1/13 Procedimiento nº: PS/00590/2013 ASUNTO: Recurso de Reposición Nº RR/00351/2014 Examinado el recurso de reposición interpuesto por la entidad CAIXABANK, S.A.. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00590/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 17 de marzo de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00590/2013 , en virtud de la cual se imponía a la entidad CAIXABANK, S.A.., una sanción de 20.000 € (veinte mil euros), por la vulneración de lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.d), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 21/03/2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00590/2013, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. En fecha 09/01/2012, tuvo entrada en esta Agencia escrito de la afectada en el que denuncia a CAIXABANK por dar los datos de su cuenta, así como extractos bancarios a su ex marido, después de reiterarles que no lo hicieran (folio 1). SEGUNDO. Consta copia del DNI de la denunciante, domiciliada en C/ (Valencia) (folios 10 y 11). E.E.E., TERCERO. Consta aportado copia del documento contractual de apertura de Cuentas de Ahorro nº G.G.G., suscrito por la denunciante con CAIXABANK, en fecha 25/09/1998. Como titular único figura la denunciante (folios 23 y 24). CUARTO. Consta aportada la baja como autorizado del ex marido de la denunciante en el documento contractual de apertura de cuenta, Cuentas de Ahorro nº G.G.G., figurando su condición de divorciada, y a continuación de la firma de los intervinientes, con fecha 14/11/2010, se señala “HA FECHA DE HOY CAUSA BAJA COMO AUTORIZADO B.B.B. CON NIF: F.F.F.. En breve se remitirá doc. en donde se autorizó en su día, fecha de apertura de la cuenta” (folios 122 y 123). QUINTO. En periodo probatorio, en fecha 10/12/2013, se le requirió a CAIXABANK que acreditara documentalmente el alta y aceptación como autorizado del ex marido de la denunciante, en la cuenta nº G.G.G.; la entidad crediticia no respondió al requerimiento efectuado (folio 152). SEXTO. Consta e-mail de la denunciante, de fecha 14/12/2011, enviado a CAIXABANK en el que se indica “Se han facilitado mis datos y movimientos bancarios a mi ex marido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 (desde 2006) que se supone que es apoderado de mi cuenta, de la que yo solo soy titular, contrato que tengo en mi poder y en ningún lugar especifica este dato. Es más he pedido reiteradamente en la urbana 14 que dejaran de hacer este tipo de actos y jamás me han informado de este hecho insólito, cuando saben que estamos en procesos judiciales ya que le he requerido mucha documentación. Se de este hecho porque han presentado mis datos y cuentas como pruebas en un juicio. Quiero firmemente denunciar esta situación, que viola el derecho a la protección de datos, a la intimidad y podría tener consecuencias judiciales” (folio 124). SEPTIMO. Consta Declaración del ex marido de la denunciante, de fecha 12/12/2011, ante el Juzgado de Primera Instancia e Instrucción nº 2 de Moncada (Valencia), al que se le imputaba un delito de impago de pensiones. En la citada comparecencia se indica “Aporta extracto de movimientos para acreditar las transferencias” (folio 9). Consta Extracto de Movimientos de la cuenta titularidad de la denunciante, aportada por su ex marido en la declaración en comparecencia ante el Jugado, que le fue facilitada el 09/12/2011, por la sucursal de CAIXABANK donde se halla abierta la cuenta y, donde figuran recogidos las operaciones de la citada cuenta desde el 01/01/2006 al 31/12/2006 (folio 7). Asimismo, se aporta consulta de movimientos de la cuenta titularidad de la denunciante, facilitada por la sucursal de CAIXABANK donde se halla abierta la cuenta y, donde figuran recogidos las operaciones de la citada cuenta desde el 01/02/2011 al 30/11/2011(folio 6). OCTAVO. Consta aportada escritura de préstamo hipotecario formalizada ante el notario de Valencia D. A.A.A., el 05/05/2003, interviniendo CAIXABANK y la denunciante y su ex marido, en condición de prestatarios. En la citada escritura se señala en sus Clausulas Financieras “que en relación con las obligaciones dimanantes de esta escritura intervienen con carácter solidario (en adelante la parte prestataria), ha recibido de Banco de Valencia, S.A. en concepto de préstamo la cantidad de…, que ha quedado ingresada en la cuenta nº G.G.G., a nombre de la parte prestataria en la oficina urbana Torrefiel
