1/24
Expediente N.º: EXP202301519
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: D. A.A.A. y B.B.B. (en adelante la parte reclamante) con fecha 29/12/2022
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra BANCO SANTANDER, S.A. con NIF A39000013 (en
adelante, la parte reclamada). Los motivos en que basa la reclamación son los
siguientes:
El 31/03/2005, adquirió una vivienda a través de un préstamo con garantía hipotecaria
suscrito con la reclamada cuya duración era de 35 años. En la escritura de préstamo,
además de la garantía hipotecaria de la propia finca y de la responsabilidad personal
de los prestatarios compradores, por parte de la mercantil Gardeblock, S.L. (como
garantía añadida de devolución del préstamo hipotecario concedido) se constituyó
también garantía hipotecaria sobre una vivienda unifamiliar propiedad de dicha
mercantil. En fecha 27/06/2011 y de forma voluntaria, la mercantil Gardeblock, S.L.
vendió a un tercero la vivienda unifamiliar que garantizaba la operación de préstamo
de la parte reclamante, destinándose parte de la cantidad obtenida con la venta a
liberar la responsabilidad hipotecaria pendiente de pago sobre la vivienda de la parte
reclamante. En fecha 05/10/2021, la parte reclamante recibe demanda judicial de la
citada mercantil, exigiendo el pago del importe que había abonado, pese a que la
venta fue voluntaria y la deuda no vencía hasta el año 2040. Entre la documentación
que acompañaba a la demanda, figuraba un certificado bancario expedido por la parte
reclamada, de 25/06/ 2021, que contenía un listado con el cuadro de amortización del
préstamo con garantía hipotecaria suscrito por la parte reclamante, que abarcaba
desde el 21/06/2011 hasta la finalización del préstamo, esto es, todo el período
posterior a la liberación de la responsabilidad de Gardeblock, S.L. A raíz de lo ocurrido,
la parte reclamante presentó reclamación ante la parte reclamada, el ***FECHA.1, por
facilitar datos bancarios a terceros ajenos a la operación, recibiendo respuesta en
fecha ***FECHA.2, en la que la parte reclamada pide disculpas por lo ocurrido e indica
lo siguiente: "Hemos abierto una investigación independiente para esclarecer los
hechos y, si fuera necesario, tomar las medidas necesarias (tanto disciplinarias como
procedimentales) para evitar que hechos así puedan volver a ocurrir. Tras revisar los
hechos denunciados lamentablemente hemos confirmado que, tras una solicitud
formal sobre la información de los pagos efectuados por la empresa Gardeblock, S.L.
sobre un préstamo hipotecario, la sucursal adjuntó por un error humano información
adicional de movimientos posteriores a la amortización finalmente efectuada por dicha
empresa".
Junto a la reclamación aporta acreditación de la representación, copia de la escritura
del préstamo hipotecario, copia del certificado y de la documentación adjunta al mismo
(cuadro de amortización), copia de la reclamación efectuada y de la respuesta
recibida, documentación relativa a las comunicaciones mantenidas con la parte
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/24
reclamada solicitando una compensación económica por lo sucedido y las
correspondientes respuestas rechazando cualquier tipo de compensación.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), el 08/02/2023 se dio traslado de dicha reclamación a la parte
reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo
de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos
en la normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 09/02/2023
como consta en el acuse de recibo que obra en el expediente.
El reclamado mediante escrito de 14/03/2023 señalaba:
Que en su momento se concedió un préstamo a la reclamante, garantizado con
una hipoteca sobre la vivienda que era objeto de adquisición y que se trataba de
financiar; que el citado préstamo hipotecario además de estar garantizado por la citada
vivienda estaba también garantizado por un inmueble que era titularidad de la empresa
Gardeblock, SL, que comparecía en la escritura de préstamo como hipotecante no
deudor.
La mercantil Gardeblock, S.L. vendió a un tercero la vivienda unifamiliar, que
garantizaba según aquella Cláusula Novena de la escritura de hipoteca el préstamo
de la parte reclamante por hasta 94.000 euros de principal, más intereses ordinarios,
intereses de demora y costas, y procedió a liberar la responsabilidad hipotecaria
pendiente sobre la vivienda de la Gardeblock,S.L., mediante el pago a mi
representada de la cantidad de 85.344,01 euros, por lo que se otorgó a favor de
aquella entidad la escritura de cancelación de la hipoteca constituida, según el
certificado expedido por el banco unido a la reclamación.
Que recibido por la parte reclamante reclamación judicial por parte de aquella
entidad, entre la documentación que acompañaba a la demanda, figura un certificado
bancario expedido por la reclamada, que contiene un listado con el cuadro de
amortización del préstamo con garantía hipotecaria suscrito por la parte reclamante,
que abarcaba desde el 21 de junio de 2011 hasta la finalización del préstamo.
Por este motivo, la reclamante formuló reclamación ante la reclamada por
facilitar datos bancarios a terceros ajenos a la operación.
A esta reclamación la Oficina de Privacidad respondió solicitando disculpas,
manifestando que se tomaban medidas para evitar que volviera a suceder, todo ello
como consecuencia de haberse producido una información por error extensiva a
movimientos posteriores a la amortización del préstamo por la empresa ya referida.
Los reclamantes han aportado ante la Agencia, además del certificado de la
cancelación de la hipoteca de la empresa Gardeblock, dos tipos de documentos
distintos: uno, que se identifica cómo Calendario de pagos y, otro, como Cuadro de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/24
operaciones emitidas; este segundo documento en el que se van reflejando los pagos
de cada una de las cuotas de amortización y de intereses no se debió entregar.
TERCERO: Con fecha 29/03/2023, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 05/06/2023, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta
infracción por la presunta infracción de los artículos 5.1.f) y 32.1 del RGPD, tipificadas
en los artículos 83.5.a) y 83.4.a) del citado RGPD.
