fundamento, en síntesis, los siguientes argumentos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 - Primero: De conformidad con la doctrina jurisprudencial existente la carga de la prueba se impone al que insta su cumplimiento, que en este caso sería la denunciante, quien en ningún momento ha podido acreditar qué documentación introdujo en fecha 15/12/16 en el sobre y gué documentación ha sido extraviada. Por su parte, CAIXABANK, tras establecer distinción entre la documentación aportada (sin datos relativos a salud), y la documentación entregada, (susceptible de contener datos de salud), señala que ha probado, conforme figura en el formulario ***FORMULARIO.1 de fecha 15/12/16, que la denunciante aportó en un primer momento: el libro de familia, el NIE, certificados de la seguridad social, certificado de cuenta y solicitud de rescate, todos ellos escaneados por la recurrente, si bien señala que no debió hacerlo con la solicitud de rescate por tener marcada la casilla de enfermedad grave. Se alega también que cuando se exige a CAIXABANK “que pruebe que no se introdujeron por la denunciante informes de salud en un sobre”, se causa indefensión a la recurrente al ser una prueba imposible de probar referida a unos hechos negativos (probatio diabólica o prueba imposible). En caso de no considerarse que la carga de prueba recae en la denunciante, se invoca el principio de presunción de inocencia, conforme lo dispuesto en el artículo 53.2.

  1. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. En relación con dicho principio, aduce que en el ámbito procesal penal y en el del Derecho administrativo sancionador el principio constitucional de presunción de inocencia opera, respecto de la prueba, con una triple exigencia:
  2. a)que la condena vaya precedida de una actividad probatoria adecuada y suficiente;
  3. b)que dicha actividad probatoria se haya desarrollado con escrupuloso respeto a los principios constitucionales inherentes al proceso justo y con todas las garantías que el texto constitucional impone; y,
  4. c)que tal carga probatoria pese exclusivamente sobre los acusadores, sin que nunca pueda hablarse de carga del acusado sobre la prueba de su inocencia. Partiendo de dichas exigencias, en el procedimiento sancionador tramitado ni la Agencia ni la denunciante han podido demostrar que se extraviara ninguna documentación, motivo por el cual CAIXABANK reitera que “no únicamente dispone de las medidas de índole técnica y organizativas necesarias que garantizan la seguridad de los datos de carácter personal, sino que además, estas medidas son adecuadas y efectivamente cumplen con su objetivo puesto que ninguna documentación ha sido extraviada.” -Segundo: Subsidiariamente, CAIXABANK redunda en su afirmación de que la documentación no fue extraviada, por lo que la situación denunciada nunca ha existido, originándose el procedimiento en un error por parte de la oficina de CAIXABANK al no haber tenido en cuenta el comentario de VidaCaixa de fecha 23/12/2016 y haber comunicado a la denunciante que la documentación que había aportado había sido extraviada. La recurrente reitera los argumentos ya expuestos en sus alegaciones a la propuesta de resolución respecto de los documentos que, según afirma, se recibieron por VidaCaixa con fechas 23/12/2016 y 27/01/2017, todo ello después de que la recurrente imprimiese el formulario correspondiente y lo enviara junto al sobre en el que el cliente introduce la documentación con datos de salud, tal y como marca el procedimiento establecido a tales efectos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 En consecuencia, CAIXABANK reincide en documentación: que VidaCaixa recibió la siguiente Con fecha 23/12/2016: 1) Original del Formulario ***FORMULARIO.1 de fecha 15/12/2016; 2) Original y copia de una factura del centro médico ***CENTRO.1 de 50 euros por una terapia psicológica. Con fecha 27/01/2017: 1) Original del Formulario ***FORMULARIO.2; 2)Solicitud de liquidación por Enfermedad Grave; 3). Informe del Centro Médico de la Doctora Hallín. Igualmente, junto al recurso aporta copia de los siguientes documentos ya presentados durante la tramitación del procedimiento: impresión de captura de pantalla de los sistemas de VidaCaixa; copia del original del formulario ***FORMULARIO.1 , que asocia al archivo ***ARCHIVO.1 de la citada captura; copias de las facturas de 50 €, que asocia, respectivamente, a los archivos ***ARCHIVO.2 y ***ARCHIVO.3 de la citada captura; copia del original del formulario ***FORMULARIO.2, que asocia al