AI-00145-2022

1/18  Expediente N.º: EXP202105728 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 28 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO SANTANDER, S.A. con NIF A39000013 (en adelante, la parte reclamada o BANCO SANTANDER). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que es cotitular, junto con su hermana y su madre, de una cuenta abierta en la entidad reclamada y que esta entidad, amparándose en las obligaciones previstas en la Ley de Prevención de Blanqueo de Capitales y Financiación del Terrorismo, les instó a que facilitasen una serie de datos personales que la parte reclamante considera excesivos y ajenos a la citada Ley, bajo amenaza de bloquear la cuenta, por lo que se vieron obligados a firmar el documento. Asimismo, manifiesta que en el documento que la entidad les obliga a firmar se indica que los datos podrán ser utilizados para “el desarrollo de actividades comerciales; la contratación, mantenimiento y seguimiento de productos; la cesión de los datos a empresas colaboradoras; comunicación de los datos a terceros en caso de impago; y la utilización de mi firma manuscrita digitalizada”. Aporta copia de los documentos siguientes:

1. Documento con el rótulo “Consentimiento para la utilización de firma manuscrita digitalizada”, firmado por la hermana de la parte reclamante (cotitular de la cuenta) en fecha 31/10/
2. De acuerdo con lo indicado en este documento, la persona que lo suscribe “acepta la equiparación jurídica de la firma digitalizada de cualquier documento u operación que suscriba con Banco Santander, S.A… a su firma manuscrita”, reservándose el Banco “el derecho a modificar, suspender, cancelar o restringir este procedimiento de firma cuando razones técnicas o legales lo requieran o impongan”. Se declara expresamente que el interesado, si se trata de una persona física, “conoce que los datos personales que facilita con ocasión de la firma del presente documento… serán tratados por el Banco para la utilización de este procedimiento de firma en los documentos y operaciones que el interesado suscriba con el banco”. Seguidamente, el citado documento incluye un apartado con el rótulo “Información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 básica sobre protección de datos”, en el que se indica que los datos personales “que el interesado facilite a Banco Santander, S.A…. serán tratados por el Banco en calidad de responsable del tratamiento”, “principalmente” para las finalidades que enumera: . la gestión de solicitudes que el interesado realice al Banco; . la contratación, mantenimiento y seguimiento de los productos y servicios contratados, evaluando la solvencia y riesgo crediticio; . desarrollo de acciones comerciales para el ofrecimiento y recomendación de productos y servicios financieros y de seguros comercializados por el Banco, teniendo en cuenta los que el interesado hubiera contratado, las cuales podrán basarse en un análisis del perfil del interesado, incluso utilizando medios basados en el tratamiento automatizado de datos; . prevención, investigación y/o descubrimiento de actividades de fraude; . grabación de la voz y/o la imagen de los interesados para mantener la calidad del servicio y utilizar las grabaciones como prueba, si fuera necesario; . realización de procedimientos de anonimización con fines estadísticos y para la elaboración de modelos de comportamiento; . la cesión de los datos identificativos y de contacto a otras empresas del Grupo Santander y terceras empresas participadas y/o colaboradoras del Grupo, en caso de que los interesados contraten algún producto o servicios de dichas entidades que sea comercializado por el Banco; y . la comunicación de los datos a sistemas comunes de información crediticia en caso de impago. Finalmente, en este mismo apartado, se informa sobre los derechos reconocidos en materia de protección de datos personales y los mecanismos para su ejercicio; y se termina indicando que “La información detallada sobre protección de datos se puede consultar en el Aviso Legal de la página web www.bancosantander.es”. Termina el documento con un espacio habilitado para la firma, que se presenta con la siguiente leyenda: “Introduzca su firma dentro del espacio habilitado. Mediante la firma del presente documento, acepto la utilización de mi firma manuscrita digitalizada en los documentos y operaciones que suscriba con el Banco, con vistas a la contratación, mantenimiento y seguimiento de mi relación contractual con el Banco”.