QUINTO: Notificado el acuerdo de inicio el reclamado presentó escrito de alegaciones
el 22/06/2023 manifestando, en síntesis: que cuando se tuvo conocimiento del
incidente se puso en funcionamiento el procedimiento interno de gestión de brechas
de seguridad y la revisión de las actuaciones producidas y los hechos evidencian que
la empleada de la oficina que finalmente entrega el listado de amortizaciones inicio y
concluyo el proceso de consulta al Departamento que debía asesorarle,
produciéndose un error humano en la interpretación de las instrucciones recibidas; que
la entrega del certificado se produce por un defectuoso entendimiento por la
empleada, aun estando asesorada, y ello por el
hecho de no ser una operación sencilla, sino algo compleja por la presencia en el
contrato de préstamo de un hipotecante no deudor que es parte del contrato, error que
se entiende pueda concurrir en el marco de unas relaciones jurídicas en este tipo de
contrato; que nos encontramos ante un error excusable y no una falta de diligencia.
SEXTO: Con fecha 07/07/2023, el instructor del procedimiento acordó la apertura de
un período de práctica de pruebas, acordándose las siguientes:
- Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por
los reclamantes y su documentación, los documentos obtenidos y generados
por los Servicios de Inspección que forman parte del expediente.
- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de
inicio presentadas por el reclamado y la documentación que acompaña.
SEPTIMO: Con fecha 04/04/2024 fue emitida Propuesta de Resolución en el sentido
de que por la Directora de la AEPD se sancionara a la parte reclamada por infracción
de los artículos 5.1.f) y 32.1 del RGPD, tipificadas en los artículos 83.5.a) y 83.4.a) del
RGPD, con multas de 50.000 € (cincuenta mil euros) y 20.000 € (veinte mil euros),
respectivamente.
Notificada la citada Propuesta, accediendo a su contenido el 08/04/2024, según consta
en acuse de recibo, la parte reclamada en escrito de 22/04/2024 señalaba que había
optado por proceder al pago voluntario de las sanciones en atención a las reducción
es previstas en el artículo 85 de la LPACAP, con renuncia a cualquier recurso en vía
administrativa, reconociendo su responsabilidad en relación con los hechos que han
dado lugar al procedimiento.
La parte reclamada adjuntaba justificante de haber efectuado el pago de las sanciones
con la doble reducción, en atención, primero, al reconocimiento de responsabilidad y,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/24
segundo, por pago en forma voluntaria antes de recaer la resolución del
procedimiento, reducida a 42.000 euros.
En escrito de fecha 03/05/2024 el instructor del procedimiento informo a la
parte reclamada que el reconocimiento de la responsabilidad debía manifestarse
iniciado el procedimiento, durante el plazo para formular alegaciones a la apertura del
procedimiento de conformidad con lo señalado en el artículo 85 de la Ley 39/2015,
para que fuera aplicable la reducción prevista del 20% sobre la sanción, a diferencia
en relación con el descuento por pago voluntario de la sanción, que podriá aplicarse
cuando dicho pago se produzca en cualquier momento anterior a la resolución; que el
artículo 85.2 de la LPACAP se refiere de manera expresa y única al pago voluntario, y
no al reconocimiento de la responsabilidad, determinando que dicho pago se podrá
producir en cualquier momento anterior a la resolución. Y que el artículo 85.3 señala
que “En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción”, lo que supondría
que ambas deben estar en el acuerdo de inicio, de manera que no contempla que
ambas reducciones estén en la propuesta de resolución o que se puedan abonar
acumulativamente en cualquier momento anterior a la resolución; que en base a todo
ello se le concedía un plazo de tres días a fin de que manifiesten si se acogen o no a
la única reducción a la que tienen derecho, indicado en la Propuesta de resolución,
reducción por pago voluntario de las sanciones propuestas antes de recaer
Resolución, efectuando el ingreso correspondiente.
Con fecha 14/05/2024 la parte reclamada presento escrito de alegaciones en
respuesta al instructor del procedimiento señalando en alegación única que ni en el
artículo 85 de la LPACAP, ni en ningún otro precepto existe justificación laguna a la
limitación que se pretende aplicar al amparo del apartado 1 del citado artículo, que la
sentencia del TS de 06/10/2022 ya señala que efectivamente el artículo 85 establece y
distingue dos modos de terminar el procedimiento, sin embargo esos modos no se
distinguen por la existencia de unos desconocidos plazos temporales para su ejercicio
sino por sus efectos posteriores y, finalmente, que la dicción del articulo 85.3 LPACAP
avala la interpretación postulada por la parte reclamada.
OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes,
HECHOS PROBADOS
PRIMERO. El 29/12/2022 tiene entrada en la AEPD escrito de la parte reclamante en
el que manifiesta que el 31/03/2005 adquirió una vivienda a través de un préstamo con
garantía hipotecaria suscrito con la parte reclamada. En la escritura de préstamo, se
constituyó además con la mercantil Gardeblock, S.L. garantía hipotecaria sobre una
vivienda unifamiliar propiedad de dicha mercantil. En fecha 27/06/2011 y de forma
voluntaria, la mercantil Gardeblock, S.L. liberó su responsabilidad hipotecaria
pendiente de pago sobre la vivienda de la parte reclamante. En fecha 05/10/2021, la
parte reclamante recibe demanda judicial de la citada mercantil, exigiendo el pago del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/24
importe que había abonado, pese a que la venta fue voluntaria y la deuda no vencía
hasta el año 2040. Entre la documentación que acompañaba a la demanda, figuraba
un certificado bancario expedido por la parte reclamada, de 25/06/ 2021, que contenía
un listado con el cuadro de amortización del préstamo con garantía hipotecaria
suscrito por la parte reclamante, que abarcaba desde la liberación de la
responsabilidad de Gardeblock, S.L. hasta la finalización del préstamo. La parte
reclamante presentó reclamación ante la parte reclamada por facilitar datos bancarios
a terceros ajenos a la operación, recibiendo respuesta en la que pide disculpas por lo
ocurrido e indica lo siguiente: "Hemos abierto una investigación independiente para
esclarecer los hechos y, si fuera necesario, tomar las medidas necesarias (tanto
disciplinarias como procedimentales) para evitar que hechos así puedan volver a
ocurrir. Tras revisar los hechos denunciados lamentablemente hemos confirmado que,
tras una solicitud formal sobre la información de los pagos efectuados por la empresa
Gardeblock, S.L. sobre un préstamo hipotecario, la sucursal adjuntó por un error
humano información adicional de movimientos posteriores a la amortización finalmente
efectuada por dicha empresa".