archivo ***ARCHIVO.4 de la reseñada captura; copia de la solicitud de liquidación, que asocia al archivo ***ARCHIVO.5 ; copia del informe médico, correspondiente con el archivo ***ARCHIVO.6 PDF de la mencionada captura. CUARTO: A los efectos de situar la naturaleza y contenido de los documentos a los que se refiere CAIXABANK en su recurso de reposición, así como el alcance de los argumentos de la recurrente y de los razonamientos esgrimidos en los Fundamentos de Derecho de la resolución recurrida en relación con dichos documentos, se transcribe el Antecedente de Hecho Noveno de la resolución recurrida: <<NOVENO: Con fecha 9 de octubre de 2017 se registra de entrada en esta Agencia escrito de alegaciones de CAIXABANK a la propuesta de resolución solicitando el archivo del procedimiento con fundamento, en síntesis, los siguientes extremos : -La documentación aportada por la denunciante a fin de rescatar un plan de pensiones no se ha extraviado en ningún momento, siendo un error de comunicación entre VidaCaixa, empleados de CAIXABANK y la denunciante. La denunciada resume los hechos acaecidos del siguiente modo 1. Se inició el procedimiento para el rescate de un plan de pensiones y se envió por correo interno cierta documentación que era insuficiente para rescatar un plan de pensiones; 2. La documentación enviada fue recibida por VidaCaixa, pero era insuficiente para analizar el expediente; 3. VidaCaixa solicitó información adicional; 4. El empleado de CAIXABANK interpretó que la documentación ya fue aportada y que, por lo tanto, había sido extraviada, lo que trasladó a la denunciante indicándole que debía volver a aportarla, cuando en realidad, la documentación que se aportó en un primer momento era insuficiente y nunca fue extraviada. Para justificarlo CAIXABANK aporta una serie de documentos que indica han sido proporcionados por VidaCaixa y muestran cómo las manifestaciones de la denunciante indujeron a error a CAIXABANK. A saber: 1. Primer formulario informático con n° de identificador ***FORMULARIO.1 que recoge la documentación enviada desde CAIXABANK a VidaCaixa y el formulario de rechazo de la solicitud con el mismo identificador. Aunque la denunciante señalo que la documentación presentada a mediados de diciembre de 2016 incluía informes médicos, historial clínico y tratamiento seguidos, en los sistemas de CAIXABANK figura que junto a dicho formulario, correspondiente a la solicitud efectuada por la denunciante el 15/12/2016 a las 11:11 horas, desde dicha entidad se adjuntó en formato “pdf” el libro de familia, el NIE, certificados de la seguridad social, certificado de cuenta y solicitud de rescate. Este formulario fue rechazado a las 15:24 horas del mismo 15/12/2016 por los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 sistemas informáticos al estar anexado al mismo el documento "solicitud de rescate" susceptible de contener datos relativos a salud. 2. Con fecha 23/12/16 se recibe en VidaCaixa por correo interno el original del formulario ***FORMULARIO.1 y original y copia de una factura del centro médico ***CENTRO.1, S.L por una terapia psicológica, demostrándose así que la documentación aportada por la denunciante el 15/12/21016 en la oficina de CAIXABANK al iniciar los trámites para el rescate del plan fue recibida en VidaCaixa en fecha 23/12/2016. 3. Segundo formulario informático con nº de identiflcador ***ID.1 solicitando el 23/12/2916 información adicional a la recibida en esa fecha. Según captura presentada, desde VidaCaixa se indicó a la oficina que para la tramitación de la prestación era necesario remitir por valija la siguiente documentación adicional: Solicitud de supuesto excepcional de liquidez correctamente cumplimentada y firmada por el beneficiario e informe médico del especialista sobre la patología concreta, tratamiento realizado, evolución y estado actual. 4. Tercer formulario informático con nº de identiflcador. ***ID.2 reiterando la solicitud de información adicional. Como la información adicional no es aportada desde la oficina se abre un nuevo Formulario con núm. ***ID.2 , al que VidaCaixa responde reiterando lo indicado en el segundo formulario. 5. Con fecha 27/01/17 se recibe la documentación física adicional en VidaCaixa: referida en el punto 3 anterior. 