(0182), de Banco de Valencia, S.A. (folio 25 y ss ). Posteriormente, se formaliza ante el notario de Valencia D. C.C.C., escritura de Ampliación de préstamo hipotecario en Valencia, el 06/04/2004, en la que intervienen CAIXABANK y la denunciante y su ex marido, como prestatarios, indicándose que “… que en relación con las obligaciones dimanantes de esta escritura intervienen con carácter solidario como prestatarios, la cantidad de …, cantidad que reciben a su entera satisfacción, mediante su ingreso en la cuenta número G.G.G. abierta en la Oficina urbana Torrefiel de Banco de Valencia, S.A.” (folios 67 y ss). NOVENO. CAIXABANK no ha acreditado que hubiese obtenido el consentimiento o autorización de la denunciante, titular única de la cuenta, para la revelación de sus datos personales, ni que exista norma legal que justifique dicha revelación. TERCERO: CAIXABANK, S.A.. (en lo sucesivo el recurrente), ha presentado en fecha 28/04/2014, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones formuladas a lo largo del procedimiento sancionador: que la declaración de incoar un nuevo procedimiento sancionador está viciada de nulidad de pleno derecho; la ausencia de responsabilidad de CAIXABANK en los hechos denunciados y la actuación diligente de la entidad ratificando lo ya señalado con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a IX ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II Con carácter previo al examen de las cuestiones de fondo del asunto, procede analizar las excepciones alegadas por la representación de CAIXABANK, que de prosperar invalidarían las consideraciones de fondo o materiales. Manifiesta la citada representación que la declaración de caducidad conlleva el archivo de las actuaciones y en consecuencia la no conservación de los actos caducados, por lo que la incoación del procedimiento sancionador es un acto viciado de nulidad de pleno derecho. Sin embargo tal alegato no puede ser admitido, puesto que la Administración tiene la posibilidad, una vez declarada la caducidad, de iniciar un nuevo procedimiento sancionador mientras la infracción no haya prescrito, basándose en los documentos que originaron la inicial actuación. Hay que recordar que el acuerdo de inicio del presente procedimiento sancionador estuvo precedido de la Resolución del Director de la AEPD de 30/09/2013, en la que se acordó archivar el procedimiento seguido por caducidad de las actuaciones de investigación previas, ordenando iniciar nuevas actuaciones, que traen causa el presente procedimiento sancionador. La Sentencia del TS de 12/06/2003, señala que “la caducidad declarada en un procedimiento sancionador, no constituye obstáculo alguno para la posibilidad de iniciar o reiniciar otro procedimiento sobre el mismo objeto dentro del plazo de prescripción”. Por tanto, la STS considera plenamente aplicable a los procedimientos sancionadores el artículo 92.3 de la LRJPAC y afirma que la caducidad de un expediente sancionador no produce por sí sola la prescripción de las acciones del particular o de la Administración. Posteriormente, la Sentencia del TS de 24/02/2004 determina el valor que conservan en el nuevo procedimiento sancionador los trámites válidamente celebrados en el seno del procedimiento caducado. Así, señala que las actuaciones probatorias practicadas en el procedimiento caducado deben repetirse en el nuevo con respeto, otra vez, a las garantías originarias con la única excepción de que sea el imputado quien solicite la incorporación de tales actuaciones al nuevo expediente. La citada STS precisa que el acuerdo de inicio del nuevo expediente sancionador puede y debe fundarse en los mismos documentos que, con el valor de denuncia, determinaron la iniciación del expediente caducado. Y que pueden surtir efecto en el nuevo expediente, si se decide su incorporación a él, los actos que son C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 independientes del expediente caducado, no surgidos dentro de él aunque también se hubieran incorporado al mismo. Esta documentación está formada por el E/02540/2012, en cuyo marco se practicaron las actuaciones de investigación que ordenó el Director de la AEPD en la resolución que acordaba el archivo por caducidad del PS/00166/
- El expediente E/05441/2013 reproduce íntegramente la denuncia formulada por la afectada y las actuaciones de investigación que la Agencia había practicado en su día en el marco del E/02540/2012, que fueron el precedente del PS/00166/2013, folios 1 a
