TD-01772-2017

1/10 Expediente Nº: TD/01772/2017 RESOLUCIÓN Nº.: R/03182/2017 Vista la reclamación formulada el 24 de julio de 2017 ante esta Agencia por Dª A.A.A., contra BANKIA, S.A., por no haber sido debidamente atendido su derecho de cancelación y oposición. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes HECHOS PRIMERO: Con fecha 10 y 13 de julio de 2017, Dª A.A.A. (en adelante, la parte reclamante) ejerció derecho de oposición y cancelación frente a BANKIA, S.A. (en adelante, BANKIA), sin que su solicitud haya recibido la contestación legalmente establecida. La reclamante en concreto ejercita la cancelación a una serie de datos de carácter personal por considerar que no son necesarios y se opone a la cesión de sus datos personales. SEGUNDO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones:  BANKIA manifiesta en las alegaciones formuladas durante la tramitación del presente procedimiento de tutela de derechos, que con fecha 18 de septiembre se ha remitido al domicilio indicado por la parte reclamante la carta que se aporta a las alegaciones. En la carta dirigida a la parte reclamante, BANKIA le comunica que no procede la cancelación solicita mientras se mantengan los contratos ni se puede cancelar el domicilio fiscal en cumplimiento de la normativa de prevención del blanqueo de capitales. Asimismo, se informa que proceden adoptar las medidas necesarias para que no reciba información de carácter comercial o publicitario, ni sus datos serán cedidos a otras entidades. La parte reclamante plantea en las alegaciones una serie de cuestiones relacionadas con la actividad bancaria, los mecanismos y sistemas de trabajo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 por lo que no comparte las formas ni las estrategias para recabar los datos de carácter personal y que producen confusión. Que no se ha contestado en el plazo establecido ni fue dirigida a la dirección correcta y que con motivo de este procedimiento ante esta Agencia, si se ha contestado al domicilio correcto. Que no se está de acuerdo con la justificación normativa que utiliza BANKIA para el mantenimiento de los datos de carácter personal, por lo que se solicita que se investigue a la entidad y se proceda a incoar el procedimiento sancionador, solicitando a este organismo la imposición de indemnización. TERCERO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento y constado todo ello en el expediente que obra en esta Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007(en lo sucesivo Reglamento LOPD), determina: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 30 de la LOPD dispone en relación a los tratamientos con fines de publicidad y de prospección comercial, que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del orígen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” SEXTO: La vigente LOPD incorpora el derecho de oposición, trasponiendo la mencionada Directiva 95/46/CE. A tal efecto, el artículo 6.4, que establece una previsión general, según el cual “En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, este podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una situación concreta. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El artículo 17 de la LOPD, señala: “1. Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán establecidos reglamentariamente. 2. No se exigirá contraprestación alguna por el ejercicio de los derechos de oposición, acceso, rectificación o cancelación.” SÉPTIMO: Los artículos 34 y 35 del Reglamento del la LOPD aprobado por el Real Decreto 1720/2007, determinan: “Artículo 34. Derecho de oposición. El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
2. a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario.
3. b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.
4. c)Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en los términos previstos en el artículo 36 de este reglamento. Artículo 35. Ejercicio del derecho de oposición. 1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 Cuando la oposición se realice con base en la letra
5. a)del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho. 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo.” OCTAVO: El artículo 6 de la LOPD dispone que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” NOVENO: El artículo 25 del Reglamento LOPD, determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10
6. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
7. b)Petición en que se concreta la solicitud.
8. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
9. d)Documentos acreditativos de la petición que formula, en su caso. 2. con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” DÉCIMO: El art. 2.1
10. a)y
11. v)de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo (LPBCFT), determina: “1. La presente Ley será de aplicación a los siguientes sujetos obligados:
12. a)Las entidades de crédito.