6. En fecha 6/02/2017 VidaCaixa traslada respuesta a la oficina de CAIXABANK informando que se ha procedido a denegar la solicitud de rescate del plan de pensiones por no ajustarse a los requisitos exigidos. También se adjunta impresión de pantalla de los sistemas de VidaCaixa donde constan las fechas en las que, según afirma, se recibió documentación procedente de CAIXABANK (días 23/12/17 y 27/01/2017) y el nombre de la documentación recibida. Se justifica la presentación de esta documentación en este momento procedimental señalando que debido al procedimiento establecido para rescatar este tipo de planes de pensiones, en el que el cliente, y no los empleados, es quién introduce la documentación que contenga datos de salud en un sobre blanco, cuando se contestó el Acuerdo de Inicio de Procedimiento no le resultaba posible saber qué información fue efectivamente introducida en el sobre por la denunciante. Ha sido tras contactar con VidaCaixa, que se ha comprobado que los documentos que la denunciante alega haber proporcionado, enviados con fecha 20/12/16, se corresponden con los anexados al formulario n° ***FORMULARIO.1 y con la factura por una terapia psicológica. En consecuencia, la documentación aportada justifica que es falso que se aportasen "informes médicos y tratamiento de psiquiatra” por la denunciante, lo que indujo a error a CAIXABANK. Por lo que la manifestación efectuada por la denunciante en la queja planteada ante la Junta de Andalucía el día 20 de enero de 2017, no se ajusta a la realidad ni a los hechos acaecidos, ya que la documentación presentada prueba que la documentación aportada por la denunciante llegó correctamente a destino, aunque al no ser suficiente para tramitar el plan de pensiones con fecha 17/01/2017 VidaCaixa comunicase a CAIXABANK, y ésta a la denunciante, que para la tramitación de la solicitud era necesario que se aportaran los dos documentos adicionales que no habían sido presentados con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 La declaración de la oficina de ***LOCALIDAD.1 reconociendo el extravío de la documentación se produce por una falta de comunicación entre la oficina y VidaCaixa. De acuerdo con la normativa interna para la gestión de los planes de pensiones, los empleados de CAIXABANK no podían tener acceso al contenido de la documentación aportada en un primer momento por la denunciante. Asimismo, los empleados de la oficina no interpretaron correctamente el escrito remitido por VidaCaixa (formulario con identificador ***ID.2 ) en el que se solicita nueva documentación que no había sido aportada con anterioridad. De igual modo, el Servicio de Atención al Cliente optó por pedir disculpas y asumir la responsabilidad en lugar de ponerse en contacto con VidaCaixa para comprobar qué documentación había sido enviada. Por lo tanto, es la desafortunada mala comunicación entre VidaCaíxa y CAIXABANK la que provoca que la denunciante interprete que la documentación que aportó para el rescate del plan de pensiones fue extraviada, no obstante que ningún documento aportado por ésta fue realmente extraviado. - CAIXABANK, cumpliendo con el artículo 88 del RLOPD, cuenta con un documento de seguridad que recoge las medidas de índole técnica y organizativas acordes a la normativa de seguridad vigente, y en cuyo punto 2.5, relativo al “Traslado de documentación en papel" se hace remisión a la "Norma interna 57: relativa al Servicio de Distribución de Documentación en la Red Territorial: valija, paquetería, mensajería y correspondencia". Se adjunta copia de ambos documentos. Por lo que queda demostrado que las medidas de seguridad implantadas por CAIXABANK son suficientes asegurar la localización de los documentos que contengas datos personales, y ha quedado probado que no se extravió la documentación.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del IV al VI, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<IV En el presente caso CAIXABANK, resulta responsable del tratamiento realizado con la documentación facilitada por la denunciante para rescatar el plan de pensiones de su titularidad por contingencia de enfermedad grave del cónyuge. En lo que respecta a la documentación objeto de extravío, consta en el procedimiento: que con fecha 15/12/2016 la denunciante presentó en la oficina ***OFICINA.1 de CAIXABANK la documentación que le fue requerida por la denunciada para gestionar la tramitación de la solicitud de liquidación del Plan de Pensiones Individual de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 titularidad; que la remisión de esta documentación a VidaCaixa se produjo tanto en soporte papel a través del procedimiento de valija interna implantado para este tipo de supuestos como a través de ficheros en formato “pdf” anexados al formulario nº ***FORMULARIO.1 de fecha 15/12/2016, el