← España

AI-00155-2022

1/9  Expediente N.º: EXP202104872 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 1 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, la parte reclamada o BBVA); se formula como reclamación por ejercicio de derecho de rectificación, por no haber rectificado el dato de modo efectivo; y se indica que el derecho se ejercitó en fecha 26/08/2021. Los motivos en que basa la reclamación son los siguientes: “En el mes de agosto recibí una solicitud de mi banco Banco Bilbao Vizcaya Argentaria, S.A. para la firma de una serie de documentos en los que se establecían las diversas finalidades para las cuales ellos utilizarían mis datos. Puesto que no estaba de acuerdo con esas finalidades, me puse en contacto con el DPD del banco quien me respondió que se eliminarían dichas finalidades, pero a día de hoy, cuando tan solo faltan 15 días para que se acabe el plazo, la información sigue siendo la misma sin que se haya realizado el cambio solicitado” . Con su reclamación aporta copia del documento controvertido, denominado “Política de Protección de Datos Personales y Declaración de Actividades Económicas”. De este documento, cabe destacar el contenido siguiente, por su relación directa con las cuestiones suscitadas por la parte reclamante: “2. Política de Protección de Datos Personales… Información básica sobre protección de datos… Finalidades… 5. Análisis de riesgos y finalidades comerciales: (

  1. i)Elaboración de perfiles básicos comerciales y de riesgos. (
  2. ii)Elaboración de perfiles avanzados comerciales y de riesgos. (iii) Ofertas de productos y servicios de BBVA o comercializados por él, del Grupo BBVA o de sociedades participadas o colaboradoras. (…) 7. Comunicar tus datos a las siguientes sociedades del Grupo BBVA, participadas y colaboradoras https://www.bbva.es/content/dam/public-web/bbvaes/documents/gdpr/datos-personales/ sociedades-grupo.pdf para que te puedan ofrecer sus propios productos y servicios personalizados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 (…) En base a nuestro interés legítimo, en BBVA analizamos tus preferencias para ofrecerte productos y servicios propios y comercializados que consideramos de tu interés en atención a dichas preferencias. Además, si nos autorizas en las casillas que constan a continuación, podremos realizar un análisis más detallado, así como enviarte ofertas de otros productos y servicios que consideremos de tu interés. [ ] Quiero que BBVA consulte y trate mis datos y preferencias de forma más detallada, para ofrecerme soluciones que me ayuden a gestionar mejor mis finanzas. + info en Información adicional, apartado Elaboración de perfiles avanzados comerciales y de riesgos. [ ] Quiero que BBVA se comunique conmigo para ofrecerme productos y servicios de las empresas del Grupo BBVA, participadas y colaboradoras. + info en Información adicional apartado Ofrecerte productos y servicios, de las Sociedades del Grupo BBVA o de sociedades participadas o colaboradoras. [ ] Quiero que mis datos sean comunicados solamente a empresas del Grupo BBVA, sociedades participadas o colaboradoras para que personalicen los productos y servicios que me ofrezcan. + info en Información adicional apartado Comunicar tus datos a sociedades del Grupo BBVA, sociedades participadas o con las que mantengamos acuerdos de colaboración para que te puedan ofrecer sus propios productos y servicios. Podrás cambiar la selección realizada, así como configurar tus opciones, en cualquier momento desde la app, banca online o a través de tu gestor o tu oficina. Te recordamos que no tienes obligación de aceptar estos tratamientos para estas finalidades, por lo que si no marcas las casillas, no consientes los tratamientos, no quedando afectado el desarrollo o cumplimiento de los contratos de productos y servicios que mantengas con el Banco. (…) Información adicional (…) ¿Para qué finalidades y por qué (base de legitimación) tratamos tus datos personales? Si eres cliente (…) 5. Análisis de riesgo y Finalidades comerciales (
  3. i)Elaboración de perfiles básicos comerciales y de riesgos.
  4. a)Elaboración de perfiles básicos comerciales Para la elaboración de los perfiles básicos comerciales analizaremos tus preferencias utilizando para ello…
  5. b)Elaboración de un perfil básico con finalidad de riesgos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Para elaborar tu perfil básico de riesgos evaluaremos tu solvencia y, según tu capacidad crediticia, te asignaremos un límite máximo de financiación o descubierto para productos como cuentas corrientes, tarjetas, préstamos o créditos que puedan ser de tu interés. Esta evaluación la haríamos por propia iniciativa del Banco… La base de legitimación para los tratamientos indicados en los apartados anteriores es el interés legítimo de BBVA en (
  6. i)conocer mejor a sus clientes y crear una oferta de productos y servicios más amplia y mejorada; y (
  7. ii)en ajustar las ofertas de los mismos a las necesidades de los clientes... Puedes ejercer tu derecho de oposición enviando un email derechosprotecciondatos@bbva.com o solicitarlo en cualquiera de nuestras oficinas. a: (
  8. ii)Elaboración de perfiles avanzados comerciales y de riesgos.
