Resolución de la Agencia Española de Protección de Datos E-02304-2018 de 29 de abril de 2019

Cuestión

1 / 11

Expediente Nº: E/02304/2018

RESOLUCIÓN DE ARCHIVO DE ACTUACIONES

De las actuaciones practicadas por la Agencia Española de Protección de Datos ante

la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., en virtud de la denuncia

presentada por D. A.A.A. y en consideración a...

Contestacion

1/11

Expediente Nº: E/02304/2018

RESOLUCIÓN DE ARCHIVO DE ACTUACIONES

De las actuaciones practicadas por la Agencia Española de Protección de Datos ante

la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., en virtud de la denuncia

presentada por D. A.A.A. y en consideración a los siguientes

HECHOS

PRIMERO: Con fecha 08/04/2018 tuvo entrada en la Agencia Española de Protección

de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que

expone que BANCO BILBAO VIZCAYA ARGENTARIA, S.A., (en lo sucesivo BBVA o

la denunciada) ha tratado sus datos personales sin su consentimiento vinculados a un

contrato de préstamo al que es ajeno.

El denunciante manifiesta que el 04/01/2018 se recibe en el móvil de su esposa

un SMS a su nombre en el que se alude a una supuesta deuda pendiente con BBVA.

Procede a contactar telefónicamente con la entidad a través del número facilitado en el

SMS y le informan de que la deuda reclamada deriva de un préstamo al consumo que

supuestamente ha suscrito con BBVA y que ha sido intermediado por SUPERWAGEN.

Dado que no ha contratado ningún préstamo con esta entidad solicita la

documentación acreditativa de la contratación facilitándole entonces la denunciada

varios documentos (cuya copia aporta con el escrito de denuncia) en los que constan

su nombre, apellidos y NIF y otros datos (dirección postal, teléfonos y firma) que no le

pertenecen.

Anexa a la denuncia copia de los documentos siguientes:

- Varios SMS recibidos en un terminal móvil en los que figura como destinatario una

persona identificada con su nombre y dos apellidos. El motivo del envío de los

mensajes es la deuda pendiente de pago con BBVA.

- Copia del contrato de préstamo número ***PRESTAMO.1. El documento, que lleva el

anagrama de BBVA, indica que es intermediario del préstamo la entidad

?SUPERWAGEN, S.A.? Como ?prestatario/asegurado/deudor? figuran los datos

personales del denunciante (nombre, apellidos y NIF) y la dirección ***DIRECCION.1.

El documento lleva una rúbrica y tiene fecha de 16/02/2017. El importe total del

préstamo contratado asciende a 13.075,40 euros.

- Un documento, también con el anagrama de BBVA y la misma rúbrica que el anterior,

con el título ?Tratamiento de datos personales?. En los distintos apartados de este

documento, denominados ?Datos Financiación?, ?Datos cliente? y ?Datos

profesionales?, figuran el nombre y apellidos del denunciante; su NIF; la dirección

postal que se recoge en el contrato de préstamo (que no pertenece al denunciante); la

fecha de nacimiento; una dirección electrónica y dos teléfonos (fijo y móvil) que el

denunciante ha manifestado que no le pertenecen; y los veinte dígitos de una cuenta

bancaria finalizada en ?EEE?.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

2/11

- La denuncia formulada el 08/01/2018 en la Comisaría de Policía de

***LOCALIDAD.1, Oficina de denuncias, en la que relata los hechos anteriormente

expuestos e indica que no son suyas la dirección postal y los números de teléfono que

figuran en el documento contractual que le facilitaron desde la dirección electrónica

cacfinan@bbva.com, que tampoco es suya la firma que aparece en el citado

documento, que no le pertenece la cuenta bancaria que figura en el documento y que

los datos relativos al estado civil son erróneos.

SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección

de Datos procedió a realizar actuaciones previas de investigación para el

esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes

extremos:

1.- Requerimiento informativo al denunciante:

La Inspección de Datos de la AEPD solicitó al denunciante el 25/04/2018

documentación adicional. En su respuesta, que tuvo entrada en el registro de este

organismo el 16/05/2018, manifiesta de nuevo: ?Se me atribuye/ concede un préstamo

personal del BBVA (y el intermediario SUPERWAGEN, S.A.) a mi nombre por importe

de 13.074,40 ? el cual no he solicitado. En el contrato figura mi nombre y DNI, y

además una firma falsificada que no es la mía junto con otros datos como dirección,

teléfono y email que no son míos. Uno de los teléfonos que figuran es el de mi mujer.?

Aporta copia de estos documentos:

a. El escrito que su Abogada presenta ante BBVA (con sello de entrada en esa

entidad financiera el 21/03/2018) en el que reclama una indemnización por los

daños derivados de negligencia en la custodia de los datos personales del

denunciante y responsabilidad penal por incumplimiento de la obligación de

identificar a los prestatarios del crédito en la concesión de éstos, suplantación de

identidad y estafa.

b. Reitera el envío de los siguientes documentos que ya obraban en el expediente

por haberlos aportado con su denuncia: El contrato de préstamo con anagrama

del BBVA en el que figuran sus datos personales (nombre, apellidos y NIF), que

el denunciante niega haber suscrito, y la denuncia formulada por estos hechos

en la Comisaría de Policía en fecha 08/01/2018.

2.- Requerimiento informativo a BBVA:

A. El primer requerimiento informativo que la Inspección de Datos dirige a BBVA

es del 08/06/2018. La denunciada responde a ese requerimiento en escrito de

fecha 25/06/2018; escrito que reitera mediante correo postal en fechas

posteriores, el 29/06/2018.

2.1. En respuesta a la solicitud de información sobre los datos que obran en sus

sistemas y sobre los productos contratados a nombre del denunciante aporta

los documentos siguientes:

a. Impresión de pantalla de sus ficheros con los datos del denunciante: nombre,

apellidos, NIF (***NIF.1), domicilio en ***DIRECCION.2.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

3/11

b. Una relación de los productos que figuran contratados por el denunciante con

indicación de las fechas de alta y baja. En la actualidad todos los servicios se

encuentran cancelados:

-?AH. CUENTA CORRIENTE UNO E?, ***PRODUCTO.1, fecha de alta

20/03/2001 y fecha de cancelación 02/01/2018.

-?GO: CF VEHÍCULO NUEVO CREDITOCONSUMC?, ***PRODUCTO.2. Fecha

de alta 16/02/2017 y fecha de cancelación 07/03/2018.

-?SN:9697 P.P AUTOS?. ***PRODUCTO.3 Fecha de alta 18/02/2017 y fecha de

cancelación 16/02/2017.

- ?TJ. VISA DÉBITO UNO E?, ***PRODUCTO.4. Fecha de alta 23/03/2004 y

fecha de cancelación 09/01/2017.

-?VA CUENTA VALOR?, ***PRODUCTO.5. Fecha de alta el 23/03/2004 y fecha

de cancelación el 23/04/2004.

c. Captura de pantalla de los ficheros de BBVA con el detalle del importe de

deuda asociada a los datos del denunciante. En el documento que facilitan el

importe de la deuda del cliente pendiente con la entidad es de 0 euros.

2.2. En respuesta a la solicitud para que aporte copia de los contratos suscritos por

el denunciante y de las reclamaciones efectuadas por él o por terceros en su

nombre, facilita estos documentos:

d. Copia del contrato de Tarjeta Visa Electron Servired UNO E, número

***PRESTAMO.1 en el que el denunciante tiene la condición de titular.

. En el documento consta como titular D.ª B.B.B., con domicilio en

***LOCALIDAD.1 y como ?1er COTITULAR? el denunciante. Constan en el

documento el nombre, dos apellidos y el NIF del denunciante. También un

domicilio en ***LOCALIDAD.2, que coincide con el que BBVA tiene asignado

en sus sistemas al denunciante.

. En el citado documento constan las firmas tanto de la titular como del cotitular,

actual denunciante, y la fecha, manuscrita, de 06/02/2004.

. Se aporta también el documento denominado ?Cartulina de firmas?, en la que

aparece de nuevo las firmas de la titular y del cotitular.