SEGUNDO. Constan aportados los DNIs de los reclamantes.
TERCERO. Consta aportado documento expedido por la parte reclamada en el que
MANIFIESTA:
“(…)
Que en fecha 14 de noviembre de 2011, mediante escritura pública otorgada ante el
Notario D. C.C.C. al número XXX de su protocolo, se otorgó cancelación de la carga
hipotecaria inscrita sobre la finca registral número XXXX, tras la amortización
extraordinaria del préstamo previamente descrito realizada por importe de 85.344,01
euros. Se acompaña como anexo al presente el cuadro de amortización del préstamo
desde dicha fecha.
Y para que conste expido el presente documento, a petición de D.D.D. en
representación de Gardeblock, S.L., en Zaragoza a 21 de junio de 2021”.
CUARTO. Consta aportado el Cuadro de Operaciones Emitidas y Calendario de pagos
del préstamo otorgado.
QUINTO. Consta escrito de 08/11/2021 del letrado de la parte reclamante dirigido a la
parte reclamada en relación con la entrega sin consentimiento de documentación
financiera confidencial a tercero (Gardeblock, S.L.), ajeno a la relación mercantil que
mantienen su representados con la parte reclamada, utilizados para ejercitar acciones
judiciales ajenos a sus intereses.
SEXTO. Consta aportado representación del letrado de la parte reclamante y correos
electrónicos cruzados entre el letrado y la parte reclamada de fechas 04/02/2022,
18/03/2022 y 27/04/2022, en los que entre otras se solicita compensación económica
por los perjuicios ocasionados.
SEPTIMO. Consta escrito remitido por la parte reclamada al letrado de la parte
reclamante, de fecha 25/01/2022, manifestando que:
“(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/24
Tras revisar los hechos denunciados lamentablemente hemos confirmado que tras una
solicitud formal sobre la información de pagos efectuados por la empresa Gardeblock,
S.L., sobre un préstamo hipotecario, la sucursal adjunto por un error humano
información adicional de movimientos posteriores a la amortización finalmente
efectuada por dicha empresa.
(…)”
OCTAVO. El reclamado ha aportado Circular C.028/2021 cuyo objeto es informar
sobre el funcionamiento de las Unidades de Asesoramiento Jurídico especializado que
se presta a la Red de Oficinas y demás Áreas del Santander España.
NOVENO. El reclamado ha aportado Circular C.097-2019 con objeto de que las
Oficinas que no podían obtener la información por las herramientas Santander, se
creaba el nuevo servicio de datos históricos Popular.
DECIMO. Constan impresiones de pantalla relativas a la actuación de la oficina con el
departamento Atención Jurídica del Negocio (AJN).
UNDECIMO. Consta correo electrónico enviado a AJN en el que figura lo siguiente:
“De: E.E.E. <***EMAIL.1>
(…)
Sobre este asunto comentarles que la empresa Gardeblock S.l. a través del abogado
… (se bastantearon los poderes antes de informar de nada), nos solicitó un certificado
donde se indicara que la empresa había amortizado en la hipoteca de la parte
reclamante un importe procedente de la venta del inmueble que les habían cedido
como garantía. Nos aportaron escrituras de venta, copia del cheque y demás
documentación. Con todo eso se solicitó a asesoría jurídica interna que nos indicara
que hacer y la respuesta fue que solicitáramos a histórico popular más documentación
ya que no teníamos información suficiente.
Se solicitó todo y nos salía una discrepancia en el importe que ellos decían haber
amortizado y el que salía en históricos popular. Volvimos a consulta con asesoría
jurídica y nos indicó que certificáramos con el importe que nos salía a nosotros,
facilitándonos el modelo de certificado y la documentación que teníamos que
apórtarles, que era el cuadro de amortización desde esa fecha.
Adjunto todas las consultas de asesoría jurídica, así como toda la documentación que
hemos obtenido.
(…)”.
DUODECIMO. El reclamado ha aportado Informe final relativo a la incidencia y
Análisis de Riesgos; el incidente es catalogado como moderado.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/24
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 6 8.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los
procedimientos tramitados por la Agencia Española de Protección de Datos se regirán
por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las
disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las
contradigan, con carácter subsidiario, por las normas generales sobre los
procedimientos administrativos."
II
Cuestión Previa
La parte reclamada, notificada la Propuesta de Resolución con fecha
08/04/2024, en escrito de 22/04/2024 manifestaba: “Que, de conformidad con lo
previsto en el referido Acuerdo, mi representada ha optado por proceder, dentro del
plazo concedido, al pago voluntario de las sanciones en atención a las reducciones
previstas en el artículo 85 de la LPACAP, con renuncia caso de ser aceptado a
cualquier recurso en vía administrativa, reconociendo su responsabilidad en relación
con los hechos que han dado lugar a este procedimiento.