cual, según ha afirmado CAIXABANK identifica la solicitud de rescate de la denunciante en los sistemas de la entidad (folio 94). Entre esos documentos inicialmente aportados por la denunciante en la reseñada oficina de CAIXABANK estaban los informes médicos y el tratamiento de psiquiatría citados por ésta en la reclamación presentada, con fecha 20/01/2017, ante la Consejería de Gobernación de la Junta de Andalucía contra CAIXABANK por extravío de la documentación presentada, tal y como evidencia que en el apartado de “Observaciones de la empresa sobre los Hechos Reclamados” cumplimentado por la oficina de ***LOCALIDAD.1 de CAIXABANK no se cuestiona en forma alguna que dicha documentación fuera presentada por la denunciante a mediados de diciembre de 2016. Al contrario, la parte reclamada (CAIXABANK) afirma que la documentación a la que se refiere la reclamante fue enviada por el circuito indicado en el procedimiento, puntualizando también que dicha documentación no había llegado al centro de destino según la información facilitada desde el mismo. Dicho procedimiento, establecido para garantizar la confidencialidad de los datos de salud aportados por los clientes, requería que el traslado de la documentación física aportada por la denunciante se efectuase por valija interna, mecanismo que también se usó cuando la denunciante volvió a presentarla por extravío de la anterior a finales de enero de 2017. Sentado lo cual, del conjunto de elementos de juicio obrantes en el procedimiento se desprende que la información concerniente a datos de carácter personal de salud de la denunciante y de su cónyuge presentados por aquélla en la mencionada oficina, y necesarios para poder justificar ante VidaCaixa que se producía la contingencia de enfermedad grave que motivaba la solicitud de rescate del citado plan de pensiones de su titularidad, comprendía los siguientes documentos: -La solicitud de rescate del plan firmada por la denunciante con fecha 22 de noviembre de 2016. Este documento está relacionado entre los ficheros anexados en formato “pdf” que constan en la casilla “Ficheros anexos” del formulario con identificador nº ***FORMULARIO.1 de fecha 15/12/2016, contenido en el documento nº 1 aportado por CAIXABANK (folio 102), en cuyos “Comentarios de la oficina” consta la siguiente Nota: “Se considera datos de salud los relativos a las contingencias de invalidez y dependencia y el supuesto de liquidez de enfermedad grave, así como las contingencias vinculadas a partícipes discapacitados.” (folio 103) El formulario citado fue rechazado por VidaCaixa con fecha 15/12/2016 (folio 103) por no poder “tramitar dicha petición, dado que en la misma se anexan documentos con datos de salud. En este sentido, lamentamos informar que debemos proceder al cierre del formulario y que, para atender esta petición, será necesario la apertura de nuevo formulario sin anexar la documentación con datos de salud, la cual deberá remitirse, por valija, según lo indicado en la propia Norma (…)”. A su vez, la aparición en este documento nº 1 de la casilla antes citada, que muestra la captura de una relación de ficheros anexos en formato “Pdf” al formulario, pone de relieve, en contra de lo afirmado por CAIXABANK, que los empleados de la reseñada oficina bancaria conocían la naturaleza exacta de los documentos aportados por la denunciante, ya que se reseñaron en el formulario con identificador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 nº ***FORMULARIO.1 remitido desde la misma a VidaCaixa con fecha 15/12/2016, sucursal desde la que también se enviaron por valija los documentos físicos que hasta la fecha CAIXABANK no ha justificado llegaron físicamente a su destino, en concreto al Departamento de Operaciones-Planes de Pensiones (***DEPART.1). Por otro lado, conviene señalar que contrastando la información que aparece en dicho formulario con identificador nº ***FORMULARIO.1 con otros documentos también aportados por CAIXABANK, se considera que la referida casilla no muestra la totalidad de los documentos presentados por la afectada a mediados de diciembre de 2016, ya que mientras el reseñado documento nº 1 muestra detalle de cinco ficheros anexos (folio 102), resulta que en el documento nº 4, asociado al formulario con identificador nº ***ID.3 creado el 16/12/2016, sólo detalla cuatro ficheros anexos (folio 107) en la casilla que se muestra en el mismo al hacer referencia al formulario anterior con identificador nº ***ID.4 Además, el cuadro que CAIXABANK ha presentado como documento nº 9 (folio 122) permite