. Se aporta la copia del DNI del denunciante. Se aprecia que se remitió a la

entidad mediante fax de fecha 08/03/2004.

e. Copia del contrato de préstamo personal suscrito por el denunciante (número

***PRESTAMO.1) así como copia de su DNI.

. Se trata del contrato que ha dado origen a la denuncia. El documento es

idéntico al aportado por el denunciante que le había sido facilitado por BBVA

cuando contactó con ella a raíz del SMS de requerimiento de pago.

. Se aporta copia del DNI del denunciante. No es el mismo documento que

aportan anexo al contrato de Tarjeta Visa Electron Servired UNO E (descrito en

el apartado e, precedente). Mientras el anterior tenía el formato antiguo de los

documentos nacionales de identidad el que se aporta anexo al citado contrato

es un ejemplar actual que incorpora el chip de la FNMT.

f. Copia de la reclamación escrita que la Abogada del denunciante presentó ante

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

4/11

BBVA, que lleva fecha de 21/03/2018 y copia de la respuesta que BBVA remite

a la Abogada el 17/04/2018.

. En la carta que BBVA remite a la Abogada del denunciante acusa recibo de la

recepción de su reclamación y explica que, una vez analizados los hechos, han

contactado con el departamento de Prescripción de préstamos para que le

facilitasen información y ?Nos han confirmado que una vez detectado el fraude,

se ha identificado al responsable intermediario del concesionario, instando un

procedimiento penal contra el mismo. Asimismo, confirmamos que el crédito ha

sido cancelado. (..)? (El subrayado es de la AEPD)

2.3. Respecto a la forma en la que se efectuaron las contrataciones, BBVA explica

que, por lo que concierne al contrato de préstamo personal que es objeto de la

denuncia, ?se firmó el pasado 16/02/2017 a través del colaborador

SUPERWAGEN, S.A., con domicilio social en ?? ?Las instrucciones facilitadas

a los colaboradores, en este caso SUPERWAGEN, S.A., se realiza a través de

una red comercial que les imparte un curso de formación? ?La documentación

que debía recabar SUPERWAGEN S.A., consistía en el DNI y el número de

cuenta del cliente?.

2.4. BBVA informa de que no ha cedido los datos del denunciante a los ficheros de

solvencia patrimonial y crédito.

B. La Inspección de Datos dirige a BBVA un segundo requerimiento informativo en

fecha 16/08/208, al que la denunciada responde en escrito de fecha

10/09/2018.

2.5. En respuesta a la solicitud de la Inspección de Datos para que informe sobre el

?protocolo de actuación? que tuviera pactado con SUPERWAGEN en virtud del

cual esta mercantil interviene como colaboradora de BBVA en la celebración de

los contratos de préstamo para financiar la compra de vehículos, nos remite

una copia del Convenio de Adhesión firmado el 21/06/2013 entre BBVA y

SUPERWAGEN.

. Conforme a lo estipulado por el Convenio su objeto es, entre otros, la

colaboración para la financiación de vehículos y la colaboración para la

contratación de seguros ofrecidos por el OBS.

.. La estipulación segunda indica en relación a la financiación para la

adquisición de vehículos con personas físicas (?préstamos o venta a plazos?)

que ?la operativa de solicitud, concesión o denegación de la financiación se

desarrollará como sigue: (?) El colaborador cumplimentará y recabará la firma

del cliente en el documento establecido al efecto por el que el cliente presta su

consentimiento al tratamiento de sus datos personales por BBVA a los efectos

establecidos en el mismo.

El Colaborador se compromete a entregar al cliente la información

precontractual?.Esta información deberá proporcionarse en el formato que

BBVA establezca en cada momento y se entregará con carácter previo a la

firma por parte del cliente del a correspondiente Operación de Financiación.

El Colaborador recabará todos los datos necesarios del cliente para

cumplimentar la solicitud de préstamo/venta a plazos obteniendo fotocopia (I)

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

5/11

del DNI del cliente que deberá cotejar con el original (II) de la última nómina o

del documento acreditativo de los últimos ingresos y (III) de un cheque, libreta

o recibo domiciliado (cualquiera de estos tres últimos documentos a los efectos

de cotejar que el solicitante del préstamo/venta a plazos coincide con el titular

de la domiciliación bancaria reflejada en la solicitud así como con cualquier

documento que en cualquier momento será requerida por BBVA.

