Última revisión
Resolución de la Agencia Española de Protección de Datos E-02304-2018 de 29 de abril de 2019
Relacionados:
Órgano: Agencia Española de Protección de Datos
Fecha: 29/04/2019
Num. Resolución: E-02304-2018
Cuestión
Sector:1 / 11
Expediente Nº: E/02304/2018
RESOLUCIÓN DE ARCHIVO DE ACTUACIONES
De las actuaciones practicadas por la Agencia Española de Protección de Datos ante
la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., en virtud de la denuncia
presentada por D. A.A.A. y en consideración a...
Contestacion
1/11
Expediente Nº: E/02304/2018
RESOLUCIÓN DE ARCHIVO DE ACTUACIONES
De las actuaciones practicadas por la Agencia Española de Protección de Datos ante
la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., en virtud de la denuncia
presentada por D. A.A.A. y en consideración a los siguientes
HECHOS
PRIMERO: Con fecha 08/04/2018 tuvo entrada en la Agencia Española de Protección
de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que
expone que BANCO BILBAO VIZCAYA ARGENTARIA, S.A., (en lo sucesivo BBVA o
la denunciada) ha tratado sus datos personales sin su consentimiento vinculados a un
contrato de préstamo al que es ajeno.
El denunciante manifiesta que el 04/01/2018 se recibe en el móvil de su esposa
un SMS a su nombre en el que se alude a una supuesta deuda pendiente con BBVA.
Procede a contactar telefónicamente con la entidad a través del número facilitado en el
SMS y le informan de que la deuda reclamada deriva de un préstamo al consumo que
supuestamente ha suscrito con BBVA y que ha sido intermediado por SUPERWAGEN.
Dado que no ha contratado ningún préstamo con esta entidad solicita la
documentación acreditativa de la contratación facilitándole entonces la denunciada
varios documentos (cuya copia aporta con el escrito de denuncia) en los que constan
su nombre, apellidos y NIF y otros datos (dirección postal, teléfonos y firma) que no le
pertenecen.
Anexa a la denuncia copia de los documentos siguientes:
- Varios SMS recibidos en un terminal móvil en los que figura como destinatario una
persona identificada con su nombre y dos apellidos. El motivo del envío de los
mensajes es la deuda pendiente de pago con BBVA.
- Copia del contrato de préstamo número ***PRESTAMO.1. El documento, que lleva el
anagrama de BBVA, indica que es intermediario del préstamo la entidad
?SUPERWAGEN, S.A.? Como ?prestatario/asegurado/deudor? figuran los datos
personales del denunciante (nombre, apellidos y NIF) y la dirección ***DIRECCION.1.
El documento lleva una rúbrica y tiene fecha de 16/02/2017. El importe total del
préstamo contratado asciende a 13.075,40 euros.
- Un documento, también con el anagrama de BBVA y la misma rúbrica que el anterior,
con el título ?Tratamiento de datos personales?. En los distintos apartados de este
documento, denominados ?Datos Financiación?, ?Datos cliente? y ?Datos
profesionales?, figuran el nombre y apellidos del denunciante; su NIF; la dirección
postal que se recoge en el contrato de préstamo (que no pertenece al denunciante); la
fecha de nacimiento; una dirección electrónica y dos teléfonos (fijo y móvil) que el
denunciante ha manifestado que no le pertenecen; y los veinte dígitos de una cuenta
bancaria finalizada en ?EEE?.
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es
2/11
- La denuncia formulada el 08/01/2018 en la Comisaría de Policía de
***LOCALIDAD.1, Oficina de denuncias, en la que relata los hechos anteriormente
expuestos e indica que no son suyas la dirección postal y los números de teléfono que
figuran en el documento contractual que le facilitaron desde la dirección electrónica
cacfinan@bbva.com, que tampoco es suya la firma que aparece en el citado
documento, que no le pertenece la cuenta bancaria que figura en el documento y que
los datos relativos al estado civil son erróneos.
SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección
de Datos procedió a realizar actuaciones previas de investigación para el
esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes
extremos:
1.- Requerimiento informativo al denunciante:
La Inspección de Datos de la AEPD solicitó al denunciante el 25/04/2018
documentación adicional. En su respuesta, que tuvo entrada en el registro de este
organismo el 16/05/2018, manifiesta de nuevo: ?Se me atribuye/ concede un préstamo
personal del BBVA (y el intermediario SUPERWAGEN, S.A.) a mi nombre por importe
de 13.074,40 ? el cual no he solicitado. En el contrato figura mi nombre y DNI, y
además una firma falsificada que no es la mía junto con otros datos como dirección,
teléfono y email que no son míos. Uno de los teléfonos que figuran es el de mi mujer.?
Aporta copia de estos documentos:
a. El escrito que su Abogada presenta ante BBVA (con sello de entrada en esa
entidad financiera el 21/03/2018) en el que reclama una indemnización por los
daños derivados de negligencia en la custodia de los datos personales del
denunciante y responsabilidad penal por incumplimiento de la obligación de
identificar a los prestatarios del crédito en la concesión de éstos, suplantación de
identidad y estafa.
b. Reitera el envío de los siguientes documentos que ya obraban en el expediente
por haberlos aportado con su denuncia: El contrato de préstamo con anagrama
del BBVA en el que figuran sus datos personales (nombre, apellidos y NIF), que
el denunciante niega haber suscrito, y la denuncia formulada por estos hechos
en la Comisaría de Policía en fecha 08/01/2018.
2.- Requerimiento informativo a BBVA:
A. El primer requerimiento informativo que la Inspección de Datos dirige a BBVA
es del 08/06/2018. La denunciada responde a ese requerimiento en escrito de
fecha 25/06/2018; escrito que reitera mediante correo postal en fechas
posteriores, el 29/06/2018.
2.1. En respuesta a la solicitud de información sobre los datos que obran en sus
sistemas y sobre los productos contratados a nombre del denunciante aporta
los documentos siguientes:
a. Impresión de pantalla de sus ficheros con los datos del denunciante: nombre,
apellidos, NIF (***NIF.1), domicilio en ***DIRECCION.2.
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es
3/11
b. Una relación de los productos que figuran contratados por el denunciante con
indicación de las fechas de alta y baja. En la actualidad todos los servicios se
encuentran cancelados:
-?AH. CUENTA CORRIENTE UNO E?, ***PRODUCTO.1, fecha de alta
20/03/2001 y fecha de cancelación 02/01/2018.
-?GO: CF VEHÍCULO NUEVO CREDITOCONSUMC?, ***PRODUCTO.2. Fecha
de alta 16/02/2017 y fecha de cancelación 07/03/2018.
-?SN:9697 P.P AUTOS?. ***PRODUCTO.3 Fecha de alta 18/02/2017 y fecha de
cancelación 16/02/2017.
- ?TJ. VISA DÉBITO UNO E?, ***PRODUCTO.4. Fecha de alta 23/03/2004 y
fecha de cancelación 09/01/2017.
-?VA CUENTA VALOR?, ***PRODUCTO.5. Fecha de alta el 23/03/2004 y fecha
de cancelación el 23/04/2004.
c. Captura de pantalla de los ficheros de BBVA con el detalle del importe de
deuda asociada a los datos del denunciante. En el documento que facilitan el
importe de la deuda del cliente pendiente con la entidad es de 0 euros.
2.2. En respuesta a la solicitud para que aporte copia de los contratos suscritos por
el denunciante y de las reclamaciones efectuadas por él o por terceros en su
nombre, facilita estos documentos:
d. Copia del contrato de Tarjeta Visa Electron Servired UNO E, número
***PRESTAMO.1 en el que el denunciante tiene la condición de titular.
. En el documento consta como titular D.ª B.B.B., con domicilio en
***LOCALIDAD.1 y como ?1er COTITULAR? el denunciante. Constan en el
documento el nombre, dos apellidos y el NIF del denunciante. También un
domicilio en ***LOCALIDAD.2, que coincide con el que BBVA tiene asignado
en sus sistemas al denunciante.
. En el citado documento constan las firmas tanto de la titular como del cotitular,
actual denunciante, y la fecha, manuscrita, de 06/02/2004.