asociar el documento nº 7 (folios 115 al 117) descrito bajo el título ***DOC.1 con el informe médico del especialista de fecha 06/06/2016 del Centro Médico ***CENTRO.1 que más adelante se cita. Téngase en cuenta que el citado documento nº 7 aparece en dicho cuadro asociado al identificador nº ***FORMULARIO.1 de fecha 15/12/2016, por lo que formaría parte de la documentación con datos de salud aportada por la denunciante que CAIXABANK remitió por conducto de valija interna a mediados de diciembre de 2016, y que no consta acreditado por CAIXABANK haya sido recibida por VidaCaixa. - Dos facturas de fechas 29/11/2016 y 13/12/2016, ambas por importe de 50 euros, emitidas por Centro Médico ***CENTRO.1 a nombre de la denunciante por el concepto “Terapia psicológica” (folios 105 y 106, que CAIXABANK indica se encontraba entre la documentación física recibida en VidaCaixa el 23/12/2016 junto con el original del formulario con identificador ***FORMULARIO.1 (folio 95). - Informe médico emitido con fecha 6 de junio de 2016 por un especialista del Centro Médico ***CENTRO.1 , en el que aparece diagnosticado el problema psiquiátrico padecido por el cónyuge de la denunciante, el tratamiento realizado, evolución y estado actual del mismo. Ya se han señalado con anterioridad los motivos por los que se considera que este informe médico formaba parte de la documentación aportada por la denunciante que CAIXABANK envió por valija a mediados de diciembre de 2016, y que a fecha 27 de enero de 2017 continuaba extraviada, tal y como como el Servicio de Atención al Cliente de CAIXABANK le comunicó a la denunciante. Por otra parte, no parece razonable que la denunciante no aportase en diciembre de 2016 documentos de fecha anterior, como el informe médico emitido con fecha 06/06/2016 por el especialista o la solicitud de supuesto excepcional de liquidez firmada por ella misma con fecha 22/11/2016. A todo lo expuesto, se añade que en las alegaciones al acuerdo de inicio CAIXABANK señaló que “para solicitar la autorización de la prestación a VidaCaixa es necesario remitir una serie de documentación junto con la solicitud. La documentación que se solicita son datos que acreditan que se ha producido la contingencia que da lugar al cobro de la prestación. En este caso, los datos que acreditan una enfermedad grave.”, que está en consonancia con las afirmaciones de la denunciante relativas a la naturaleza de la documentación entregada a CAIXABANK a mediados de diciembre de 2016 y que se extravió mientras se transportaba al departamento de destino. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 Lo anterior, no resulta incompatible con que VidaCaixa pudiera recibir el día 27/01/2017 por valija interna este informe médico junto con el resto de la documentación aportada por la denunciante tras serle requerida por segunda vez por CAIXABANK en torno al 20 de enero de 2017, incluida la solicitud de supuesto excepcional de liquidez correctamente cumplimentada y firmada por el beneficiario, para una vez recibida y analizada esta documentación, con fecha 06/02/2017 se cerrase el formulario con identificador nº ***ID.2 , a través del cual VidaCaixa adelantó a CAIXABANK la resolución de denegación de la solicitud de rescate por no ajustarse a los requisitos establecidos en las especificaciones del plan (folio 118). En cualquier caso, lo que CAIXABANK entiende como documentación adicional solicitada por VidaCaixa a la ya físicamente recibida el 23/12/2016, esta Agencia lo interpreta como referida a la que debía enviarse en papel por valija en lugar de anexada al nuevo formulario que tenía que abrirse una vez rechazado el formulario con nº de identificador ***FORMULARIO.1 de fecha 15/12/2016. A la vista de lo cual se considera que los formularios y resto de documentos aportados por CAIXABANK no acreditan que con fecha 23/12/2016 VidaCaixa recibiese por valija interna los documentos reseñados por la denunciante en su reclamación, como tampoco prueba que VidaCaixa recibiese el original del formulario ***FORMULARIO.1 y la copia de dos facturas del Centro Médico ***CENTRO.1 que la denunciada afirma en sus alegaciones a la propuesta de resolución fueron recibidos en esa fecha. Se trata de meras afirmaciones de parte de CAIXABANK no sustentadas por el contenido de los formularios presentados, ya que ninguna mención se hace al respecto en los mismos, que tampoco han sido probadas mediante la aportación de otros medios de prueba acreditativos de la efectiva recepción por VidaCaixa de la documentación aportada por la