El Colaborador deberá verificar la identidad del cliente (incluida la firma del

cliente que en todo caso deberá ser en su presencia y todos los datos incluidos

en la documentación cumplimentados mediante el cotejo de la documentación

entregada o exhibida por el cliente (incluyendo la fotocopia del DNI con el

original)

(?)

El Colaborador enviará a BBVA por el medio que ésta determine en cada

momento el contrato de financiación debidamente cumplimentado y firmado

por el cliente, así como aquella otra documentación aportada por el cliente,

requerida por BBVA y necesaria para la concesión del producto financiación

(DNI, nómina etc.) Y

. BBVA ha manifestado que en el momento de solicitar la financiación el cliente

está obligado a mostrar el original del DNI al empleado de SUPERWAGEN

quien obtendrá una copia del mismo y que una vez recabada toda la

documentación del solicitante la remite al gestor de BBVA CONSUMER

FINANCE mediante correo electrónico para su análisis y para valorar si

aprueba o no la operación. Añade que, en el presente caso, SUPERWAGEN

remitió a BBVA estos documentos (de los que aporta una copia):

- Copia del DNI del denunciante (el documento tiene validez

hasta el 04/06/2019)

- Copia de una nómina del denunciante correspondiente a

enero de 2017

- Copia de la declaración de IRPF del denunciante

correspondiente al ejercicio 2015 (consta presentada el

19/05/2016)

- Copia de un recibo de adeudo en cuenta de la entidad ING

DIRECT. Como titular de la cuenta bancaria y de la

domiciliación figura el nombre y dos apellidos del

denunciante. El recibo versa sobre una operación de fecha

06/02/2017 relativo a una factura de YOIGO.

- Copia del contrato de préstamo número ***PRESTAMO.1 (se

trata del mismo documento que el denunciante aportó anexo

a la denuncia). Se aportan también la copia del contrato de

seguro colectivo de vida y de la información normalizada

sobre crédito al consumo. Todos ellos están firmados de

forma idéntica. Firma que el denunciante ha manifestado que

no reconoce como suya.

-

BBVA ha manifestado que SUPERWAGEN envía las solicitudes de préstamo y

su documentación respectiva al Gestor de BBVA CONSUMER FINANCE a

través de correo electrónico y que, por lo que respecta al asunto examinado,

SUPERWAGEN envió toda la información relativa a la solicitud del préstamo a

nombre del denunciante mediante correo electrónico dirigido a C.C.C., Gestor

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

6/11

de BBVA. A tal efecto adjunta copia del email remitido desde la dirección

***EMAIL.1 a la citada Gestora, de fecha 17/02/2017, que incluye cinco

archivos adjuntos referentes a los documentos siguientes antes citados: el DNI

del denunciante; su declaración de IRPF; la nómina de enero de 2017; el

resguardo de ING y el contrato firmado.

3.- Requerimiento informativo a SUPERWAGEN, S.A.:

La Inspección de Datos dirige un requerimiento informativo a SUPERWAGEN en

fecha 08/06/2018. LA entidad presenta en fecha 10/07/2018 en el Registro de este

organismo un conjunto de documentos sin hacer alegación o declaración de ningún

tipo.

Aporta los documentos siguientes:

- Escrito de la Abogada del denunciante dirigido

SUPERWAGEN en el que le reclama una indemnización por

los daños derivados de negligencia en la custodia de datos e

incumplimiento del deber de identificar a los prestatarios,

suplantación de identidad y estafa.

- Copia de la denuncia que el denunciante interpuso en la

Comisaría de Policía de ***LOCALIDAD.1 el 08/01/2018

- Copia de una factura de SUPERWAGEN por importe de 199

euros (número V1/17 131), de fecha 31/03/2017, a nombre

de NAT 21 CONSULTORÍA Y FORMACIÓN

- Certificado del responsable del Departamento de

Administración y Contabilidad de SUPERWAGEN en el que

se mencionan, entre otras cuestiones, ?Que se ha cobrado

transferencia ordenada desde BBVA el día 21-02-2017 por

valor de 11.778,00? y transferencia ordenada por WIZINK

BANK de 20.300,00? el día 17-02-2017 ??