. Se aporta también el documento denominado ?Cartulina de firmas?, en la que
aparece de nuevo las firmas de la titular y del cotitular.
. Se aporta la copia del DNI del denunciante. Se aprecia que se remitió a la
entidad mediante fax de fecha 08/03/2004.
e. Copia del contrato de préstamo personal suscrito por el denunciante (número
***PRESTAMO.1) así como copia de su DNI.
. Se trata del contrato que ha dado origen a la denuncia. El documento es
idéntico al aportado por el denunciante que le había sido facilitado por BBVA
cuando contactó con ella a raíz del SMS de requerimiento de pago.
. Se aporta copia del DNI del denunciante. No es el mismo documento que
aportan anexo al contrato de Tarjeta Visa Electron Servired UNO E (descrito en
el apartado e, precedente). Mientras el anterior tenía el formato antiguo de los
documentos nacionales de identidad el que se aporta anexo al citado contrato
es un ejemplar actual que incorpora el chip de la FNMT.
f. Copia de la reclamación escrita que la Abogada del denunciante presentó ante
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es
4/11
BBVA, que lleva fecha de 21/03/2018 y copia de la respuesta que BBVA remite
a la Abogada el 17/04/2018.
. En la carta que BBVA remite a la Abogada del denunciante acusa recibo de la
recepción de su reclamación y explica que, una vez analizados los hechos, han
contactado con el departamento de Prescripción de préstamos para que le
facilitasen información y ?Nos han confirmado que una vez detectado el fraude,
se ha identificado al responsable intermediario del concesionario, instando un
procedimiento penal contra el mismo. Asimismo, confirmamos que el crédito ha
sido cancelado. (..)? (El subrayado es de la AEPD)
2.3. Respecto a la forma en la que se efectuaron las contrataciones, BBVA explica
que, por lo que concierne al contrato de préstamo personal que es objeto de la
denuncia, ?se firmó el pasado 16/02/2017 a través del colaborador
SUPERWAGEN, S.A., con domicilio social en ?? ?Las instrucciones facilitadas
a los colaboradores, en este caso SUPERWAGEN, S.A., se realiza a través de
una red comercial que les imparte un curso de formación? ?La documentación
que debía recabar SUPERWAGEN S.A., consistía en el DNI y el número de
cuenta del cliente?.
2.4. BBVA informa de que no ha cedido los datos del denunciante a los ficheros de
solvencia patrimonial y crédito.
B. La Inspección de Datos dirige a BBVA un segundo requerimiento informativo en
fecha 16/08/208, al que la denunciada responde en escrito de fecha
10/09/2018.
2.5. En respuesta a la solicitud de la Inspección de Datos para que informe sobre el
?protocolo de actuación? que tuviera pactado con SUPERWAGEN en virtud del
cual esta mercantil interviene como colaboradora de BBVA en la celebración de
los contratos de préstamo para financiar la compra de vehículos, nos remite
una copia del Convenio de Adhesión firmado el 21/06/2013 entre BBVA y
SUPERWAGEN.
. Conforme a lo estipulado por el Convenio su objeto es, entre otros, la
colaboración para la financiación de vehículos y la colaboración para la
contratación de seguros ofrecidos por el OBS.
.. La estipulación segunda indica en relación a la financiación para la
adquisición de vehículos con personas físicas (?préstamos o venta a plazos?)
que ?la operativa de solicitud, concesión o denegación de la financiación se
desarrollará como sigue: (?) El colaborador cumplimentará y recabará la firma
del cliente en el documento establecido al efecto por el que el cliente presta su
consentimiento al tratamiento de sus datos personales por BBVA a los efectos
establecidos en el mismo.
El Colaborador se compromete a entregar al cliente la información
precontractual?.Esta información deberá proporcionarse en el formato que
BBVA establezca en cada momento y se entregará con carácter previo a la
firma por parte del cliente del a correspondiente Operación de Financiación.