Que como se acredita con el justificante de transferencia, que se acompaña, mi
representada ha efectuado el pago de la sanción, con la doble reducción prevista en
aquel precepto, en atención, primero, al reconocimiento de responsabilidad y,
segundo, a la que procede por pago en forma voluntaria antes de recaer la resolución
del procedimiento siempre que al mismo tiempo no se haya impuesto una sanción no
pecuniaria, como consecuencia de lo cual, la sanción ha quedado reducida a 42.000
euros”.
Con fecha 03/05/2024 el instructor del procedimiento informaba a la parte
reclamada que la doble reducción no era posible ya que el reconocimiento de la
responsabilidad debía manifestarse iniciado el procedimiento, durante el plazo para
formular alegaciones a la apertura del procedimiento de conformidad con lo señalado
en el artículo 85.1 de la Ley 39/2015, para que fuera aplicable la reducción prevista del
20% sobre la sanción, diferenciando de la reducción por pago voluntario de la sanción,
que podría aplicarse cuando dicho pago se produzca en cualquier momento anterior a
la resolución y se le concedía un plazo de tres días a fin de que manifestaran si se
acogía o no a la única reducción a la que tenían derecho, indicado en la Propuesta de
resolución.
La parte reclamada ha alegado que ni en el artículo 85 de la LPACAP, ni en
ningún otro precepto existe justificación a la limitación que se pretende aplicar al
amparo de lo señalado en el artículo 85.1 de la LPACAP, estando de acuerdo en que
tal reconocimiento de la responsabilidad debe hacerse “iniciado” el procedimiento,
porque así lo dice expresamente en el citado precepto, pero lo que no dice dicho
precepto es que tal reconocimiento ha de hacerse sólo “al inicio” del procedimiento,
motivo por el que esta entidad no puede aceptar tal interpretación que considera
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/24
restrictiva de sus derechos y, acude para fortalecer su alegato a la sentencia del TS
1260/2022, 6 de Octubre de 2022.
Hay que señalar que la Propuesta de Resolución emitida en fecha 04/04/2024,
en su en su parte dispositiva señalaba que:
“Que por la Directora de la Agencia Española de Protección de Datos se
sancione a BANCO SANTANDER, S.A., con NIF A39000013,
- Por la infracción del artículo 5.1.f), tipificada en el artículo 83.5.a) del citado
RGPD, una sanción de 50.000 € (cincuenta mil euros), y
- Por la infracción del artículo 32.1 del RGPD, tipificada en el artículo 83.4.a)
del citado RGPD, una sanción de 20.000 € (veinte mil euros).
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP,
se le informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe total de la misma. Con la aplicación de
esta reducción, la sanción quedaría establecida en 56.000 € (cincuenta y seis mil
euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la
imposición de las medidas correspondientes. La efectividad de esta reducción estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción”.
Por otra parte, el artículo 85, Terminación en los procedimientos sancionadores,
de la LPACAP establece que:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su
responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción
que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa
imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado
la improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario,
el órgano competente para resolver el procedimiento aplicará reducciones de, al
menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables
entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de
iniciación del procedimiento y su efectividad estará condicionada al desistimiento o
renuncia de cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.
El reconocimiento de la responsabilidad, como se señalaba en el Acuerdo de
inicio, debe manifestarse iniciado el procedimiento, durante el plazo para formular
alegaciones a la apertura del procedimiento. Ello de conformidad con lo establecido en
el citado artículo 85 de la Ley 39/2015, según el cual el reconocimiento de la
responsabilidad debe producirse “iniciado el procedimiento” para que sea aplicable la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/24
reducción prevista del 20% sobre la sanción, a diferencia de lo que se establece
expresamente en relación con el descuento por pago voluntario de la sanción, que
podrá aplicarse cuando dicho pago se produzca en cualquier momento anterior a la
resolución. Si el citado precepto ha distinguido las condiciones en los dos modos de
terminación voluntaria del procedimiento indicados, ninguna interpretación deberá
igualar estas condiciones como si no existieran diferencias en su regulación.
El artículo 85.2 de la LPACAP se refiere de manera expresa y única al pago
voluntario, y no al reconocimiento de la responsabilidad, determinando que dicho pago
se podrá producir en cualquier momento anterior a la resolución. Así, no cabe
distinguir u obligar donde la Ley no distingue u obliga. A mayor abundamiento, el
artículo 85.3 indica que “En ambos casos, cuando la sanción tenga únicamente
carácter pecuniario, el órgano competente para resolver el procedimiento aplicará
reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo
éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en
la notificación de iniciación del
procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción”, lo que supone que
ambas deben estar en el acuerdo de inicio (remisión del artículo 85.1 al 64 de la
LPACAP), de modo que no contempla que ambas reducciones estén en la propuesta
de resolución o que se puedan abonar acumulativamente en cualquier momento
anterior a la resolución.
Así lo entiende también la Audiencia Nacional, Sala de lo Contencioso-
administrativo, Sección 1ª, que en su Sentencia de 05/02/2021, Rec. 41/2019, indica
que el pago voluntario puede producirse en cualquier momento anterior a la
resolución, mientras que la reducción por reconocimiento de la responsabilidad está
ligada al acuerdo de inicio y a la previsión del artículo 64.2.d) de la Ley 39/2015: “En
cuanto a la infracción de lo previsto en los artículos 64 y 85 de la Ley 39/2015, que
contemplan la posibilidad de reconocer la responsabilidad en el momento de la
notificación de la resolución de inicio del procedimiento (art. 64.2.d) y acogerse a las
reducciones previstas en el artículo 85, en el acuerdo de inicio del procedimiento hay
una expresa referencia a esos artículos, indicando que no resultan de aplicación los
apartados 2 y 3 del artículo 85; además, en ningún momento el demandante ha
mostrado su voluntad de reconocer la responsabilidad por la infracción sancionada y
acogerse a la posibilidad establecida en dichos artículos (el pago voluntario puede
hacerse en cualquier momento anterior a la resolución), por lo que procede desestimar
también esta alegación”.