- A la luz de la Sentencias del TS anteriormente citadas, como ya hemos indicado, es ajustado a Derecho abrir un nuevo expediente sancionador por los mismos hechos que motivaron la apertura de un expediente declarado caducado, en tanto la infracción no haya prescrito. Además es igualmente correcto que el nuevo procedimiento sancionador, en este caso el PS/00590/2013, se apoye en los mismos documentos que determinaron la iniciación del procedimiento caducado. También lo es que surtan efecto en el nuevo procedimiento sancionador, si se decide su incorporación al mismo, aquellos actos que son independientes del procedimiento caducado, esto es, que no surgieron dentro de él aunque también fueron incorporados a éste. En el presente caso se incorporaron al E/05441/2013 (del que deriva el PS/00590/2013 que nos ocupa) tanto la denuncia formulada por la afectada como las actuaciones de investigación practicadas por los servicios de inspección de la AEPD en el curso del expediente de investigación E/02540/
- De manera que en tanto estos documentos son independientes del PS/00166/2013, respecto del cual el Director de la AEPD acordó el archivo por caducidad, no hay obstáculo para que sean incorporados al nuevo expediente de investigación, como así se hizo. Lo que explica que fueran esos documentos y no otros, los que la AEPD estableció a efectos de aperturar el nuevo procedimiento sancionador. Ya hemos indicado que las precitadas sentencias advierten que las actuaciones probatorias practicadas en el curso de un procedimiento sancionador caducado deberán repetirse de nuevo, pues no pueden surtir efecto en el nuevo procedimiento sancionador. Lo que explica que no se hayan incorporado ninguna de las actuaciones que tuvieron lugar en el procedimiento caducado. Por cuanto antecede esta cuestión previa debe, asimismo, desestimarse. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 III Alega la representación de CAIXABANK que los hechos constitutivos de la presunta infracción no fueron realizados por su representada, por lo que no es exigible responsabilidad administrativa. Sin embargo, tal alegato ha de ser desestimado puesto que es posible sostener la responsabilidad subsidiaria de quienes incumplieron una obligación impuesta por la ley, en este caso vulneración del deber de secreto previsto en el artículo 10 de la LOPD, para prevenir las infracciones cometidas por las personas jurídicas, transformando el problema en una derivación de responsabilidades y, porque equiparar un proceso de fusión por absorción o disolución de una persona jurídica con la muerte física de una persona, podrá conducirnos a resultados verdaderamente injustos, pues bastaría para eludir la sanción administrativa con acudir a un acuerdo de disolución o de fusión de sociedades para eludir y extinguir la responsabilidad. En este mismo sentido se pronuncia la sentencia del TS de fecha 14/02/2007 (rec. 17/2005), que señala: “En el segundo motivo de casación se denuncia la "infracción de la jurisprudencia aplicable a la transmisión de las sanciones y de la responsabilidad del pago de las mismas con motivo de la disolución de las sociedades, tal y como resulta de las Sentencias del Tribunal Supremo de 18 de abril de 1994 (RJ 1994,3375) y 20 de septiembre de 1996 (RJ 1996, 6787 ) entre otras". Aun cuando ciertamente en la demanda no se invocó esta jurisprudencia, tampoco puede considerarse - frente a la objeción del Abogado del Estado- que se trate de una "cuestión nueva" no planteada en la instancia. Los problemas referidos a la asunción por el "Banco Santander Central Hispano, S.A." (entidad resultante de la absorción, por fusión, de uno en otro) de las responsabilidades sancionadoras imputables a los Bancos de Santander, por un lado, y Central Hispano, por otro, habían sido aducidos por la parte actora en su demanda. El Banco recurrente, en el fundamento jurídico cuarto de dicho escrito, abordaba aquellos problemas tanto desde la perspectiva de la proporcionalidad de la sanción (a la que dedicará en esta fase procesal el tercer motivo de su recurso de casación) como desde la naturaleza personal de la responsabilidad en el terreno sancionador. Se refería, en concreto, a la imposibilidad de que la sanción unitaria de 600.000 euros (esto es, la suma de las correspondientes a ambas entidades por separado) se impusiera cuando una de las entidades sancionadas era ya inexistente. La jurisprudencia invocada por el recurrente, sin embargo, va en contra de la tesis aducida en el segundo motivo, precisamente porque aquélla niega la similitud entre las personas físicas y las jurídicas en lo que