  9. a)Elaboración de un perfil avanzado comercial Si nos das tu consentimiento, trataremos tus datos personales para la elaboración de tu perfil comercial con mayor profundidad que la contemplada en el apartado (
  10. i)anterior…
  11. b)Elaboración de un perfil avanzado de riesgos Si nos das tu consentimiento, trataremos tus datos personales para la elaboración de tu perfil de riesgos más amplio y con mayor profundidad que la contemplada en el apartado anterior... La base de legitimación es tu consentimiento. …Para tu información, podrás decidir si nos das o no tu consentimiento a los tratamientos que explicamos en este apartado (ii), marcando la casilla correspondiente en la Información básica de protección de datos, “Quiero que BBVA consulte y trate mis datos y preferencias de forma más detallada, para ofrecerme soluciones que me ayuden a gestionar mejor mis finanzas”. (iii) Ofrecerte productos y servicios.
  12. a)Oferta de productos y servicios de BBVA o comercializados por él Con base en el perfil básico descrito en el apartado (
  13. i)anterior y, en caso de que prestes tu consentimiento al perfil avanzado descrito en el apartado (ii), podemos enviarte comunicaciones comerciales referidas a productos y servicios de BBVA o comercializados por BBVA de ámbito financiero y asegurador… La base de legitimación para estos tratamientos es el interés legítimo de BBVA en (
  14. i)en promocionar sus productos y servicios y aquellos que comercializa, y (
  15. ii)en ofrecer un crédito responsable, minimizando el riesgo de impago, y simultáneamente, adelantarnos a tus necesidades económicas para proporcionarte un préstamo de forma más rápida, fácil y flexible... En caso de que te remitamos las comunicaciones comerciales por medios electrónicos (como correo electrónico, SMS o aplicaciones de mensajería instantánea), la base de legitimación es la excepción al consentimiento establecida en la normativa de servicios de la sociedad de la información. Puedes ejercer tu derecho de oposición enviando un email derechosprotecciondatos@bbva.com o solicitarlo en cualquiera de nuestras oficinas. C/ Jorge Juan, 6 28001 – Madrid a: www.aepd.es sedeagpd.gob.es 4/9
  16. b)Ofrecerte productos y servicios de las Sociedades del Grupo BBVA o de sociedades participadas o colaboradoras Con base en los perfiles descritos en los apartados anteriores (
  17. i)y (ii), si has prestado tu consentimiento para el segundo, podemos contactar contigo y enviarte información sobre productos, servicios y ofertas de las sociedades del Grupo BBVA, de sociedades participadas y/u otras sociedades con las que BBVA mantenga acuerdos de colaboración… La base de legitimación es tu consentimiento para que podamos enviarte comunicaciones comerciales sobre productos y servicios del Grupo BBVA y de terceros. Para tu información, podrás decidir si nos das o no tu consentimiento a los tratamientos que explicamos en este apartado, marcando la casilla correspondiente en la Información básica de protección de datos “Quiero que BBVA se comunique conmigo para ofrecerme productos y servicios de las empresas del Grupo BBVA, participadas y colaboradoras”. (…) 7. Comunicar tus datos a sociedades del Grupo BBVA, sociedades participadas o con los que mantengamos acuerdos de colaboración para que te puedan ofrecer sus propios productos y servicios Si nos das tu consentimiento, BBVA comunicará tus datos… a las sociedades del Grupo BBVA y a sociedades participadas y/u otras sociedades con las que BBVA mantenga acuerdos de colaboración… La base de legitimación es tu consentimiento para que podamos comunicar tus datos personales a las sociedades del Grupo BBVA, sociedades participadas y/u otras sociedades con las que BBVA mantenga acuerdos de colaboración para que puedan enviarte comunicaciones comerciales sobre sus productos y servicios. Para tu información, podrás decidir si nos das o no tu consentimiento a los tratamientos que explicamos en este apartado, marcando la casilla correspondiente en la Información básica de protección de datos “Quiero que mis datos sean comunicados solamente a empresas del Grupo BBVA, sociedades participadas o colaboradoras para que personalicen los productos y servicios que me ofrezcan”. Asimismo, la parte reclamante aportó copia del correo electrónico remitido a BBVA en fecha 26/08/2021, dirigido a la dirección “dpogrupobbva@bbva.com”, y la respuesta recibida del Servicio de Atención al Cliente, de fecha 15/09/2021. En este correo, la parte reclamante indica que no consiente el tratamiento de sus datos para las finalidades recogidas en los puntos 5 y 7 del documento antes reseñado y solicita su eliminación para así proceder a su firma: “Recientemente he recibido una notificación desde la entidad solicitando la firma del documento de protección de datos de acuerdo con la LOPDGDD basada en el RGPD. (…) Le adjunto el documento a modificar y le cito textualmente los puntos que no deseo aparezcan y, por lo tanto, para los que yo no doy mi consentimiento explícito... 