Por último, en relación con la STS 1260/2022, de 06/10/ 2022, si bien
relacionada con lo que trata de dilucidarse en el presente procedimiento sancionador,
la cuestión sometida a debate en la Sección Quinta de la Sala de lo contencioso-
administrativo del TS era una cuestión completamente diferente: determinar si
realmente se había producido la caducidad del procedimiento por haber transcurrido el
plazo establecido para su tramitación, y vinculado a lo anterior, si debía entenderse
que el procedimiento había terminado con el pago anticipado, con la reducción del
20%, que había aceptado la sancionada, sin necesidad de una ulterior resolución
expresa, o si, por el contrario, la terminación del procedimiento no se produce sino
cuando se dicta el acto expreso poniendo fin al mismo, es decir, con el acuerdo del
Consejo de Ministros que es objeto de impugnación en este proceso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/24
A mayor abundamiento, el Fundamento Primero, Objeto del recurso, se señala
que: “(…) La propuesta de resolución recoge los hechos y calificación ya expuestos
anteriormente, aun cuando se reduce la cuantía de la responsabilidad ocasionada al
dominio público, siendo notificada a la interesada en fecha 19 de abril de 2021. El
siguiente día 14 de mayo presenta escrito la sancionada en el que acepta los hechos
imputados, acogiéndose a la facultad de pago voluntario de la sanción propuesta, con
la reducción del 20 por 100, entregándosele carta de pago por el Organismo de
Cuenca, que fue atendido por la sancionada (el subrayado es de la AEPD).
(…)”.
Por tanto, no aceptándose las alegaciones vertidas por la parte reclamada en
su escrito de 14/05/12024, de que se admitan las reducciones solicitadas con
posterioridad a la emisión de la Propuesta de Resolución, no puede considerarse que
el interesado se haya acogido legalmente a ninguna de las dos reducciones previstas
en el mencionado artículo 85, con lo que deberá ingresar el importe total de las multas
correspondiente a las infracciones cometidas, sin reducción alguna, de conformidad
con lo señalado en la parte dispositiva de esta Resolución.
III
Primera obligación incumplida: infracción del artículo 5.1.f) del RGPD
Los hechos reclamados se materializan en el acceso a los datos de la parte
reclamante, como consecuencia de la información transmitida a un tercero por el
reclamado en relación con un préstamo hipotecario suscrito por la parte reclamante, lo
que podría conllevar la vulneración de la normativa en materia de protección de datos
de carácter personal.
El artículo 5 del RGPD, Principios relativos al tratamiento, establece que:
“1. Los datos personales serán:
(…)”
f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o
ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación
de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»).
(…)”
Asimismo, en el Considerando 39 se señala que “Deben tomarse todas las
medidas razonables para garantizar que se rectifiquen o supriman los datos
personales que sean inexactos. Los datos personales deben tratarse de un modo que
garantice una seguridad y confidencialidad adecuadas de los datos personales,
inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo
utilizado en el tratamiento”.
La documentación obrante en el expediente ofrece indicios evidentes de que el
reclamado ha vulnerado el artículo 5 del RGPD, principios relativos al tratamiento, en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/24
lo relativo al principio de confidencialidad de los datos contenido en el apartado 1, letra
f), al ser comunicado a un tercero, hipotecante no deudor, listado conteniendo el
cuadro de amortización de préstamo con garantía hipotecaria suscrito por la parte
reclamante, vulnerando el deber de confidencialidad e integridad de los datos.
Este deber debe entenderse que tiene como finalidad evitar que se realicen
filtraciones de los datos no consentidas por los titulares de los mismos y viene
regulada en el citado artículo haciendo referencia al principio de integridad y
confidencialidad como uno de los principios de la protección de datos:
En la respuesta ofrecida al requerimiento de información efectuado por la
AEPD, en fecha 13/03/2023, ratificado en el escrito de alegaciones al acuerdo de
inicio, el reclamado manifestaba: “En fecha 5 de octubre de 2021, la parte reclamante
recibe una demanda judicial de la citada mercantil, exigiendo el pago del importe que
había abonado, pese a que la venta fue voluntaria y la deuda no vencía hasta el año
2040.
Entre la documentación que acompañaba a la demanda, figuraba un certificado
bancario expedido por la parte reclamada, en fecha 25 de junio de 2021, que contenía
un listado con el cuadro de amortización del préstamo con garantía hipotecaria
suscrito por la parte reclamante, que abarcaba desde el 21 de junio de 2011 hasta la
finalización del préstamo, esto es, todo el período posterior a la liberación de la
responsabilidad de Gardeblock, S.L.”
Y en escrito de 21/06/2023 manifestaba que “se ha producido una entrega
inadecuada de datos por la persona encargada de entregar el certificado que origina
estas actuaciones debido a su defectuoso entendimiento del asesoramiento recibido
en relación una relación contractual compleja” (los subrayados corresponden a la
AEPD).
Asimismo, en el Informe elaborado a raíz de la incidencia se indica que “…
desde el momento en que el Banco libera de responsabilidad la finca titularidad de
Gardeblock, debe considerarse excesivo facilitar la información relativa al contrato y
sus movimientos desde dicha fecha, tal y como se ha producido”.
El deber de confidencialidad es una obligación que incumbe no sólo al
responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier
fase del tratamiento y complementaria del deber de secreto profesional.
Por tanto, la actuación llevada a cabo por el reclamado permitiendo el acceso a
la información bancaria de la parte reclamante por un tercero supone la vulneración
del artículo 5.1.f) del RGPD, infracción tipificada en el artículo 83.5.a) del citado
RGPD.