denunciante que CAIXABANK envió por valija desde su oficina de ***LOCALIDAD.1 . A mayor abundamiento, el mero reflejo informático constituido por la impresión de pantalla de los sistemas de VidaCaixa donde, según la denunciada, constan las fechas en las que entraron los documentos físicos contenidos en las dos valijas no justifica, por sí mismo, que los documentos que constan como recibidos, en lo que ahora nos interesa, con fecha 23/12/2016 sean, efectivamente, los descritos por CAIXABANK en sus alegaciones a la propuesta de resolución o, en su caso, cualquier otro de los inicialmente aportados por la denunciante. A tenor de todo lo cual, ha quedado desvirtuado lo manifestado por la denunciada en sus alegaciones al acuerdo de inicio, cuando intentó enervar su responsabilidad en la comisión de la infracción en materia de seguridad de la que se le inculpa defendiendo que no había habido un extravío de la documentación de la afectada objeto de tratamiento por parte de la entidad, sino que se trataba de una simple incidencia en el envío de la valija interna que había provocado un retraso en el tiempo previsto de llegada de la documentación al departamento de destino. Ello, no obstante que mantenía que podía “realizarse el seguimiento de cualquier incidencia que pueda surgir de manera sobrevenida e informar a los reclamantes” y se había visto obligada a solicitar a la denunciante que aportara nuevamente la documentación con datos de carácter personal de salud presentada en su día. También enervan las alegaciones a la propuesta de resolución de la denunciada, en las que CAIXABANK pasa a afirmar que toda la documentación necesaria para analizar el posible rescate del plan de pensiones aportada por la denunciante y enviada por valija interna de CAIXABANK ha sido recibida por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 VidaCaixa, no habiéndose extraviado ningún documento en ningún momento, los argumentos expuestos hasta ahora, puesto que la situación denunciada de pérdida de la documentación entregada a mediados de diciembre de 2016 persiste a fecha de hoy, ya que los documentos aportados por CAIXABANK no prueban la recepción de la misma por VidaCaixa ni justifican el paradero exacto de la misma. Por lo tanto, no se trata de un mero retraso en la recepción de esa documentación o de que ésta no contuviera el tipo de documentos señalados por la denunciante, sino de la falta de acreditación de que CAIXABANK haya adoptado, amén de cumplido correctamente, las medidas de índole técnica y organizativas adecuadas para garantizar la seguridad y custodia de los documentos que incluyen datos de carácter personal de salud durante el traslado de los mismos a otros departamentos o entidades del grupo, y evitar, tal y como ha ocurrido en este caso, su perdida . Téngase en cuenta que a fecha de hoy CAIXABANK no ha probado, fehacientemente, que la primera valija enviada fuera recibida en el Departamento correspondiente de VidaCaixa. Finalmente, y en relación con lo mantenido por la denunciante, conviene puntualizar que analizadas las observaciones efectuadas por la oficina de ***LOCALIDAD.1 de CAIXABANK en la reclamación formulada ante la Junta de Andalucía por la denunciante el 20/01/2017 y vista, asimismo, la contestación efectuada a la misma por el Servicio de Atención al Cliente de esa entidad con fecha 27/01/2017, ha de rechazarse que la denunciante interpretase erróneamente que se había extraviado la documentación que aportó a mediados de diciembre de 2016 en la citada oficina bancaria. Igualmente, ha de rechazarse que fuera la mala comunicación entre VidaCaixa y CAIXABANK el motivo de esa interpretación, puesto que en ninguno de los formularios aportados por CAIXABANK consta que VidaCaixa confirmase o comunicase a la oficina de ***LOCALIDAD.1 que había recibido los documentos de la denunciante remitidos desde la misma por valija a mediados de diciembre de 2016. Al contrario, ocurre que en el formulario con identificador nº ***ID.2 , creado con fecha 17/01/2017, dicha oficina indicaba lo siguiente en relación con el formulario anterior ***FORMULARIO.1: “La documentación se mandó por valija en diciembre y seguimos sin respuesta de vuestra parte. Rogamos respuesta urgente para el cliente.” (folio 112). Por lo tanto, no es que la denunciante interpretase erróneamente que se había extraviado la reseñada documentación, es que CAIXABANK así lo reconoció a través de dichos escritos. V Con posterioridad a la recepción de la propuesta de resolución CAIXABANK ha justificado que disponía