respecta a la transmisibilidad de las sanciones. El propio Banco recurrente se ve obligado a admitir que "la razón última de la doctrina que se establece radica en excluir que [...] quede en manos del infractor de la norma que él mismo por su sola voluntad eluda la posibilidad de hacer el Estado efectiva su responsabilidad acudiendo al artilugio de su disolución, sea mediante fusión, absorción o de otra forma". Sostiene sin embargo que, siendo válida esta afirmación para los casos en que ya se ha impuesto la sanción -transmisible, por lo tanto, a la persona jurídica que se subroga en la personalidad de la extinguida- o incluso en aquellos en que fuera "previsible que se imponga", no lo sería cuando la extinción se produjo antes de que se incoara el procedimiento sancionador, como aquí ocurre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 La tesis así expuesta no es la que se deduce, ni siquiera sensu contrario, de la jurisprudencia cuya infracción censura este motivo. De las dos sentencias citadas en él, la primera (de 18 de abril de 1994, recurso de apelación número 328/1991) estima precisamente el recurso interpuesto por el Abogado del Estado contra el fallo de instancia que, de modo incorrecto, había aplicado el principio de la personalidad de la pena "a las sanciones administrativas imponibles al responsable de la infracción" y excluído, indebidamente, de dichas sanciones "a las personas sucesoras de sus obligaciones". Esta Sala del Tribunal Supremo afirmó, por el contrario, que la sociedad absorbente había de satisfacer las sanciones pecuniarias correspondientes a la absorbida y rechazó la tesis de la demanda sobre la improcedencia de la subrogación "en las consecuencias de los incumplimientos legales cometidos por la Mutua absorbida". En la segunda de las referidas sentencias (de 20 de septiembre de 1996, recurso de apelación número 3606/1991) esta Sala argumentó, en términos más extensos, sobre el "distinto régimen de transmisibilidad de las sanciones administrativas en el supuesto de disolución de la persona jurídica sancionada" respecto del aplicable a los supuestos de "muerte o fallecimiento de la persona física sancionada". Para las primeras no cabe duda de que la sanciones "forman parte del pasivo transmitido a los socios, sin que ello pueda entenderse contrario al principio de responsabilidad personal que se asienta sobre una concepción de la culpabilidad no trasladable a las personas jurídicas". En ningún momento se excluye de este régimen de transmisibilidad a las sanciones que, derivadas de actos cometidos antes de que la persona jurídica se extinguiera, hubieran sido impuestas después de la extinción pero precisamente en razón de tales actos, siendo imputables las consecuencias -también las económicas- de todos los actos de la sociedad extinguida a la que se subrogó en sus responsabilidades. No resulta, por último, convincente que tras admitirse en el motivo la asunción por parte del "Banco Santander Central Hispano, S.A." de las sanciones que, aun no impuestas en el momento de la absorción, fueran entonces "previsibles", niegue este carácter a la de autos. No se puede hacer depender la transmisibilidad de aquéllas del conocimiento subjetivo de unos u otros hechos que tuviera la entidad absorbente, ni de la mayor o menor "previsibilidad" de la decisión administrativa ulterior ni de que en el referido momento existiera sólo una denuncia (como en efecto ocurría) o se hubiera incoado formalmente el expediente sancionador. Que la sanción fuera más o menos previsible en el momento de "establecer el equilibrio financiero de la fusión determinante de la contraprestación a pagar a los accionistas de la sociedad absorbida" es algo que podrá tener incidencia en otros ámbitos pero no, desde luego, en las relaciones verticales entre la Administración y las entidades sujetas a su potestad sancionadora. Si, en definitiva, la absorción de una sociedad por otra supone que el patrimonio que se transmite, activo y pasivo, engloba las sanciones ya impuestas o que puedan imponerse, no hay por qué restringirlas a las que derivaran tan sólo de "un expediente ya abierto, como contingencia previsible al hacer la liquidación de la Sociedad". IV Se imputa a CAIXABANK en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. V El artículo 9 de la LOPD establece en relación con la seguridad de los datos que: “
- El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
- No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
- Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. El RD/1720/2007 establece un régimen específico de “seguridad” a implantar por el responsable del fichero para salvaguardar la tutela debida a un derecho fundamental ex artículo 18.4 de la Constitución Española, de conformidad con la doctrina sentada por la STC 292/
- Así en su artículo 80 señala que “las medidas de seguridad exigibles a os ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto.” Así en los artículos 89 a 94 del citado reglamento se recogen las medidas a implantar para datos a los que son aplicables las medidas de nivel básico. Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y en un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y que encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho fundamental a la protección de los datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 VI La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.d) de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado c) delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en que condiciones y en que momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” En el presente caso, estamos antes un tratamiento de datos personales, y CAIXABANK es responsable del fichero y de dicho tratamiento, de conformidad con las definiciones legales recogidas en el artículo 3 de la LOPD apuntadas. De lo que se deduce que CAIXABANK está sometido al régimen sancionador de la citada norma de conformidad con el artículo
- VII La representación de CAIXABANK ha alegado que el ex marido de la denunciante tenía acceso a los datos de la cuenta, en cuento que figuraba como apoderado de la misma, lo que le otorgaba poder operar en la cuenta y obtener información sobre la misma. A la luz del alegato de la citada representación, resulta incuestionable que fue la oficina urbana Torrefiel
(0182), de CAIXABANK, en donde se encontraba abierta la cuenta nº G.G.G., la que proporcionó al ex marido de la denunciante los extractos de movimientos de la cuenta titularidad de la misma. Ahora bien, consta acreditado que la denunciante era la titular única de la cuenta nº G.G.G., como así figura en el documento contractual de apertura de cuenta Cuentas de Ahorro (folio 23). Es por ello, que la autorización para acceder al conocimiento de los datos de una cuenta bancaria, precisa del consentimiento de su titular, que ha de ser expreso, sin que baste como hace la entidad denunciada, manifestar que el ex marido estaba autorizado, sin acreditarlo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Además, la entidad crediticia no ha aportado ni probado, a pesar de que en periodo probatorio se le ha requerido para que lo hiciera, la acreditación del alta y la aceptación como autorizado de D. B.B.B., en la cuenta nº G.G.G., cuya titular única es la denunciante; aunque, hecho insólito, según CAIXABANK puede que “seguramente se documentara en otro documento diferente al contractual” (folio 148). A mayor abundamiento, la propia entidad denunciada, a solicitud de la denunciante, consignó el 14/11/2010, en el propio documento contractual de apertura de la cuenta y a continuación de la firma de los intervinientes, que en dicha fecha causaba baja como autorizado su ex marido y que en breve le remitirían el documento donde se autorizó en su día, sin que lo hiciera, a pesar de la insistencia de la denunciante (folio 123). Alega igualmente la representación de CAIXABANK que el poder existía porque en fecha 05/05/2003, se firmó ante notario escritura de préstamo con garantía hipotecaria, indicándose en su Primera Clausula Financiera, que tanto la denunciante como su ex marido intervenían con carácter solidario y, como parte prestataria, recibían el importe del préstamo, que quedó ingresado en la cuenta nº G.G.G., de la parte prestataria. En este alegato la representación de CAIXABANK trata de justificar la entrega de los extractos de movimientos de la cuenta, en la existencia de un préstamo hipotecario suscrito por los entonces esposos, que estaba vinculado a la cuenta nº G.G.G.. Sin embargo, del contrato de préstamo ni se colige, ni se desprende de sus estipulaciones, que el ex marido de la denunciante tuviera la condición de autorizado o apoderado de la cuenta. Como ya se ha apuntado anteriormente, aunque la entidad denunciada no niega que hubiera entregado al ex marido los extractos con los movimientos de la cuenta, trata de justificar la entrega de los mismos en la existencia de un préstamo con garantía hipotecaria suscrito por los entonces esposos, por ser la cuenta nº G.G.G. la vinculada al citado préstamo. Si bien es cierto, que el ex marido hubiera podido tener un interés en conocer la información relativa al citado préstamo, al ser parte prestataria, en ningún caso la información a entregar podría comprender extractos bancarios con los movimientos de la expresada cuenta (la información entregada contiene los movimientos contables desde el 01/01/2006 al 31/12/2006 y desde el 01/02/2011 al 30/11/2011 (folios 6 y 7)); extractos que fueron facilitados por la oficina urbana Torrefiel