El Colaborador recabará todos los datos necesarios del cliente para
cumplimentar la solicitud de préstamo/venta a plazos obteniendo fotocopia (I)
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es
5/11
del DNI del cliente que deberá cotejar con el original (II) de la última nómina o
del documento acreditativo de los últimos ingresos y (III) de un cheque, libreta
o recibo domiciliado (cualquiera de estos tres últimos documentos a los efectos
de cotejar que el solicitante del préstamo/venta a plazos coincide con el titular
de la domiciliación bancaria reflejada en la solicitud así como con cualquier
documento que en cualquier momento será requerida por BBVA.
El Colaborador deberá verificar la identidad del cliente (incluida la firma del
cliente que en todo caso deberá ser en su presencia y todos los datos incluidos
en la documentación cumplimentados mediante el cotejo de la documentación
entregada o exhibida por el cliente (incluyendo la fotocopia del DNI con el
original)
(?)
El Colaborador enviará a BBVA por el medio que ésta determine en cada
momento el contrato de financiación debidamente cumplimentado y firmado
por el cliente, así como aquella otra documentación aportada por el cliente,
requerida por BBVA y necesaria para la concesión del producto financiación
(DNI, nómina etc.) Y
. BBVA ha manifestado que en el momento de solicitar la financiación el cliente
está obligado a mostrar el original del DNI al empleado de SUPERWAGEN
quien obtendrá una copia del mismo y que una vez recabada toda la
documentación del solicitante la remite al gestor de BBVA CONSUMER
FINANCE mediante correo electrónico para su análisis y para valorar si
aprueba o no la operación. Añade que, en el presente caso, SUPERWAGEN
remitió a BBVA estos documentos (de los que aporta una copia):
- Copia del DNI del denunciante (el documento tiene validez
hasta el 04/06/2019)
- Copia de una nómina del denunciante correspondiente a
enero de 2017
- Copia de la declaración de IRPF del denunciante
correspondiente al ejercicio 2015 (consta presentada el
19/05/2016)
- Copia de un recibo de adeudo en cuenta de la entidad ING
DIRECT. Como titular de la cuenta bancaria y de la
domiciliación figura el nombre y dos apellidos del
denunciante. El recibo versa sobre una operación de fecha
06/02/2017 relativo a una factura de YOIGO.
- Copia del contrato de préstamo número ***PRESTAMO.1 (se
trata del mismo documento que el denunciante aportó anexo
a la denuncia). Se aportan también la copia del contrato de
seguro colectivo de vida y de la información normalizada
sobre crédito al consumo. Todos ellos están firmados de
forma idéntica. Firma que el denunciante ha manifestado que
no reconoce como suya.
-
BBVA ha manifestado que SUPERWAGEN envía las solicitudes de préstamo y
su documentación respectiva al Gestor de BBVA CONSUMER FINANCE a
través de correo electrónico y que, por lo que respecta al asunto examinado,
SUPERWAGEN envió toda la información relativa a la solicitud del préstamo a
nombre del denunciante mediante correo electrónico dirigido a C.C.C., Gestor
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es
6/11
de BBVA. A tal efecto adjunta copia del email remitido desde la dirección
***EMAIL.1 a la citada Gestora, de fecha 17/02/2017, que incluye cinco
archivos adjuntos referentes a los documentos siguientes antes citados: el DNI
del denunciante; su declaración de IRPF; la nómina de enero de 2017; el
resguardo de ING y el contrato firmado.
3.- Requerimiento informativo a SUPERWAGEN, S.A.:
La Inspección de Datos dirige un requerimiento informativo a SUPERWAGEN en
fecha 08/06/2018. LA entidad presenta en fecha 10/07/2018 en el Registro de este
organismo un conjunto de documentos sin hacer alegación o declaración de ningún
tipo.
Aporta los documentos siguientes:
- Escrito de la Abogada del denunciante dirigido
SUPERWAGEN en el que le reclama una indemnización por
los daños derivados de negligencia en la custodia de datos e
incumplimiento del deber de identificar a los prestatarios,
suplantación de identidad y estafa.