de documento de seguridad que contemplaba la adopción de medidas técnicas y organizativas de nivel alto referidas al traslado físico de documentación en papel para impedir el acceso o manipulación de la información objeto de traslado, y que en este caso afectaría a datos especialmente protegidos referidos a datos de salud de clientes o terceros contenidos en la documentación en papel transportada a través de valija entre centros autorizados. Asimismo, como complemento a dichas medidas en materia de seguridad de datos de salud estarían las contempladas en la Norma 190, la cual se cita en el formulario ***ID.3 aportado por CAIXABANK, concretamente cuando desde el apartado “Comentarios para la oficina” VidaCaixa se recuerda a la oficina de ***LOCALIDAD.1 de CAIXABANK que no está permitido anexar a los formularios del buzón de oficina ningún documento que contenga datos de salud, ni custodiar en la oficina documentación que contenga este tipo de datos, detallándose, además, de conformidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 con dicha Norma, las acciones a efectuar por la oficina para enviar a través de sobre valija la documentación en papel necesaria para tramitar la prestación solicitada por el cliente al departamento correspondiente de VidaCaixa, todo ello para garantizar la confidencialidad de los datos de salud objeto de tratamiento, y cuya sustracción, extravío o pérdida también deben evitarse con la implantación de las medidas necesarias. Sin perjuicio de lo cual, resulta relevante señalar que en materia de medidas de seguridad se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben permitir la efectiva localización de los documentos que contengan datos personales. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29 de junio de 2001). VI El artículo 44.3.
  5. h)tipifica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso CAIXABANK no ha acreditado haber adoptado las medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 que la normativa de protección de datos exige al responsable del fichero para garantizar la seguridad de los datos de carácter personal, al haber extraviado la documentación que contenía datos identificativos y de salud de la denunciante durante el traslado por valija interna de esa documentación. De acuerdo con los fundamentos anteriores, se deduce que por parte de la denunciada se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia la pérdida de la documentación inicialmente presentada por la denunciante, ya que no consta acreditado en el procedimiento que la documentación en papel aportada por la denunciante el día 15/12/2016 en la oficina de CAIXABANK, y que viajó en valija, se recibiera por esa vía de transporte en el centro de destino, es decir, por VidaCaixa. Por lo cual, no puede exonerarse de culpa a la denunciada por la comisión de la reseñada infracción grave, puesto que CAIXABANK pudo haber actuado de modo distinto a cómo lo hizo estableciendo medidas de control que permitieran un seguimiento y rastreo continuado del posicionamiento de la valija en el circuito interno autorizado para su transporte, ello a fin de dar respuesta adecuada a las exigencia de efectividad de las medidas de seguridad de gestión de soportes y documentos y de custodia de soportes formalmente adoptadas . >> (el subrayado se ha incluido en la presente resolución) III A la vista de los elementos de juicio y razonamientos expuestos en los anteriores Fundamentos de Derecho cabe afirmar que esta Agencia, a lo largo de la tramitación del procedimiento sancionador en cuestión, ha justificado la responsabilidad de CAIXABANK, a título de culpa, en la autoría de los hechos que constituyen la base de facto de la comisión de la infracción grave descrita en materia de seguridad de los datos. En consecuencia, se entiende que a través del análisis de las pruebas obtenidas que se ha efectuado en la resolución recurrida ha quedado enervada la presunción de inocencia invocada por la recurrente. En cualquier caso, se rechaza que el origen del procedimiento fuera un error por parte de la oficina de CAIXABANK al no haber tenido en cuenta el comentario de VidaCaixa de fecha 23 de diciembre de 2016, y no sólo porque la reclamación de la denunciante ante la Junta de Andalucía se realizase en fecha posterior, concretamente el 20 de enero de 207, sino porque en la propia reclamación figura observación de esa misma fecha efectuada por el representante de la oficina ***OFICINA.1 de CAIXABANK afirmando respecto de la documentación a la que se refiere la denunciante