← España

AI-00160-2024

1/7  Expediente N.º: EXP202405239 AI Nº /00160/2024 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23 de mayo de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CAIXABANK, S.A. con NIF A08663619 (en adelante, la parte reclamada/CAIXABANK). La parte reclamante manifiesta que: - En fecha 28 de febrero de 2022, procedió al vaciado, cierre y cancelación de su cuenta bancaria abierta con la parte reclamada. - No obstante, casi un año después, en concreto, el 28 de enero de 2023, recibe una comunicación en su dirección de correo electrónico de la que se identifica como subdirectora de la entidad bancaria de CAIXABANK en la que tenía la cuenta cancelada, solicitando información acerca de una incidencia acerca del pago de un recibo pendiente con su aseguradora (...) durante el primer semestre de 2022, respondiendo el reclamante: "Me suena que en un año hubo un problema y tuve que pasarles una nueva cuenta y el certificado de titularidad. ¿A cuenta de que surge el tema si ya no estoy yo particularmente con vosotros?" - En fecha 8 de febrero de 2023, recibe otro correo electrónico de la misma subdirectora en la que se indica lo siguiente: "Tenemos un apunte contable en la oficina y me gustaría saber más detalles". - En fecha 5 de mayo de 2023, recibe una llamada de dicha subdirectora indicando que tienen un recibo pagado a nombre de la parte reclamante y se lo envía vía e-mail, comprobando entonces la parte reclamante que dicho recibo de la aseguradora (seguro de vida) fue cargado en la que era su anterior cuenta cancelada el 16 de mayo de 2022, esto es, con posterioridad al vaciado y cancelación de su cuenta. Manifiesta el reclamante que en dicha fecha no recibió ninguna llamada de la entidad advirtiéndole del recibo, ni procedió a devolverlo o reclamarlo a (...). - Manifiesta la parte reclamante también que, días después, el 18 de mayo de 2023, vuelve a recibir otra llamada indicando que debe pasar por ventanilla para pagar el importe del recibo, indicando que se habían producido una serie de errores y ella, como nueva subdirectora de la oficina desde enero de 2023, debía resolver la incidencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Junto a la reclamación aporta copia de los mensajes de correo electrónico intercambiados con la subdirectora de la entidad reclamada, entre los que figura el recibo de la aseguradora que aparece cargado el 16/5/2022 en la cuenta del reclamante, y fue remitido al mismo por correo de la mencionada subdirectora con fecha de 05/05/2023, tal y como la parte reclamante manifiesta. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 07/07/2023, como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha de 2 de agosto de 2023, CAIXABANK presenta alegaciones contestando al traslado, en las que niega que exista vulneración alguna de la legislación de protección de datos en base a lo siguiente: - - - La citada cuenta tenía domiciliados los recibos de una póliza anual de seguro de vida, emitido por la compañía aseguradora (...) desde 12 de mayo de 2021. La cuenta se canceló en fecha 28 de febrero de 2022 por el reclamante, sin “señal de traspaso” (es decir, sin que su titular solicitara un cambio de depósito de cargo de los adeudos domiciliados); y, al parecer, sin que tampoco fuera indicada, a la entidad emisora, una nueva cuenta para la oportuna modificación de la domiciliación del recibo anual. En las circunstancias anteriores, se recibió en fecha 14 de mayo de 2022 el adeudo correspondiente a la anualidad de la póliza de seguro; el recibo no pudo adeudarse en la cuenta domiciliada, ya cancelada, y, atendiendo a las características del mismo (se trataba de una póliza de seguro de vida) y los posibles perjuicios para su titular, no fue devuelto, sino que fue atendido, siendo cargado en una cuenta administrativa de la oficina, para su oportuna gestión con el titular del mismo. Que la incidencia que se produjo fue que el cargo permaneció en la cuenta administrativa de la oficina sin que fuera gestionado ante su titular, hasta la fecha indicada por el propio reclamante en su escrito (enero de 2023). Para dicha gestión del adeudo atendido por la oficina, la subdirectora de la misma se puso en contacto con el reclamante, tal como indica el mismo en su escrito, explicándole oportunamente la incidencia que había concurrido. Junto con las alegaciones se adjunta: - La respuesta dada a la parte reclamante en torno a esta incidencia con fecha de 2 de agosto de 2023, en la que se le informa de lo sucedido, en el mismo sentido manifestado en las alegaciones dirigidas a esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 - Pantallazos de la ficha de cuentas actuales del reclamante, que son 3, sin corresponder ninguna a la cuenta cancelada; y del apunte en la cuenta de domiciliación recibo del seguro que fue cobrado. CUARTO: Con fecha 23 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia y Procedimiento De acuerdo con las funciones que el artículo 57.1 a),