(0182), de CAIXABANK, en donde se encontraba domiciliada la cuenta de la que era titular única la denunciante, siendo la información aportada prescindible e innecesaria para la finalidad perseguida de que aquel tuviera conocimiento de los cargos de las cuotas del préstamo y de las disposiciones del mismo. Por tanto, hubiera bastado la indicación de la información relativa al préstamo suscrito y prescindir de cualquier otro tipo de información relacionada con la citada cuenta, pues no hay que olvidar que el fin que motivó la actuación del ex marido era justificar los ingresos realizados en concepto de pensión de alimentos, presentando los extractos obtenidos en el Juzgado de Primera Instancia e Instrucción nº 2 de Moncada (Valencia), donde se le imputaba un delito de impago de pensiones. En definitiva, CAIXABANK al haber proporcionado información de los movimientos relativos de la cuenta que nada tenía que ver con el préstamo hipotecario vulneró el deber de secreto a que dicha entidad estaba obligada, incurriendo en la infracción recogida en el artículo 10 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 VIII De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. Por tanto, la conducta imputada a CAIXABANK por vulneración del artículo 10 de la LOPD encuentra su tipificación en el tipo del citado artículo 44.3.d). IX El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 En lo referente a la aplicación del artículo 45.5, la sentencia de 21 de enero de 2004 de la Audiencia Nacional dijo que dicho precepto “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión <especialmente cualificada>) y concretos”. En el caso examinado, de las actuaciones practicadas ha quedado acreditado que CAIXABANK vulneró el artículo 10 de la LOPD, al entregar al ex marido de la denunciante extractos de los movimientos de la cuenta de la que era titular única, sin que hubiese obtenido el consentimiento o autorización de la misma para la revelación de la citada información, conculcando el deber de secreto recogido en el citado artículo 10 de la LOPD, por lo que su actuación ha de ser merecedora de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, es posible la aplicación de la circunstancia contemplada en el apartado
- e)del artículo 45.5 de la LOPD, “Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”, puesto que en fecha 04/04/2013, se otorgó escritura de fusión por absorción de BANCO DE VALENCIA (sociedad absorbida) y CAIXABANK (sociedad absorbente), con trasmisión en bloque por sucesión universal de todos sus activos pasivos derechos y obligaciones a CAIXABANK, con extinción y disolución sin liquidación de BANCO DE VALENCIA y, dado que la infracción fue anterior a dicho proceso de absorción, no apreciándose obstáculo alguno ni indefensión o perjuicio para ninguna de las partes por dicha aplicación, es por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Por otra parte, se advierten circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Así, concurren la agravante prevista en el apartado
- d)del artículo 45.4 de la LOPD, el importante volumen de negocio, toda vez que se trata de una gran entidad crediticia por volumen de negocio y la circunstancia prevista en el apartado
- c)del artículo 45.4 de la LOPD, la vinculación de su actividad con la realización de tratamientos de datos de carácter personal, pues es evidente que en el desarrollo de la actividad que desempeña la entidad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 se impone una sanción de 20.000 € de la que CAIXABANK debe responder. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, limitándose a reiterar y ratificar los argumentos esgrimidos con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CAIXABANK, S.A.. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 17 de marzo de 2014, en el procedimiento sancionador PS/00590/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad CAIXABANK, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es