- Documento del Banco Sabadell acreditativo de un abono en

cuenta siendo ordenante BBVA; beneficiario SUPERWAGEN;

el nominal 11.778 ? y la fecha valor el 21/02/2017. En el

apartado ?observaciones? consta el nombre y dos apellidos

del denunciante.

- Copia de una factura emitida por SUPERWAGEN (número

CN1/178) a nombre de NAT 21 CONSULTORÍA Y

FORMACIÓN, S.L., por importe de 31.717,39 euros

correspondientes a un vehículo Volkswagen Golf GTD.

- Copia de un contrato de Préstamo de financiación a

comprador con número ***PRESTAMO.2 en el que figuran

como datos del ?comprador prestatario? NAT 21

CONSULTORÍA Y FORMACIÓN.

- Copia de un contrato de Préstamo número ***PRESTAMO.1

en el que figura como prestatario el denunciante.

- Copia del DNI del denunciante.

- Copia de la tarjeta acreditativa del NIF de la entidad NAT 21

CONSULTORÍA Y FORMACIÓN, S.L., B. 87509170.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

7/11

TERCERO: Los hechos objeto de la denuncia quedan sometidos a las disposiciones

de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y

normas de desarrollo.

El tratamiento de los datos personales del denunciante asociados a la pretendida

contratación de un préstamo, tratamiento que BBVA realizó sin legitimación para ello,

se inició en febrero de 2017 que es la fecha que figura en el documento de

contratación del préstamo a nombre del denunciante.

Paralelamente, obran en el expediente dos documentos que permiten concluir

que la entidad denunciada puso fin al referido tratamiento, para el que carecía de

legitimación, en abril de 2018. Nos referimos, por una parte, a la carta de fecha

17/04/2018 que BBVA dirige al denunciante en respuesta al requerimiento de su

Abogada. En esta carta le comunica que tras contactar con su departamento de

Prescripción de Préstamos le han confirmado que se ha detectado el fraude y

?confirmamos que el crédito ha sido cancelado?. Por otra, BBVA remitió a esta Agencia

con su respuesta al primero de los requerimientos informativos de la Inspección, un

documento con el desglose de la deuda que estaba asociada al denunciante y en el

que no existe deuda a cargo del denunciante.

Así pues, todo indica que el tratamiento de los datos personales del afectado

que BBVA llevó a cabo sin legitimación para ello había finalizado antes de la entrada

en vigor del Reglamento (UE) 2016/679, lo que aconteció el 25/05/2018.

FUNDAMENTOS DE DERECHO

I

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679

del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección

de las personas físicas en lo que respecta al tratamiento de datos personales y a la

libre circulación de estos datos (RGPD), de plena aplicación desde el 25 de mayo de

2018, reconoce a cada autoridad de control y de conformidad con lo establecido en el

artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos

Personales y Garantía de los Derechos Digitales (LOPDGDD), es competente para

resolver esta reclamación la Directora de la Agencia Española de Protección de Datos.

II

El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley

Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal,

aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece:

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

8/11

?Si de las actuaciones no se derivasen hechos susceptibles de motivar la

imputación de infracción alguna, el Director de la Agencia Española de Protección de

Datos dictará resolución de archivo que se notificará al investigado y al denunciante,

en su caso.?

III

La LOPD dispone en el artículo 6 bajo la rúbrica ?Consentimiento del afectado?:

?1. El tratamiento de los datos de carácter personal requerirá el consentimiento

inequívoco del afectado, salvo que la ley disponga otra cosa.