IV
Tipificación de la infracción del artículo 5.1.f) del RGPD
La infracción que se le atribuye a la reclamada se encuentra tipificada en el
artículo 83.5 a) del RGPD, que considera que la infracción de “los principios básicos
para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/24
artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado
artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.
(…)”
V
Sanción por la infracción de del artículo 5.1.f) del RGPD
A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/24
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
- De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de
la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer
en el presente caso por la infracción del artículo 5.1.f) del RGPD, tipificada en el
artículo 83.5.a) del RGPD de la que se responsabiliza al reclamado, en una valoración
inicial, se estiman concurrentes los siguientes factores, como circunstancias
agravantes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/24
La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate; los
hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de
los datos de carácter personal, como es el de la confidencialidad de los mismos, que la
norma sanciona con la mayor gravedad al posibilitar con su actuación el acceso a un
tercero que no estaba legitimado con los perjuicios que ello puede conllevar pues la
información bancaria facilitada fue utilizada por la citada empresa (el tercero),
adjuntándolos a la demanda judicial contra la parte reclamante, exigiéndole el pago del
importe que había sido abonado (artículo 83.2, a) del RGPD).
La actividad de la entidad presuntamente infractora está vinculada con el
tratamiento de datos tanto de clientes como de terceros. En la actividad de la entidad
reclamada es imprescindible el tratamiento de datos de carácter personal de sus
clientes por lo que, dado volumen de negocio de la misma la transcendencia de la
conducta objeto de la presente reclamación es innegable (artículo 76.2.b) de la
LOPDGDD en relación con el artículo 83.2.k).
La intencionalidad o negligencia en la infracción; se observa una grave falta de
diligencia en la actuación de la reclamada puesto que la cesión de la información a un
tercero constituye un ilícito para el que no estaba legitimado. Conectado también con
el grado de diligencia que el responsable del tratamiento está obligado a desplegar en
el cumplimiento de las obligaciones que le impone la normativa de protección de datos
puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del
RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos.
La sentencia, después de aludir a que las entidades en las que el desarrollo de su
actividad conlleva un continuo tratamiento de datos de clientes y terceros han de
observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo
viene entendiendo que existe imprudencia siempre que se desatiende un deber legal
de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en
la valoración del grado de diligencia ha de ponderarse especialmente la
profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado,
cuando la actividad de la recurrente es de constante y abundante manejo de datos de
carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
prevenciones legales al respecto” (artículo 83.2, b) del RGPD).
El volumen de negocio del reclamado pues se trata de una de las entidades
financieras líderes dentro del mercado español, por su objeto de negocio (artículo
83.2, k) del RGPD).
Con arreglo a lo que antecede se estima adecuado establecer una sanción de
50.000 euros por vulneración del artículo 5.1.f) del RGPD.
VI
Segunda obligación incumplida: infracción del artículo 32.1 del RGPD
El artículo 32 del RGPD “Seguridad del tratamiento”, establece que:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/24
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente
en cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para
garantizar que cualquier persona que actúe bajo la autoridad del responsable o del
encargado y tenga acceso a datos personales solo pueda tratar dichos datos
siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del
Derecho de la Unión o de los Estados miembros”.
El RGPD define las violaciones de seguridad de los datos personales como
“todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o
alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos”.
La documentación obrante en el expediente ofrece indicios evidentes de que el
reclamado ha vulnerado el artículo 32.1 del RGPD, al producirse un incidente de
seguridad, motivado por la ausencia de diligencia en el cumplimento de las medidas
implantadas de carácter técnico y organizativas.
Hay que señalar que el RGPD en el citado precepto no establece un listado de
las medidas de seguridad que sean de aplicación de acuerdo con los datos que son
objeto de tratamiento, sino que establece que el responsable y el encargado del
tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo
que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de
aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de
probabilidad y gravedad para los derechos y libertades de las personas interesadas.
Asimismo, las medidas de seguridad deben resultar adecuadas y
proporcionadas al riesgo detectado, señalando que la determinación de las medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/24
técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el
cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y
resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un
incidente, proceso de verificación (que no auditoría), evaluación y valoración de la
eficacia de las medidas.
En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.
En este mismo sentido el considerando 83 del RGPD señala que:
“(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo
dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar
los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el
cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la
confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación
con respecto a los riesgos y la naturaleza de los datos personales que deban
protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben
tener en cuenta los riesgos que se derivan del tratamiento de los datos personales,
como la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales”.
- En el caso analizado, tal y como consta en los hechos y en el marco del
expediente de investigación la AEPD trasladó al reclamado la reclamación presentada
para su análisis solicitando la aportación de información relacionada con la incidencia
reclamada, confirmando en su respuesta la cesión del certificado bancario al tercero
solicitante del mismo, hipotecante no deudor.
De esta forma, la parte reclamada señalaba que “En relación con ello, recibida
la reclamación de los interesados, tras revisar los hechos denunciados se le da
respuesta confirmando que, lamentablemente, la sucursal ha adjuntado por error
información adicional de movimientos posteriores a la amortización finalmente
efectuada por dicha empresa, trasladándoles nuestras más sinceras disculpas, tal
como resulta de la repuesta de la Oficina de Privacidad que los reclamantes unen a su
reclamación”.
También ha manifestado que “se evidencia que el Banco ha realizado las
acciones necesarias para cumplir la obligación de implantar las medidas apropiadas
para asegurar un nivel de seguridad adecuado al riesgo del tratamiento, aunque en
este caso concreto no se haya podido evitar un resultado no querido por motivos
ajenos al proceso”
Hay que señalar que la responsabilidad del reclamado viene determinada por
no haberse adoptado el cuidado y agilidad idóneas que evitaran errores como el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/24
señalado, ya que es el responsable de tomar decisiones destinadas a implementar y
adecuar de manera efectiva las medidas organizativas apropiadas a fin de garantizar
un nivel de seguridad adecuado al riesgo para asegurar la confidencialidad de los
datos, restaurando su disponibilidad e impedir el acceso a los mismos en caso de
incidente físico o técnico.