  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Falta de concurrencia de una conducta infractora Los datos contenidos en una cuenta bancaria corriente de una persona física se consideran datos personales se consideran datos personales, cuyo tratamiento se somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, 2, y 7 el RGPD, que dispone lo siguiente: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;(…) 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (…)” El tratamiento de los datos personales contenidos en la cuenta bancaria corriente de una persona física debe estar presidido por los principios que relaciona el artículo 5 del RGPD, entre los que se encuentra el Principio de licitud y transparencia previsto en el apartado primero del mismo, que dispone: “1. Los datos personales serán:
  3. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); [...]” Además, el artículo 5.2 del RGPD indica que: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Con capacidad de demostrarlo en el sentido previsto en el artículo 25 del RGPD, que establece el Principio de Responsabilidad proactiva del responsable. En desarrollo de este principio, el artículo 6 del RGPD relativo a la “Licitud del tratamiento” determina en su apartado 1 los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  10. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el presente supuesto, el reclamante plantea que la entidad bancaria reclamada realizó una operación de tratamiento ilegítima al acceder a una de sus cuentas bancarias, que había sido cancelada el 28/02/22, para cargarle en su cuenta un recibo domiciliado de un seguro de vida que se recibió con posterioridad a dicha fecha, lo que implicaría que ésta estaría actuando sin base de licitud, puesto que al finalizar la relación contractual entre las partes, la entidad bancaria ya no dispondría de base de licitud alguna del artículo 6.1 del RGPD, que le permita acceder de nuevo a esta cuenta para cargarle un nuevo recibo. A la vista de la documentación que obra en el expediente, concurren evidencias de que la entidad reclamada se puso en contacto telefónicamente con la parte reclamante en el mes de enero de 2023 y por correo electrónico el 28/03/23 y 03/05/23, al objeto de reclamarle el pago de un recibo de un seguro de vida que tenía domiciliado en la cuenta que fue cancelada el 28/02/23. Por su parte, la entidad reclamada contestó al requerimiento de esta Agencia, indicando que no cargó dicho recibo en la cuenta del reclamante, sino que lo atendió para no perjudicarle y lo cargó en una cuenta administrativa de la entidad, a la espera de reclamarle el pago a éste con posterioridad. En concreto, la parte reclamada manifiesta y acredita lo siguiente: 1. “El Sr. A.A.A. fue titular de la cuenta corriente número (...) hasta febrero de 2022. 2. En la citada cuenta, el Sr. A.A.A. tenía domiciliado un recibo correspondiente a una póliza anual de seguro de vida, emitido por la compañía aseguradora (...) (…). 3. La citada cuenta se canceló en fecha 28 de febrero de 2022, sin “señal de traspaso” (es decir, sin que su titular solicitara un cambio de depósito de cargo de los adeudos domiciliados); y, al parecer, sin que tampoco fuera indicada, a la entidad emisora, una nueva cuenta para la oportuna modificación de la domiciliación del recibo anual. 4. En las circunstancias anteriores, se recibió en fecha 14 de mayo de 2022 el adeudo correspondiente a la anualidad de la póliza de seguro; el recibo no pudo adeudarse en la cuenta domiciliada, ya cancelada, y, atendiendo a las características del mismo (se trataba de una póliza de seguro de vida) y los posibles perjuicios para su titular, no fue devuelto sino que fue atendido, siendo cargado en una cuenta administrativa de la oficina, para su oportuna gestión con el titular del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 5. Y esta es la incidencia que se produjo: que el cargo permaneció en la cuenta administrativa de la oficina sin que fuera gestionado ante su titular, hasta la fecha indicada por el propio reclamante en su escrito (enero de 2023)”. En el presente expediente constan evidencias que corroboran la versión de la parte reclamada. Así pues, el reclamante aporta el recibo de cargo por adeudo de domiciliaciones correspondiente al pago del seguro de vida de 16 de mayo de 2022, que le fue remitido por la reclamada mediante correo electrónico de 5 de mayo de 2023, donde puede observarse que el citado recibo del seguro de vida correspondiente al año 2022 fue cargado en un número de cuenta bancaria que no coincide con el número de la cuenta cancelada que era titularidad del reclamante ((...)), indicándose en la parte inferior del recibo “Gestión Oficina, CaixaBank, S.A”. Dicho número de cuenta bancaria no coincide tampoco con el de las otras 3 cuentas bancarias “a la vista” que continúan a nombre del reclamante, según la reclamada. Por tanto, no consta acreditado que se haya producido un tratamiento de datos personales ilícito por parte de la reclamada, puesto a la vista del recibo emitido se deduce claramente que la entidad bancaria no accedió a la cuenta cancelada que estaba a nombre del reclamante, sino que cargó dicho recibo en otra cuenta bancaria, a la espera de reclamarle posteriormente el pago al mismo. No se observa, por tanto, infracción alguna de la normativa en materia de protección de datos personales por parte de la entidad reclamada, sin que proceda realizar pronunciamiento alguno acerca de la procedencia de la reclamación del recibo por parte de la entidad bancaria a la parte reclamante, toda vez que se trata de una relación jurídica inter-partes que excede del ámbito competencial de esta Agencia. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir responsabilidad por el tratamiento al que se refiere la parte reclamante, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  11. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.