3. Reclamación formulada ante la OMIC del Ayuntamiento de Valencia, en la que pone de manifiesto las mismas circunstancias antes expresadas, sobre la recogida de datos que no tiene relación con el origen o finalidad de sus ingresos (cita el relativo al régimen económico matrimonial) y la información sobre protección de datos personales incluida en el documento “Consentimiento para la utilización de firma manuscrita digitalizada”; y comunicación recibida de la citada Oficina del Consumidor, de fecha 13/01/2020, según la cual no consta respuesta del Servicio de Atención al Cliente de la entidad reclamada, al que le fue trasladada dicha reclamación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20/12/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 20/01/2022, se recibió en esta Agencia escrito de respuesta emitido por la parte reclamada, en el que expone lo siguiente: En cuanto a la exigencia de obtención de determinados datos, como es en este caso el régimen económico matrimonial, con motivo de la necesidad de suscribir una declaración ajustada a las exigencias de la normativa de prevención de blanqueo de capitales, señala que la declaración que debe efectuar el cliente está ajustada a un modelo predeterminado que no exige al cliente esa información. (En relación con lo indicado, acompaña copia del documento suscrito por la parte reclamante en fecha 06/11/2019, denominado “Formulario de información obligatoria del cliente” (FIOC). En este documento únicamente se recaba del cliente información relativa a la naturaleza de su actividad profesional o empresarial las características de la actividad, si el cliente actúa por cuenta propia o de terceros y el propósito o índole de la relación de negocio. Además, el cliente, con independencia de si se trata o no de un “sujeto obligado” por las disposiciones que regulan la prevención del blanqueo de capitales, se obliga a colaborar con el banco en el cumplimiento de las exigencias que impone al Banco dicha normativa y a la comunicación de operativa sospechosa a las autoridades). Por lo que se refiere a la recogida de datos del cliente, al margen de los exigidos por la normativa de blanqueo antes referida, y de cara a la operativa estrictamente bancaria, señala que el régimen económico matrimonial tiene relevancia para dicha operativa en algunos casos, como aquellos en los que puedan acometerse operaciones de riesgo de crédito y sea preciso conocer aquel dato. En cualquier caso, parece que la reclamación se plantea por el posible bloqueo de cuentas planteado por un empleado del Banco, lo que, según el caso, podrá considerarse reprobable e incluso fundar una queja o reclamación correspondiente, sea ante el Banco, sea ante el Banco de España, pero que no incide en el ámbito de la Protección de Datos, y pertenece más bien al ámbito del control sobre la actuación de la oficina bancaria en su relación con los clientes. Por lo que respecta a la oposición de la parte reclamante al documento de “Consentimiento para la utilización de firma manuscrita digitalizada”, significa que el texto incorporado al mismo bajo el epígrafe “Información básica sobre protección de datos” tiene naturaleza meramente informativa, sin que la firma del documento suponga la prestación de un consentimiento distinto a la utilización de su firma manuscrita digitalizada en los documentos y operaciones que suscriba con el Banco, con vistas a la contratación, mantenimiento y seguimiento de su relación contractual con la entidad, tal y como se indica expresamente en el pie de firma. En ningún caso conlleva la prestación del consentimiento para la utilización de los datos personales con otra finalidad que la expresada en el texto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 La información que en el texto se da acerca de los posibles tratamientos no puede, por otra parte, entenderse en el sentido de que los mismos se puedan efectuar al margen de la normativa de aplicación a los mismos y, singularmente, la relativa a la base legal de cada tratamiento, contenida en los artículos 6 y concordantes del RGPD, sin que en el caso de estas actuaciones se denuncie ningún tratamiento que en concreto se haya efectuado con vulneración de tales preceptos. TERCERO: Con fecha 28 de enero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Se desarrollaron las actuaciones siguientes:
4. Los Servicios de Inspección de la AEPD solicitaron a la parte reclamada copia del Registro de Actividades de Tratamiento correspondiente a la firma manuscrita digitalizada; la información en materia de protección de datos proporcionada a los interesados a la apertura de la cuenta bancaria contratada y para recabar el consentimiento relativo a la firma manuscrita digitalizada; copia de los consentimientos recabados de los interesados; manual de prevención a que se refiere el Reglamento de la LPBCFT; y copia de la evaluación de impacto en la protección de datos de los tratamientos a los que se refiere el art. 32 bis de la LPBCFT.