En el correo electrónico de fecha 09/11/2021 remitido a Comunicaciones
Judiciales Adm se señala que:
“(…)
Con todo eso se solicitó a asesoría jurídica interna que nos indicara que hacer
y la respuesta fue que solicitáramos a histórico popular más documentación ya que no
teníamos información suficiente.
Se solicitó todo y nos salía una discrepancia en el importe que ellos decían
haber amortizado y el que salía en históricos popular. Volvimos a consultar con
asesoría jurídica y nos indicó que certificáramos con el importe que nos salía a
nosotros, facilitándonos el modelo de certificado y la documentación que teníamos que
apórtarles, que era el cuadro de amortización desde esa fecha.
Adjunto todas las consultas de asesoría jurídica, así como toda la
documentación que hemos obtenido.
(…)”.
Lo que no se compadece con lo señalado por la parte reclamada en el Informe
sobre la incidencia producida cuando indica que: “(…) Este proceso se encuentra
implantado y se confirma su funcionamiento normal, verificando que se utiliza por las
oficinas de forma apropiada (en el incidente que estamos analizando el empleado ha
observado el procedimiento existente), de manera que cabe concluir la existencia en
Banco Santander de una medida diligente y adecuada al riesgo que garantiza que en
la expedición de este tipo de certificados no se produce un acceso accidental o fortuito
de datos personales a un destinatario incorrecto, de manera que en este incidente se
ha producido un lamentable error humano, conceptual y puntual, en la interpretación
de las instrucciones recibidas y, en concreto, sobre quiénes eran los titulares del
préstamo hipotecario.
Sin embargo, de la citada comunicación se desprende que ante la duda o
discrepancia expresada al no cuadrar la cantidad amortizada con el importe de los
cheques recibidos, por la sucursal actuante se volvió a solicitar asesoramiento al
departamento AJN y se les indicó el certificado que tenían que emitir, facilitándoles el
modelo del mismo y la documentación que tenían que adjuntar con el mismo: el
cuadro de amortización desde esa fecha (los subrayados son de la AEPD).
Es cierto que el certificado entregado no afectaba a su contenido desde la parte
inicial del cuadro de amortizaciones, desde el inicio del préstamo hasta el momento de
la amortización por la mercantil Gardeblock, S.L. a la que se entregó el certificado
completo, estaba por tanto legitimada para tenerlo y recibirlo hasta esa fecha, pero no
desde luego, desde esa fecha, recibir la información del calendario de amortizaciones
posteriores al momento en el que la mercantil había efectuado el pago liberando su
finca de responsabilidad hipotecaria.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/24
Las medidas establecidas deben ser necesarias para impedir que este tipo de
incidentes se pueda producir y ajustarse rigurosamente a los procedimientos que
estén implantados por la entidad para evitarlos pues se trata en definitiva de preservar
la confidencialidad de los datos en las actuaciones y operaciones de sus clientes.
El reclamado ha de contar con un protocolo, procedimiento, etc., que al
implementarse puedan garantizar la seguridad en el tratamiento de la información y de
los datos y que eviten que no se produzcan accesos indebidos a los mismos, situación
que en el presente caso no se ha dado puesto que las medidas adoptadas no han
garantizado que en la expedición del certificado no se haya producido el acceso a los
datos personales por un destinatario indebido, el tercero, aportándosele información
indebida.
Por tanto, la toma de medidas debe comprender el impacto que para los
derechos y libertades podría tener un incidente, se produzca de modo accidental,
humano, natural o tecnológico y dirigirse tanto a reducir el impacto como la
probabilidad del mismo, las cuales deben estar en constante renovación y mejora.
- También alega el reclamado que la sentencia del T.S. de 15/02/2022
establece claramente que la obligación de adoptar medidas técnicas y organizativas
encaminadas a garantizar la confidencialidad es una obligación de medios y no de
resultados.
El reclamado reconoce que en su actuación la existencia del incidente de
seguridad al adjuntarse por error información adicional de los movimientos posteriores
a la amortización finalmente efectuada por la empresa -tercero en discordia-.
Es cierto que el T.S. en su sentencia señala que: “La obligación de adoptar las
medidas necesarias para garantizar la seguridad de los datos personales no puede
considerarse una obligación de resultado, que implique que producida una filtración de
datos personales a un tercero exista responsabilidad con independencia de las
medidas adoptadas y de la actividad desplegada por el responsable del fichero o del
tratamiento.
En las obligaciones de resultado existe un compromiso consistente en el
cumplimiento de un determinado objetivo, asegurando el logro o resultado propuesto,
en este caso garantizar la seguridad de los datos personales y la inexistencia de
filtraciones o quiebras de seguridad.
En las obligaciones de medios el compromiso que se adquiere es el de adoptar
los medios técnicos y organizativos, así como desplegar una actividad diligente en su
implantación y utilización que tienda a conseguir el resultado esperado con medios
que razonablemente puedan calificarse de idóneos y suficientes para su consecución,
por ello se las denomina obligaciones "de diligencia " o "de comportamiento".
La diferencia radica en la responsabilidad en uno y otro caso, pues mientras
que en la obligación de resultado se responde ante un resultado lesivo por el fallo del
sistema de seguridad, cualquiera que sea su causa y la diligencia utilizada. En la
obligación de medios basta con establecer medidas técnicamente adecuadas e
implantarlas y utilizarlas con una diligencia razonable.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/24
En estas últimas, la suficiencia de las medidas de seguridad que el
responsable ha de establecer ha de ponerse en relación con el estado de la tecnología
en cada momento y el nivel de protección requerido en relación con los datos
personales tratados, pero no se garantiza un resultado.”