2. No será preciso el consentimiento cuando los datos de carácter personal se

recojan para el ejercicio de las funciones propias de las Administraciones Públicas en

el ámbito de sus competencias; cuando se refieran a las partes de un contrato o

precontrato de una relación negocial, laboral o administrativa y sean necesarios para

su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por

finalidad proteger un interés vital del interesado en los términos del artículo 7,

apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al

público y su tratamiento sea necesario para la satisfacción del interés legítimo

perseguido por el responsable del fichero o por el del tercero a quien se comuniquen

los datos, siempre que no se vulneren los derechos y libertades fundamentales del

interesado.

El artículo 44.3.b) LOPD tipifica como infracción grave ?Tratar datos de carácter

personal sin recabar el consentimiento de las personas afectadas, cuando el mismo

sea necesario conforme a lo dispuesto en la Ley y sus disposiciones de desarrollo?.

El artículo 6 LOPD consagra el ?principio del consentimiento o

autodeterminación?, piedra angular en la construcción del derecho fundamental a la

protección de datos que alude a la necesidad de contar con el consentimiento del

afectado para que puedan tratarse sus datos personales. Conforme al citado precepto,

el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley

constituye una vulneración de este derecho, pues únicamente el consentimiento, con

las excepciones contempladas en la ley, legitima el tratamiento.

IV

La denuncia que examinamos versa sobre el tratamiento de los datos personales

del denunciante (nombre, apellidos y DNI) efectuado por BBVA sin su consentimiento y

materializado en haber contratado a su nombre un préstamo por importe de 13.075,40

euros en fecha 16/02/2017.

A tal efecto obran en el expediente varias copias del contrato de préstamo

***PRESTAMO.1 en el que BBVA tiene la condición de prestamista, el denunciante la

de prestatario y la entidad SUPERWAGEN, S.A. la de intermediario del crédito. El

citado documento está rubricado y tiene fecha de 16/02/2017.

Los datos personales del denunciante constan en otros documentos conexos al

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

9/11

anterior. En particular, en un contrato de seguro colectivo de vida Plan de Pagos

Protegidos, de fecha 16/02/2017, y en la Información normalizada sobre crédito al

consumo que se ha de facilitar al solicitante del crédito con carácter previo a la firma

del contrato.

El denunciante tuvo conocimiento de la existencia de un contrato de préstamo

suscrito a su nombre con BBVA a raíz del SMS que en enero de 2018 se recibe en el

móvil de su esposa y en el que le requieren el pago de una deuda pendiente. En la

denuncia interpuesta en la Comisaría de Policía el 08/01/2018 niega categóricamente

la celebración de un contrato y afirma que de los datos tratados (los que constan en el

contrato que BBVA dio de alta a su nombre) sólo le pertenecen el NIF, nombre y dos

apellidos.

Pues bien, una vez constatado que BBVA trató los datos personales del afectado

sin su consentimiento asociados a la celebración de un contrato de préstamo a su

nombre procede analizar si en la actuación de la denunciada intervino culpa o

negligencia o si, por el contrario, observó la diligencia mínima que resultaba

imprescindible, atendidas las circunstancias del caso, a fin de asegurarse de que la

persona que facilitó como suyos los datos del afectado era quien decía ser.

La exigencia de responsabilidad sancionadora presupone que esté presente el

elemento subjetivo de la infracción pues rige en nuestro Derecho sancionador el

principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad

objetiva del presunto infractor. La presencia del elemento subjetivo o elemento

culpabilístico como condición para que nazca responsabilidad sancionadora ha sido

reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que

afirma que las sanciones administrativas participan de la misma naturaleza que las

penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como

exigencia derivada de los principios de seguridad jurídica y legalidad penal

consagrados en los artículos 9.3 y 25.1 de la CE, su existencia es imprescindible para

imponerlas.

A su vez, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el

artículo 28, bajo la rúbrica ?Responsabilidad?, ?1. Sólo podrán ser sancionadas por

hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así

como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las

uniones y entidades sin personalidad jurídica y los patrimonios independientes o

autónomos, que resulten responsables de los mismos a título de dolo o culpa.?