5. De la información proporcionada por la parte reclamada en respuesta a los requerimientos de los Servicios de Inspección de la AEPD, cabe destacar lo siguiente: . El Banco ha adoptado un modelo de información por capas o niveles, presentando una información básica en un primer nivel (primera capa), de forma resumida, en el mismo momento y en el mismo medio en que se recogen los datos mediante el formulario “Declaración de Datos de cliente” (DDC), a través de la cual el Banco informa a los clientes de la identidad del responsable, la finalidades del tratamiento de sus datos en su condición de clientes, la legitimación de los tratamientos, los destinatarios, la procedencia de los datos cuando no proceden del interesado, así como la posibilidad de ejercer los derechos de protección de datos y la forma de hacerlo. Aporta copia de la “Declaración de Datos de cliente” (DDC) suscrita por la parte reclamante en fecha 06/11/2019, en la que constan sus datos personales relativos a nombre, apellidos, DNI, fecha de nacimiento, sexo, estado civil (“Casado/a bienes gananciales”), nacionalidad, país de residencia, datos de actividad (nivel de estudios, tipo de trabajo, subactividad, CNO, CNAE y descripción de subactividad), datos de contacto (teléfono, fax y email), domicilio habitual e idioma. Incluye la siguiente “Información básica sobre de protección de datos”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 “Responsable del tratamiento Identidad: Banco Santander, S.A. (en adelante “el Banco”). ¿Por qué y para qué tratamos principalmente sus datos? El Banco trata sus datos personales con las siguientes finalidades: FINALIDADES DE NATURALEZA CONTRACTUAL: - Contratar, mantener y seguir el cumplimiento de los contratos de los productos y servicios que tenga con el Banco evaluando para ello, cuando sea preciso, su solvencia y riesgo crediticio. FINALIDADES BASADAS EN EL INTERÉS LEGÍTIMO DEL BANCO: - Desarrollar acciones comerciales en general, y en particular, ofrecerle y/o recomendarle productos y servicios del Banco, que puedan resultar de su interés, teniendo en cuenta los que haya contratado en el pasado. - Tratar y/o comunicar sus datos a terceros, sean o no empresas del Grupo Santander, para prevenir, investigar y/o descubrir el fraude. - Grabar su voz y/o su imagen para mantener la calidad del servicio y utilizar las grabaciones como prueba en juicio y fuera de él, en caso necesario. - Realizar procedimientos de anonimización, tras los cuales el Banco ya no estará en disposición de identificarle. - Comunicar sus datos a empresas del Grupo Santander y terceras empresas participadas y/o empresas colaboradoras del Grupo Santander (a modo de ejemplo, entidades aseguradoras y gestoras de activos financieros), en caso de que Ud., en calidad de cliente del Banco, lleve a cabo la contratación de alguno de los productos y/o servicios de dichas entidades que son comercializados por el Banco. En este caso, la cesión afectará únicamente a un número limitado de datos meramente identificativos que el Banco dispone sobre su persona, en concreto, los estrictamente necesarios para la celebración del contrato. Se pretende con ello simplificar y agilizar la contratación a través del Banco de los productos que éste comercializa de otras empresas del Grupo o de terceras empresas, habida cuenta su condición de cliente del Banco. Podrá acceder al listado completo de sociedades a las que comunicaremos sus datos solicitándolo en su Oficina o a través del siguiente enlace: http://bsan.es/sociedades_banco_santander. - Comunicar sus datos de impago a empresas prestadoras de solvencia patrimonial. Podrá solicitar la oposición a cualquiera de los tratamientos anteriores basados en el interés legítimo. Para ello, debe dirigirse al Delegado de Protección de Datos/Oficina de Privacidad y debe explicar el motivo por el que se opone. ¿Qué derechos tiene? Puede ejercer los derechos de: Oposición; Acceso; Rectificación; Supresión; Limitación; Portabilidad; No ser objeto de una decisión basada únicamente en tratamiento automatizado de sus datos; Revocación del consentimiento prestado. Puede ejercer estos derechos y, en general, consultar todas las cuestiones relativas al tratamiento de sus datos personales, ante el Delegado de Protección de Datos/Oficina de Privacidad, mediante el envío de un correo electrónico a privacidad@gruposantander.es o por correo postal dirigiéndose a Juan Ignacio Luca de Tena 11-13, 28027Madrid. Ud. Deberá aportar copia de su DNI o documento oficial que le acredite. Más información Puede consultar información detallada en el Aviso Legal de la página web del Banco www.bancosantander.es”. De manera complementaria, se remite al interesado a la información adicional en un segundo nivel (Aviso Legal, disponible en la web de la entidad), donde se presenta detalladamente el resto de las informaciones, en un medio más adecuado para su presentación, comprensión y, si se desea, archivo. La información que se presenta en esta segunda capa completa con todos los detalles la información resumida, y añade la información adicional, requerida por el RGPD que no estaba presente en la primera capa. Aporta copia de esta información adicional o de segunda capa disponible en la web de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 la entidad. En relación con las cuestiones suscitadas e la reclamación, este documento informa lo siguiente: “¿Por qué y para qué tratamos sus datos personales?: A continuación, se detallan las distintas finalidades de tratamiento por parte de Banco Santander: Tratamientos realizados por el contrato. Son necesarios para la firma del contrato o la prestación del servicio que nos solicita. Trataremos sus datos para informarle sobre la contratación de productos y servicios del Banco, para su contratación, así como para mantener y cumplir el contrato, evaluando para ello, cuando sea preciso, su solvencia y riesgo crediticio. En el caso de que Ud. hubiera hecho uso de la firma manuscrita digitalizada en su relación con el Banco, para solicitar servicios y/o formalizar operaciones, le informamos de que conservaremos sus datos biométricos obtenidos mediante la digitalización de la firma manuscrita (como son el orden del trazo, la intensidad, la velocidad, la presión y la aceleración del grafo) y que exclusivamente serán tratados como elemento de prueba en caso de repudio, con objeto de verificar a través del cotejo que la firma es suya, y, por tanto, poder efectuar la autenticación del cliente. En ningún caso, trataremos sus datos biométricos como medio de identificación. Para cumplir el contrato, podremos acudir a fuentes de información externas, como diarios y boletines oficiales, registros públicos, resoluciones de las Administraciones Públicas, guías telefónicas, listas de personas pertenecientes a colegios profesionales, listas oficiales para la prevención del fraude, redes sociales e Internet. Tratamientos realizados por su consentimiento. Siempre que haya prestado su consentimiento a través de la casilla habilitada al efecto en el formulario que pondríamos a su disposición. Desarrollo de acciones comerciales: 1.