Pero también lo es que el Tribunal confirma que no resulta suficiente el diseño
de los medios técnicos y organizativos necesarios, puesto que también resulta
necesaria su correcta implantación y su utilización de forma apropiada, a lo que habría
que añadir una actuación diligente que en el presente caso no se ha producido.
Por tanto, de conformidad con lo que antecede, se estima que el reclamado
sería responsable de la infracción del artículo 32.1 del RGPD, infracción tipificada en
su artículo 83.4.a).
IX
Tipificación de la infracción del artículo 32.1 del RGPD
La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo
83.4.a) del citado RGPD en los siguientes términos:
“4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43.
(…)”
Por su parte, la LOPDGDD en su artículo 73, a efectos de prescripción, califica
de “Infracciones consideradas graves”:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679
se consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
g) El quebrantamiento, como consecuencia de la falta de la debida diligencia,
de las medidas técnicas y organizativas que se hubiesen implantado conforme
a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”.
(…)”
VIII
A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/24
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/24
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en
el presente caso por la infracción del artículo 32.1 del RGPD, tipificada en el artículo
83.4.a) del RGPD de la que se responsabiliza al reclamado, en una valoración inicial,
se estiman concurrentes los siguientes factores, como circunstancias agravantes:
La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto
afectan a un principio básico relativo al tratamiento de los datos de carácter personal,
como es el de la seguridad de los mismos, cuya infracción la norma sanciona de
manera grave; por otra parte, se cuestiona la gestión y propósito del tratamiento
llevado a cabo al permitir el acceso a los datos del reclamante, datos de tipo
económico, como consecuencia de la comunicación a un tercero de información
relativa al préstamo hipotecario suscrito por el reclamante con la entidad y que en
ningún caso debió ser transmitida ante los perjuicios que podía causa como
consecuencia de dicha entrega y puestas de manifiesto por la parte reclamante al ser
utilizada por el tercero, aportándolos a demanda judicial contra la parte reclamante
(artículo 83.2, a) del RGPD).
La actividad de la entidad presuntamente infractora está vinculada con el
tratamiento de datos tanto de clientes como de terceros. En la actividad de la entidad
reclamada es imprescindible el tratamiento de datos de carácter personal de sus
clientes por lo que, dado volumen de negocio de la misma la transcendencia de la
conducta objeto de la presente reclamación es innegable (artículo 76.2.b) de la
LOPDGDD en relación con el artículo 83.2.k).
La intencionalidad o negligencia en la infracción; se observa una grave falta de
diligencia en la actuación de la reclamada puesto que la cesión de la información a un
tercero constituye un ilícito para el que no estaba legitimado vulnerando las medidas
organizativas. Conectado también con el grado de diligencia que el responsable del
tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le
impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si
bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente
extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las
entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de
datos de clientes y terceros han de observar un adecuado nivel de diligencia,
precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que,
en el caso ahora examinado, cuando la actividad de la recurrente es de constante y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/24
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
b) del RGPD).
El volumen de negocio del reclamado pues se trata de una de las entidades
financieras líderes dentro del mercado español, por su objeto de negocio (artículo
83.2, k) del RGPD).
Con arreglo a lo que antecede se estima adecuado establecer una sanción de
20.000 euros por vulneración del artículo 32.1 del RGPD.
X
Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de
control se relacionan en su artículo 58.2, apartados a) a j).
Al confirmarse las infracciones cometidas, procede acordar imponer al
responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo
58.2 d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”. La imposición de esta
medida es compatible con la sanción consistente en multa administrativa, según lo
dispuesto en el art. 83.2 del RGPD.
Por tanto, se consideraría procedente ordenar que el reclamado en el plazo de
seis meses a partir de la firmeza de la resolución sancionadora que, en todo caso, se
dicte adecúe los tratamientos objeto del presente procedimiento a la normativa
aplicable. En el texto de este acuerdo se establecen cuáles han sido los hechos que
han dado lugar a la vulneración de la normativa de protección de datos, de lo que se
infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de
procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte sancionada, pues es quien conoce plenamente su organización
y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo
cumplir con el RGPD y la LOPDGDD. Es cierto que el interesado manifiesta haber
actualizado el registro de incidentes con detalles relativos a la violación de la
seguridad de los datos; no obstante, en el presente caso se señala entre otras como
medidas a adoptar la mejora de las ya implantadas para evitar incidentes como el
producido que garanticen que en la expedición de este tipo de certificados no se
produzcan accesos a los datos personales por un terceros o destinatarios indebidos.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a BANCO SANTANDER, S.A., con NIF A39000013,
- Por una infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a)
del RGPD, una multa de 50.000 € (cincuenta mil euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/24
- Por una infracción del artículo 32.1 del RGPD, tipificada en el artículo 83.4.a)
del RGPD, una multa de 20.000 € (veinte mil euros).
SEGUNDO: ORDENAR a BANCO SANTANDER, S.A., con NIF A39000013, que en
virtud del artículo 58.2.d) del RGPD, en el plazo de seis meses desde que la
resolución sea firme y ejecutiva, acredite haber procedido a la mejora de las medidas
implantadas para evitar incidentes como el producido que garanticen que en la
expedición de certificados no se produzcan accesos a los datos personales por un
terceros o destinatarios indebidos, de conformidad con lo establecido en el artículo
5.1.f) y 32.1 del RGPD.
TERCERO: NOTIFICAR la presente resolución a BANCO SANTANDER, S.A.
CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT:
XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/24
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es