- Copia de la denuncia que el denunciante interpuso en la
Comisaría de Policía de ***LOCALIDAD.1 el 08/01/2018
- Copia de una factura de SUPERWAGEN por importe de 199
euros (número V1/17 131), de fecha 31/03/2017, a nombre
de NAT 21 CONSULTORÍA Y FORMACIÓN
- Certificado del responsable del Departamento de
Administración y Contabilidad de SUPERWAGEN en el que
se mencionan, entre otras cuestiones, ?Que se ha cobrado
transferencia ordenada desde BBVA el día 21-02-2017 por
valor de 11.778,00? y transferencia ordenada por WIZINK
BANK de 20.300,00? el día 17-02-2017 ??
- Documento del Banco Sabadell acreditativo de un abono en
cuenta siendo ordenante BBVA; beneficiario SUPERWAGEN;
el nominal 11.778 ? y la fecha valor el 21/02/2017. En el
apartado ?observaciones? consta el nombre y dos apellidos
del denunciante.
- Copia de una factura emitida por SUPERWAGEN (número
CN1/178) a nombre de NAT 21 CONSULTORÍA Y
FORMACIÓN, S.L., por importe de 31.717,39 euros
correspondientes a un vehículo Volkswagen Golf GTD.
- Copia de un contrato de Préstamo de financiación a
comprador con número ***PRESTAMO.2 en el que figuran
como datos del ?comprador prestatario? NAT 21
CONSULTORÍA Y FORMACIÓN.
- Copia de un contrato de Préstamo número ***PRESTAMO.1
en el que figura como prestatario el denunciante.
- Copia del DNI del denunciante.
- Copia de la tarjeta acreditativa del NIF de la entidad NAT 21
CONSULTORÍA Y FORMACIÓN, S.L., B. 87509170.
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es
7/11
TERCERO: Los hechos objeto de la denuncia quedan sometidos a las disposiciones
de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y
normas de desarrollo.
El tratamiento de los datos personales del denunciante asociados a la pretendida
contratación de un préstamo, tratamiento que BBVA realizó sin legitimación para ello,
se inició en febrero de 2017 que es la fecha que figura en el documento de
contratación del préstamo a nombre del denunciante.
Paralelamente, obran en el expediente dos documentos que permiten concluir
que la entidad denunciada puso fin al referido tratamiento, para el que carecía de
legitimación, en abril de 2018. Nos referimos, por una parte, a la carta de fecha
17/04/2018 que BBVA dirige al denunciante en respuesta al requerimiento de su
Abogada. En esta carta le comunica que tras contactar con su departamento de
Prescripción de Préstamos le han confirmado que se ha detectado el fraude y
?confirmamos que el crédito ha sido cancelado?. Por otra, BBVA remitió a esta Agencia
con su respuesta al primero de los requerimientos informativos de la Inspección, un
documento con el desglose de la deuda que estaba asociada al denunciante y en el
que no existe deuda a cargo del denunciante.
Así pues, todo indica que el tratamiento de los datos personales del afectado
que BBVA llevó a cabo sin legitimación para ello había finalizado antes de la entrada
en vigor del Reglamento (UE) 2016/679, lo que aconteció el 25/05/2018.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección
de las personas físicas en lo que respecta al tratamiento de datos personales y a la
libre circulación de estos datos (RGPD), de plena aplicación desde el 25 de mayo de
2018, reconoce a cada autoridad de control y de conformidad con lo establecido en el
artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y Garantía de los Derechos Digitales (LOPDGDD), es competente para
resolver esta reclamación la Directora de la Agencia Española de Protección de Datos.
II
El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley
Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal,
aprobado por
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es
8/11
?Si de las actuaciones no se derivasen hechos susceptibles de motivar la
imputación de infracción alguna, el Director de la Agencia Española de Protección de
Datos dictará resolución de archivo que se notificará al investigado y al denunciante,
en su caso.?
III
La LOPD dispone en el artículo 6 bajo la rúbrica ?Consentimiento del afectado?:
?1. El tratamiento de los datos de carácter personal requerirá el consentimiento
inequívoco del afectado, salvo que la ley disponga otra cosa.