6. Trataremos sus datos para el desarrollo de acciones comerciales, así como la elaboración de un perfil comercial a partir de sus datos, para ofrecerle productos y/o servicios financieros distintos de los que tuviera contratados con el Banco, felicitarle en fechas señaladas, incluirle en programas de fidelización y participar en sorteos organizados por el Banco. Estas acciones comerciales podrán ser por cualquier medio, incluida la vía electrónica (correo electrónico, fax, SMS, redes sociales, aplicaciones móviles, etc.). Esta autorización existirá incluso una vez terminada su relación con el Banco. 1.
7. Trataremos sus datos para el desarrollo de acciones comerciales, tanto generales como ajustadas a su perfil comercial, para ofrecerle productos y/o servicios de empresas del Grupo Santander, empresas colaboradoras y/o participadas (a modo de ejemplo, entidades aseguradoras y gestoras de activos financieros). Estas acciones comerciales podrán ser por cualquier medio, incluidos los electrónicos (correo electrónico, fax, SMS, redes sociales, aplicaciones móviles, etc.). Esta autorización existirá incluso una vez terminada su relación con el Banco. Las empresas colaboradoras y/o participadas sobre cuyos productos podrán versar las acciones comerciales pertenecen a los siguientes sectores: seguros, gran consumo, formación, educación y cultura, hogar, salud y belleza, hotel y viajes, informática, telecomunicaciones y tecnología, automoción, servicios de asesoramiento, inmobiliario y construcción, ocio y tiempo libre, seguridad, textil y moda, restauración, alimentación-pesca y ganadería, agroalimentario, deporte, energético, reparación y mantenimiento, transporte, logística, administración, asesoría y consultoría, maquinaria y material de oficina, comercio, industria, sanitaria y servicios sociales. Comunicaremos sus datos a empresas del Grupo Santander, así como a empresas colaboradoras y/o participadas por el Grupo Santander (a modo de ejemplo, entidades aseguradoras y gestoras de activos financieros), para el desarrollo de acciones comerciales por parte de éstas, tanto generales como ajustadas a su perfil comercial, sobre sus productos y servicios o los del Banco. Estas acciones comerciales podrán ser por cualquier medio, tanto físicos como electrónicos (correo electrónico, fax, SMS, redes sociales, aplicaciones móviles, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 etc.). Podrá acceder al listado completo de sociedades a las que comunicaremos sus datos solicitándolo en su Oficina o a través del siguiente enlace: https://bsan.es/sociedades_banco_santander Consultaremos sus datos a empresas que facilitan información sobre solvencia, morosidad y en general de indicadores de riesgo cuando le ofrezcamos financiación personalizada. En caso de que Usted no autorice el tratamiento de sus datos para las anteriores finalidades, ello no afectara al mantenimiento o cumplimiento de la relación contractual que mantiene con el Banco. Tratamientos realizados por interés legítimo Trataremos sus datos para el desarrollo de acciones comerciales, tanto generales como ajustadas a su perfil comercial, para ofrecerle productos o servicios del Banco similares a los que ya tenga contratados. Las acciones comerciales podrán ser por cualquier medio, incluidos los electrónicos (correo electrónico, fax, SMS, redes sociales, aplicaciones móviles, etc.). Trataremos sus datos para realizar observaciones y recomendarle productos y servicios del Banco. En concreto, trataremos los movimientos transaccionales de los productos y/o servicios que Usted tenga contratados con el Banco, así como los datos sobre su capacidad de ahorro y endeudamiento. Consultaremos la información que tengamos por la gestión de los servicios que le prestamos o de los productos que haya contratado o mantenga contratados en el último año. A estos efectos, solo podremos consultar la información procedente de empresas que facilitan información sobre solvencia, morosidad y, en general, de indicadores de riesgo, si Usted nos da su consentimiento a través de la casilla correspondiente del cuestionario. Mediante los dos