que “se envió por el circuito indicado en el procedimiento y nos comunican del Centro Destino que no ha llegado”, es decir, por valija interna, a lo que se suma que en la comunicación del Servicio de Atención al Cliente de CAIXABANK, de fecha 27 de enero de 2017, no se negaba el extravío de la reseñada documentación y se pedían disculpas por las molestias originadas (Hechos Probados Segundo y Tercero). Por otra parte, la existencia de un comentario de la oficina de Vida Caixa, de fecha 23/12/2016, en el Historial del formulario nº ***FORMULARIO.2, en el que se indica que la documentación aportada no es suficiente, se refiere a la documentación remitida en los ficheros anexos del formulario anterior con nº ***FORMULARIO.1, de fecha 15/12/2016, en el que consta el siguiente comentario: “Al objeto de dar cumplimiento a la normativa del producto y a la legislación de protección de datos, indicar que no podemos tramitar esta petición, dado que en la misma se anexan documentos con datos de salud. En este sentido, lamentamos informar que debemos proceder al cierre del formulario y que, para atender esta petición, será necesario la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 apertura de nuevo formulario sin anexar la documentación con datos de salud, la cual deberá remitirse, por valija, según lo indicado en la propia Norma, esto es: (…)”. Se recuerda que entre dichos ficheros anexos constaba el correspondiente a la solicitud de rescate que incluye datos de salud. De lo que se colige, que, a fecha 23/12/2016, el Departamento de OperacionesPlanes de Pensiones (***DEPART.1) de VidaCaixa no había recibido la documentación de la denunciante que viajaba por valija, y que trasladaba los documentos que ésta reseñó cuando presentó reclamación ante la Junta de Andalucía y cuya naturaleza la oficina ***OFICINA.1 de CAIXABANK no cuestionó. A tenor de todo lo cual, debe rechazarse que se haya vulnerado el derecho a la presunción de inocencia contemplado en el 53.2.
  6. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en los siguientes términos: “2. Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos:
  7. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En relación con el alegato de que la carga de la prueba corresponde a la denunciante se señala que estamos ante un procedimiento iniciado de oficio, motivo por el cual corresponde a la AEPD probar los hechos constitutivos de la infracción. A este respecto, se reitera que en el procedimiento constan suficientes elementos de juicio que prueban tanto que la denunciante, a mediados de diciembre, aportó la documentación que le fue requerida por la oficina ***OFICINA.1 de CAIXABANK, entre la que se incluían datos de carácter personal de salud, a fin de justificar la contingencia de enfermedad grave que motivaba su solicitud de rescate de un Plan de Pensiones de su titularidad, como que CAIXABANK no ha probado que dicha documentación, trasladada dentro del circuito interno de la entidad por valija, llegara efectivamente a su destino, todo ello teniendo en cuenta que la recurrente era la responsable de adoptar las medidas de seguridad necesarias para evitar que durante dicho traslado esa documentación que incluía datos de salud se perdiera o extraviase. Asociado a lo anterior, debe negarse que se haya causado indefensión a la recurrente exigiéndole probar hechos negativos, en concreto “que pruebe que no se introdujeron por la denunciante informes de salud en un sobre”, ya que ninguna de las pruebas cuya práctica se acordó con fecha 5 de julio de 2017 se efectuó en semejantes términos. Además, la recurrente ha ejercido su derecho a la defensa presentando sendos escritos de alegaciones al acuerdo de inicio, la propuesta de resolución y recurriendo en reposición la resolución sancionadora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Por otra parte, debe reseñarse que la distinción que efectúa la recurrente entre documentación aportada y documentación entregada no aparece mencionada en los protocolos o normas de seguridad ni en los formularios adjuntados en sus escritos de alegaciones, no habiendo sido tampoco citada durante la tramitación del procedimiento sancionador. IV Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CAIXABANK, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 15 de noviembre de 2017, en el procedimiento sancionador PS/00235/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad CAIXABANK, S.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  8. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.