5. Análisis de riesgos y finalidades comerciales… 7. Comunicar tus datos a las siguientes sociedades del Grupo BBVA, participadas y colaboradoras "https://www.bbva.es/content/dam/public-web/bbvaes/document s/gdpr/datosC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 personales/sociedades-grupo.pdf" para que te puedan ofrecer sus propios productos y servicios personalizados”. En la respuesta de la parte reclamada se indica que habían atendido su petición "adoptando las medidas oportunas y necesarias para impedir el tratamiento de sus datos para las finalidades recogidas en su escrito". SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 26/11/2021 como consta en el acuse de recibo que obra en el expediente. BBVA presentó escrito advirtiendo que la documentación que se adjuntó al traslado anterior no resultaba legible, motivando la realización de un nuevo envío y la concesión de un nuevo plazo de un mes para atender el traslado de la reclamación. Este nuevo envío fue notificado a BBVA en fecha 13/12/2021. No obstante, el plazo concedido finalizó sin que dicha entidad presentase escrito alguno de respuesta a la solicitud de información efectuada por la Agencia al serle trasladada la reclamación. TERCERO: Con fecha 01/01/2022, de conformidad con el artículo 65 de la LOPDGDD, la reclamación presentada por la parte reclamante resultó admitida a trámite por el transcurso del plazo de tres meses establecido en dicho precepto. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
  18. f)y
  19. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 II Derecho de rectificación Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. El artículo 16 del RGPD regula el derecho de rectificación de los datos personales inexactos. Este precepto establece lo siguiente: “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional”. Por su parte, el artículo 14 de la LOPDGDD se refiere al mismo derecho de rectificación en los términos siguientes: “Al ejercer el derecho de rectificación reconocido en el artículo 16 del Reglamento (UE) 2016/679, el afectado deberá indicar en su solicitud a qué datos se refiere y la corrección que haya de realizarse. Deberá acompañar, cuando sea preciso, la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de tratamiento”. III Conclusión En el presente caso, se formula reclamación por ejercicio del derecho de rectificación, “por no haber rectificado el dato de modo efectivo”; y se indica que el derecho se ejercitó en fecha 26/08/2021 La parte reclamante aportó copia del correo electrónico remitido a BBVA en fecha 26/08/2021, dirigido a la dirección “dpogrupobbva@bbva.com”, en el que indica que no consiente el tratamiento de sus datos para las finalidades recogidas en los puntos 5 y 7 del documento denominado “Política de Protección de Datos Personales y Declaración de Actividades Económicas” y solicita la eliminación de dichas partes, para así proceder a su firma. En la reclamación formulada ante esta Agencia se refiere igualmente a la modificación de dicho documento en el sentido indicado. Esta pretensión de la parte reclamante nada tiene que ver con el ejercicio del derecho de rectificación de datos personales inexactos o incompletos. Es más, la solicitud formulada por la parte reclamante a la parte reclamada para que sea modificado un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 documento que ambas deben formalizar, aunque esté referido a la protección de datos personales, no supone el ejercicio de ninguno de los derechos reconocidos a los interesados en los citados artículos 12 a 22 del RGPD. Puede entenderse, por tanto, que la reclamación presentada ante esta Agencia carece de objeto. Por otra parte, la eliminación en un documento como el señalado de aquellas partes a las que no quiere prestarse conformidad tampoco es la única forma de dejar constancia de la oposición del interesado a las mismas. Como se ha indicado, la parte reclamante plantea una petición muy concreta, relacionada con la formalización del documento “Política de Protección de Datos Personales y Declaración de Actividades Económicas”, para que este documento sea modificado antes de proceder a su firma. El interesado condiciona la formalización del documento a la eliminación de parte de su contenido. El propósito último de esta modificación es impedir que la parte reclamada utilice los datos personales de la parte reclamante con las siguientes finalidades: “5. Análisis de riesgos y finalidades comerciales: (
  20. i)Elaboración de perfiles básicos comerciales y de riesgos. (