2. No será preciso el consentimiento cuando los datos de carácter personal se
recojan para el ejercicio de las funciones propias de las Administraciones Públicas en
el ámbito de sus competencias; cuando se refieran a las partes de un contrato o
precontrato de una relación negocial, laboral o administrativa y sean necesarios para
su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por
finalidad proteger un interés vital del interesado en los términos del artículo 7,
apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al
público y su tratamiento sea necesario para la satisfacción del interés legítimo
perseguido por el responsable del fichero o por el del tercero a quien se comuniquen
los datos, siempre que no se vulneren los derechos y libertades fundamentales del
interesado.
El artículo 44.3.b) LOPD tipifica como infracción grave ?Tratar datos de carácter
personal sin recabar el consentimiento de las personas afectadas, cuando el mismo
sea necesario conforme a lo dispuesto en la Ley y sus disposiciones de desarrollo?.
El artículo 6 LOPD consagra el ?principio del consentimiento o
autodeterminación?, piedra angular en la construcción del derecho fundamental a la
protección de datos que alude a la necesidad de contar con el consentimiento del
afectado para que puedan tratarse sus datos personales. Conforme al citado precepto,
el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley
constituye una vulneración de este derecho, pues únicamente el consentimiento, con
las excepciones contempladas en la ley, legitima el tratamiento.
IV
La denuncia que examinamos versa sobre el tratamiento de los datos personales
del denunciante (nombre, apellidos y DNI) efectuado por BBVA sin su consentimiento y
materializado en haber contratado a su nombre un préstamo por importe de 13.075,40
euros en fecha 16/02/2017.
A tal efecto obran en el expediente varias copias del contrato de préstamo
***PRESTAMO.1 en el que BBVA tiene la condición de prestamista, el denunciante la
de prestatario y la entidad SUPERWAGEN, S.A. la de intermediario del crédito. El
citado documento está rubricado y tiene fecha de 16/02/2017.
Los datos personales del denunciante constan en otros documentos conexos al
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es
9/11
anterior. En particular, en un contrato de seguro colectivo de vida Plan de Pagos
Protegidos, de fecha 16/02/2017, y en la Información normalizada sobre crédito al
consumo que se ha de facilitar al solicitante del crédito con carácter previo a la firma
del contrato.
El denunciante tuvo conocimiento de la existencia de un contrato de préstamo
suscrito a su nombre con BBVA a raíz del SMS que en enero de 2018 se recibe en el
móvil de su esposa y en el que le requieren el pago de una deuda pendiente. En la
denuncia interpuesta en la Comisaría de Policía el 08/01/2018 niega categóricamente
la celebración de un contrato y afirma que de los datos tratados (los que constan en el
contrato que BBVA dio de alta a su nombre) sólo le pertenecen el NIF, nombre y dos
apellidos.
Pues bien, una vez constatado que BBVA trató los datos personales del afectado
sin su consentimiento asociados a la celebración de un contrato de préstamo a su
nombre procede analizar si en la actuación de la denunciada intervino culpa o
negligencia o si, por el contrario, observó la diligencia mínima que resultaba
imprescindible, atendidas las circunstancias del caso, a fin de asegurarse de que la
persona que facilitó como suyos los datos del afectado era quien decía ser.
La exigencia de responsabilidad sancionadora presupone que esté presente el
elemento subjetivo de la infracción pues rige en nuestro Derecho sancionador el
principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad
objetiva del presunto infractor. La presencia del elemento subjetivo o elemento
culpabilístico como condición para que nazca responsabilidad sancionadora ha sido
reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que
afirma que las sanciones administrativas participan de la misma naturaleza que las
penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como
exigencia derivada de los principios de seguridad jurídica y legalidad penal
consagrados en los artículos 9.3 y 25.1 de la
imponerlas.
A su vez, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el
artículo 28, bajo la rúbrica ?Responsabilidad?, ?1. Sólo podrán ser sancionadas por
hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así
como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las
uniones y entidades sin personalidad jurídica y los patrimonios independientes o
autónomos, que resulten responsables de los mismos a título de dolo o culpa.?