Por tanto, a la luz de este precepto, la responsabilidad sancionadora puede

exigirse a título de dolo o de culpa, siendo suficiente en este último caso la mera

inobservancia del deber de cuidado. En la Sentencia de 17/10/2007 (Rec. 63/2006) la

Audiencia Nacional (Sala de lo Contencioso Administrativo) expuso que ?....el ilícito

administrativo previsto en el artículo 44.3.d) de la LOPD se consuma, como suele ser

la norma general en las infracciones administrativas, por la concurrencia de culpa leve.

En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992

dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones

administrativas los responsables de los mismos, aun a título de simple inobservancia.

Esta simple inobservancia no puede ser entendida como la admisión en Derecho

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

10/11

administrativo sancionador de la responsabilidad objetiva ??

La doctrina de la Audiencia Nacional sobre esta materia es exigir a aquellas

entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de

datos de clientes y terceros que observen un adecuado nivel de diligencia. En la SAN

de 17/10/2007 (Rec. 63/2006), la Sala de lo contencioso-administrativo precisó que ??

el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se

desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con

la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse

especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso

ahora examinado, cuando la actividad de la recurrente es de constante y abundante

manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado

por ajustarse a las prevenciones legales al respecto?.

Especialmente significativa es también la SAN de 29/04/2010 que, a propósito

de la contratación fraudulenta, indicó en su Fundamento Jurídico sexto: ?La cuestión

no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante

sin su consentimiento, como si empleó o no una diligencia razonable a la hora de

tratar de identificar a la persona con la que suscribió el contrato?.

Trasladando las reflexiones precedentes al supuesto que nos ocupa y a la luz de

la documentación que integra el expediente administrativo puede afirmarse que BBVA

desplegó con ocasión del tratamiento de los datos del afectado una diligencia

razonable y adecuada que priva a su conducta del imprescindible elemento de culpa.

Por una parte, en el convenio que había firmado con SUPERWAGEN se

estipulaba cuál era el protocolo que debía seguir la intermediaria del préstamo a fin de

garantizar la identidad del contratante, los documentos que debía recabar y que debía

facilitárselos a BBVA (al gestor encargado del préstamo) a través de correo

electrónico.

Por otra, BBVA ha acreditado que recabó y conservó tal documentación. En este

sentido ha aportado la copia del DNI del denunciante -documento que estaba vigente

en la fecha en la que se dio de alta el contrato de préstamo a su nombre-, una

declaración del IRPF del denunciante correspondiente al ejercicio fiscal 2015; una

nómina a nombre del denunciante correspondiente a enero de 2017 y la copia de un

documento de adeudo en cuenta correspondiente a la entidad ING DIRECT en el que

figuran los veinte dígitos de una cuenta finalizada en 62 respecto a la que se indica

que es titular el denunciante y en el que se refleja la domiciliación de una factura a

nombre del denunciante. A mayor abundamiento ha aportado una copia del email

mediante el cual la intermediaria del préstamo le remitió tanto el documento

contractual firmado como la copia de todos los documentos antes citados. Este email

es de fecha 17/02/2017.

La documentación citada nos permite afirmar que la denunciada observó una

adecuada diligencia a fin de dar cumplimiento a la obligación que le impone el artículo

6.1 de la LOPD, lo que priva a su conducta del elemento subjetivo de la infracción.

Por ello, aunque la conducta analizada pueda resultar contraria al citado

precepto, no es subsumible en el tipo infractor del artículo 44.3.b) LOPD y no es

merecedora de reproche o sanción administrativa.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

11/11

Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia

Española de Protección de Datos,

SE ACUERDA:

1. PROCEDER AL ARCHIVO de las presentes actuaciones.

2. NOTIFICAR la presente Resolución a BANCO BILBAO VIZCAYA

ARGENTARIA, S.A., con CIF A48265169 y a D. A.A.A..

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente

Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la

LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley

39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las

Administraciones Públicas, los interesados podrán interponer, potestativamente,

recurso de reposición ante la Directora de la Agencia Española de Protección de Datos

en el plazo de un mes a contar desde el día siguiente a la notificación de esta

resolución o directamente recurso contencioso administrativo ante la Sala de lo

Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el

artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de

13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de

dos meses a contar desde el día siguiente a la notificación de este acto, según lo

previsto en el artículo 46.1 del referido texto legal.

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es