  21. ii)Elaboración de perfiles avanzados comerciales y de riesgos. (iii) Ofertas de productos y servicios de BBVA o comercializados por él, del Grupo BBVA o de sociedades participadas o colaboradoras”. “7. Comunicar tus datos a las siguientes sociedades del Grupo BBVA, participadas y colaboradoras https://www.bbva.es/content/dam/public-web/bbvaes/documents/gdpr/datos-personales/ sociedades-grupo.pdf para que te puedan ofrecer sus propios productos y servicios personalizados”. Sin embargo, el propio documento prevé los mecanismos que permiten a la parte reclamante alcanzar este propósito, por medios de los cuales el interesado puede impedir a la entidad BBVA tratar los datos personales para los fines indicados sin necesidad de suprimir la mención a dichas finalidades en el documento que se suscriba. Según consta en la “Información adicional” insertada en el mismo documento “Política de Protección de Datos Personales y Declaración de Actividades Económicas”, el interés legítimo es la base de legitimación para los tratamientos de datos personales que persiguen los fines siguientes: . Elaboración de perfiles básicos comerciales . Elaboración de un perfil básico con finalidad de riesgos . Oferta de productos y servicios de BBVA o comercializados por él En todos estos casos, se ofrece al interesado la posibilidad de oponerse al tratamiento de sus datos con tales fines (“Puedes ejercer tu derecho de oposición enviando un email a: derechosprotecciondatos@bbva.com o solicitarlo en cualquiera de nuestras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 oficinas”). En cambio, según informa BBVA en la “Información adicional”, el consentimiento es la base jurídica de los tratamientos que realice con las siguientes finalidades (“si nos das tu consentimiento…”; “la base de legitimación es tu consentimiento…”): . Elaboración de perfiles avanzados comerciales y de riesgos. . Ofrecerte productos y servicios de las Sociedades del Grupo BBVA o de sociedades participadas o colaboradoras . Comunicar tus datos a sociedades del Grupo BBVA, sociedades participadas o con los que mantengamos acuerdos de colaboración para que te puedan ofrecer sus propios productos y servicios. En todos los casos se indica que el consentimiento puede prestarse marcando la casilla correspondiente en la “Información básica de protección de datos”. Las casillas habilitadas por BBVA se corresponden con las finalidades expresadas: “[ ] Quiero que BBVA consulte y trate mis datos y preferencias de forma más detallada, para ofrecerme soluciones que me ayuden a gestionar mejor mis finanzas. + info en Información adicional, apartado Elaboración de perfiles avanzados comerciales y de riesgos. [ ] Quiero que BBVA se comunique conmigo para ofrecerme productos y servicios de las empresas del Grupo BBVA, participadas y colaboradoras. + info en Información adicional apartado Ofrecerte productos y servicios, de las Sociedades del Grupo BBVA o de sociedades participadas o colaboradoras. [ ] Quiero que mis datos sean comunicados solamente a empresas del Grupo BBVA, sociedades participadas o colaboradoras para que personalicen los productos y servicios que me ofrezcan. + info en Información adicional apartado Comunicar tus datos a sociedades del Grupo BBVA, sociedades participadas o con las que mantengamos acuerdos de colaboración para que te puedan ofrecer sus propios productos y servicios”. A este respecto, también en la “Información básica”, se informa expresamente a los interesados que podrán cambiar en cualquier momento la selección realizada (“desde la app, banca online o a través de tu gestor o tu oficina”), que no tiene obligación de aceptar esos tratamientos y que si no los acepta el desarrollo de sus contratos no se verá afectado. Así, bastará con que la parte reclamante no marque las casillas correspondientes y ya quedará constancia de su negativa a esas finalidades. Finalmente, debe destacarse que la propia parte reclamante se dirigió a la parte reclamada manifestando su oposición a los tratamientos de datos que puedan realizarse con las repetidas finalidades y consta la respuesta de BBVA aceptando esa oposición. En la misma reclamación formulada ante esta Agencia, la parte reclamante expresa que la citada entidad aceptó su petición (“le confirmamos que ya se ha procedido a atender su petición, adoptando las medidas oportunas y necesarias para impedir el tratamiento de sus datos para las finalidades recogidas en su escrito”). Después añade C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 que, a pesar de esa respuesta, aún no habían preparado el documento eliminando esas finalidades. Petición esta que, como se ha visto, no tiene fundamento. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Esta Resolución analiza exclusivamente la cuestión suscitada por la parte reclamante, de modo que no supone pronunciamiento alguno sobre ninguno de los aspectos contenidos en el documento “Política de Protección de Datos Personales y Declaración de Actividades Económicas” ni sobre su conformidad a la normativa de protección de datos personales. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y BANCO BILBAO VIZCAYA ARGENTARIA, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  22. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.