Por tanto, a la luz de este precepto, la responsabilidad sancionadora puede
exigirse a título de dolo o de culpa, siendo suficiente en este último caso la mera
inobservancia del deber de cuidado. En la Sentencia de 17/10/2007 (Rec. 63/2006) la
Audiencia Nacional (Sala de lo Contencioso Administrativo) expuso que ?....el ilícito
administrativo previsto en el artículo 44.3.d) de la LOPD se consuma, como suele ser
la norma general en las infracciones administrativas, por la concurrencia de culpa leve.
En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992
dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones
administrativas los responsables de los mismos, aun a título de simple inobservancia.
Esta simple inobservancia no puede ser entendida como la admisión en Derecho
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es
10/11
administrativo sancionador de la responsabilidad objetiva ??
La doctrina de la Audiencia Nacional sobre esta materia es exigir a aquellas
entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de
datos de clientes y terceros que observen un adecuado nivel de diligencia. En la SAN
de 17/10/2007 (Rec. 63/2006), la Sala de lo contencioso-administrativo precisó que ??
el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado
por ajustarse a las prevenciones legales al respecto?.
Especialmente significativa es también la SAN de 29/04/2010 que, a propósito
de la contratación fraudulenta, indicó en su Fundamento Jurídico sexto: ?La cuestión
no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante
sin su consentimiento, como si empleó o no una diligencia razonable a la hora de
tratar de identificar a la persona con la que suscribió el contrato?.
Trasladando las reflexiones precedentes al supuesto que nos ocupa y a la luz de
la documentación que integra el expediente administrativo puede afirmarse que BBVA
desplegó con ocasión del tratamiento de los datos del afectado una diligencia
razonable y adecuada que priva a su conducta del imprescindible elemento de culpa.
Por una parte, en el convenio que había firmado con SUPERWAGEN se
estipulaba cuál era el protocolo que debía seguir la intermediaria del préstamo a fin de
garantizar la identidad del contratante, los documentos que debía recabar y que debía
facilitárselos a BBVA (al gestor encargado del préstamo) a través de correo
electrónico.
Por otra, BBVA ha acreditado que recabó y conservó tal documentación. En este
sentido ha aportado la copia del DNI del denunciante -documento que estaba vigente
en la fecha en la que se dio de alta el contrato de préstamo a su nombre-, una
declaración del IRPF del denunciante correspondiente al ejercicio fiscal 2015; una
nómina a nombre del denunciante correspondiente a enero de 2017 y la copia de un
documento de adeudo en cuenta correspondiente a la entidad ING DIRECT en el que
figuran los veinte dígitos de una cuenta finalizada en 62 respecto a la que se indica
que es titular el denunciante y en el que se refleja la domiciliación de una factura a
nombre del denunciante. A mayor abundamiento ha aportado una copia del email
mediante el cual la intermediaria del préstamo le remitió tanto el documento
contractual firmado como la copia de todos los documentos antes citados. Este email
es de fecha 17/02/2017.
La documentación citada nos permite afirmar que la denunciada observó una
adecuada diligencia a fin de dar cumplimiento a la obligación que le impone el artículo
6.1 de la LOPD, lo que priva a su conducta del elemento subjetivo de la infracción.
Por ello, aunque la conducta analizada pueda resultar contraria al citado
precepto, no es subsumible en el tipo infractor del artículo 44.3.b) LOPD y no es
merecedora de reproche o sanción administrativa.
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es
11/11
Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
1. PROCEDER AL ARCHIVO de las presentes actuaciones.
2. NOTIFICAR la presente Resolución a BANCO BILBAO VIZCAYA
ARGENTARIA, S.A., con CIF A48265169 y a D. A.A.A..
De conformidad con lo establecido en el artículo 50 de la
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la
LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas, los interesados podrán interponer, potestativamente,
recurso de reposición ante la Directora de la Agencia Española de Protección de Datos
en el plazo de un mes a contar desde el día siguiente a la notificación de esta
resolución o directamente recurso contencioso administrativo ante la Sala de lo
Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el
artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de
13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de
dos meses a contar desde el día siguiente a la notificación de este acto, según lo
previsto en el artículo 46.1 del referido texto legal.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.agpd.es
28001 ? Madrid sedeagpd.gob.es