13. v)Las personas físicas que realicen movimientos de medios de pago, en los términos establecidos en el artículo 34.” UNDÉCIMO: El art. 25.1 párrafo priemero de la Ley 10/2010 LPBCFT, señala que: “1. Los sujetos obligados conservarán durante un período mínimo de diez años la documentación en que se formalice el cumplimiento de las obligaciones establecidas en la presente Ley.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 DUODÉCIMO: El art. 32 de la Ley 10/2010 LPBCFT, determina que: 1. El tratamiento de datos de carácter personal, así como los ficheros, automatizados o no, creados para el cumplimiento de las disposiciones de esta Ley se someterán a lo dispuesto en la Ley Orgánica 15/1999 y su normativa de desarrollo. 2. No se requerirá el consentimiento del interesado para el tratamiento de datos que resulte necesario para el cumplimiento de las obligaciones de información a que se refiere el Capítulo III. Tampoco será necesario el mencionado consentimiento para las comunicaciones de datos previstas en el citado Capítulo y, en particular, para las previstas en el artículo 24.2. 3. En virtud de lo dispuesto en el artículo 24.1, y en relación con las obligaciones a las que se refiere el apartado anterior, no será de aplicación al tratamiento de datos la obligación de información prevista en el artículo 5 de la Ley Orgánica 15/1999. Asimismo, no serán de aplicación a los ficheros y tratamientos a los que se refiere este precepto las normas contenidas en la citada Ley Orgánica referidas al ejercicio de los derechos de acceso, rectificación, cancelación y oposición. En caso de ejercicio de los citados derechos por el interesado, los sujetos obligados se limitarán a ponerle de manifiesto lo dispuesto en este artículo. Lo dispuesto en el presente apartado será igualmente aplicable a los ficheros creados y gestionados por el Servicio Ejecutivo de la Comisión para el cumplimiento de las funciones que le otorga esta Ley. 4. Los órganos centralizados de prevención a los que se refiere el artículo 27 tendrán la condición de encargados del tratamiento a los efectos previstos en la normativa de protección de datos de carácter personal. 5. Serán de aplicación a los ficheros a los que se refiere este artículo las medidas de seguridad de nivel alto previstas en la normativa de protección de datos de carácter personal. DÉCIMOTERCERO: En cuanto a la apertura de un procedimiento sancionador por supuestas infracciones a la LOPD, cabe señalar que el procedimiento de Tutela de Derechos al que hace referencia el artículo 18 de dicha norma y que encuentra su desarrollo en el artículo 117 del citado Real Decreto 1720/2007, se establece para garantizar el ejercicio de los derechos de acceso, rectificación, cancelación y oposición que la citada Ley Orgánica consagra. Por otra parte, el procedimiento sancionador desarrollado en los artículos 120 y ss del mismo Real Decreto, como su propio nombre indica, tiene naturaleza sancionadora y como tal constituye una de las manifestaciones del “ius puniendi” del Estado. De modo que, si bien en cualquier caso la función constitucional de esta Agencia es la garantía del derecho fundamental a la protección de datos personales, debe señalarse que con el procedimiento sancionador se persigue C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 determinar la comisión de las infracciones que se hayan podido cometer y, en su caso, la imposición de las sanciones correspondientes, no existiendo subordinación de uno a otro, ni prelación en su tramitación. El procedimiento de Tutela de Derechos se inicia a instancia del afectado, en tanto el procedimiento sancionador se inicia siempre de oficio por la Directora de la Agencia Española de Protección de Datos y es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura. Por otra parte, en relación a lo señalado por la parte reclamante a que se inste a BANKIA a una indemnización por los perjuicios ocasionados, a este respecto cabe señalar, que la parte reclamante deberá dirigirse a los órganos de la jurisdicción ordinaria, de conformidad con lo dispuesto en el artículo 19 de la LOPD, que establece lo siguiente: “1. Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados. 2. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones Públicas. 3. En el caso de los ficheros de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria”. DÉCIMOCUARTO: En el supuesto aquí analizado, queda acreditado que la parte reclamante ejercitó su derecho de cancelación ante la entidad demandada y que, transcurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. No obstante, la citada entidad ha atendido el derecho solicitado fuera del plazo legalmente establecido, indicando las causas por las que no procede dicha cancelación; la cancelación solicitada no procederá cuando los datos personales sean necesarios mientras exista una relación contractual. Por su parte, el art. 33.1 del RLOPD, señala que: “La cancelación no procederá cuando los datos de carácter personal deban ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado que justificaron el tratamiento de los datos.” En relación a la cuestión planteada por la parte reclamante, de que los datos requeridos en base a la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, a su decir, que en su caso no sería de aplicación, cabe señalar que, el principio del consentimiento es el que el afectado otorga para su obtención y tratamiento de datos, salvo las excepciones que la propia LOPD regula en su art. 6.2. Dentro de las relaciones jurídicas para tratar datos por el responsable del fichero, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 se precisa el consentimiento del afectado conforme a lo recogido en el art. 6.1 de la LOPD y del art. 10.1 del RLOPD. En este caso, paralelamente nace también un consentimiento imperativo, es decir, la exigencia del sometimiento por mandato de ley a un determinado tratamiento de datos, en definitiva la privacidad no tiene unos límites indefinidos, no obstante, el tratamiento y el alcancen del consentimiento podrá también perfilarse durante su vigencia mediante los derechos ARCO. De esto se deduce, que el tratamiento de los datos en este caso tiene dos vertientes, una nace del consentimiento de la voluntad de las partes en la relación jurídica y otra de carácter imperativo que implica unos derechos y obligaciones tanto para el responsable del fichero como para las personas físicas, por lo tanto no procede la cancelación solicitada mientras perdure la relación contractual. Por otro lado, cabe señalar que, en el caso de extinción de dicha relación, la entidad procedería a la cancelación mediante el bloqueo de los datos, ya que el art. 25 de la Ley 10/2010 que obliga consérvalos como mínimo por un periodo de 10 años desde la ejecución de una operación o terminación de la relación de negocios. Por todo ello, procede estimar por motivos formales la presente reclamación de Tutela de Derechos al haberse emitido la respuesta extemporáneamente sin que se requiera la realización de actuaciones adicionales por parte del responsable del fichero. El resto de las cuestiones planteadas por las parte, no resultan de la competencia de esta Agencia, debiéndose dirimir y resolver por las instancias correspondientes. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por Dª A.A.A., contra la entidad BANKIA, S.A. No obstante, no procede la emisión de nueva certificación por parte de dicha entidad, al haberse emitido la respuesta extemporáneamente justificando las razones por las que no cabe la cancelación solicitada, sin que se requiera la realización de actuaciones adicionales por parte del responsable del fichero. SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A. y a BANKIA, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es