AI-00502-2024

1/5  Expediente N.º: EXP202412865 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de julio de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en mayo de 2023, dio de baja todas sus cuentas y tarjetas, dando así por finalizada su relación como cliente de la parte reclamada. Sin embargo, en mayo de 2024, Amazon realizó la devolución de un importe correspondiente a una compra efectuada en diciembre de 2021, abonándolo a la tarjeta vinculada a una cuenta que ya había sido cancelada. Al no recibir el importe de la devolución, la parte reclamante contactó con Amazon, que le indicó que la entidad bancaria había aceptado la devolución, por lo que debía gestionar la recuperación del dinero directamente con ella. Añade que no ha logrado obtener una respuesta de la entidad bancaria. Junto al escrito aporta documentación para acreditar los extremos anteriores: - Copia del mensaje de correo electrónico enviado por Amazon, de fecha 10 de junio de 2024, en el que dicha entidad indica que la devolución en cuestión ha sido aceptada por la entidad bancaria por lo que debe reclamar el importe a esta entidad. Con objeto de que la entidad pueda localizar la devolución, facilita a la parte reclamante en número de referencia de la devolución (ARN). - Copia de un mensaje de correo electrónico enviado por la parte reclamante, de fecha 5 de julio de 2024, en el que pone en conocimiento de dicha entidad lo ocurrido y solicita el reembolso de su dinero, así como copia de un mensaje de respuesta de la parte reclamada, de fecha 6 de julio de 2024, indicando que "la dirección de correo desde la que nos envía su comunicación no figura como validad en nuestra base datos. A los efectos de acreditar su identidad, le rogamos que remita su escrito por correo postal dirigido al Servicio de Atención al Cliente...". - Copia de otro mensaje de correo electrónico de la parte reclamante, de fecha 10 de julio de 2024, en el que reitera su solicitud e indica que la dirección es la misma que tenía cuando era cliente y copia del mensaje de respuesta de la parte reclamada, en la misma fecha y, en el mismo sentido que la respuesta anterior. - Copia de un escrito de respuesta de la parte reclamada, de fecha 10 de julio de 2024, en el que se indica lo siguiente: "Hemos recibido el escrito de reclamación que nos ha enviado. La solicitud se está gestionando con el número de referencia (...), indicando este número podrá realizar cualquier consulta al respecto (...)". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 25/09/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 25/11/2024 se recibe en esta Agencia escrito de respuesta al traslado de la reclamación en el que se resumen los hitos de la relación contractual entre ambas partes y las comunicaciones mantenidas con motivo de los hechos denunciados. Se indica que, con fecha de 22 de noviembre de 2024, la entidad reclamada informó por correo electrónico a la parte reclamante de las comprobaciones realizadas para localizar la devolución del importe objeto de reclamación, señalando lo siguiente: “El comercio Amazon efectuó la devolución del importe mediante los mismos medios utilizados para el pago de su compra. Con carácter general, al procesarse el reembolso de una operación a través de una tarjeta previamente cancelada, dicho abono se gestiona en una de las cuentas que nuestros clientes mantienen con la entidad. Sin embargo, usted no tenía vinculada dicha tarjeta a ninguna cuenta, en vista de la cancelación de todos sus productos en una fecha anterior a la devolución del importe de la compra, lo que ha dado lugar a que el abono permaneciera registrado en una cuenta contable interna de nuestra oficina” Así mismo, informó a la parte reclamante del procedimiento a seguir para recuperar el importe de la devolución. Junto al escrito, la entidad aporta documentación a efectos de acreditar los elementos anteriores. TERCERO: Con fecha 12 de octubre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En respuesta de 30/12/2024 al requerimiento de información efectuado por esta Agencia la parte reclamada realizó las siguientes manifestaciones: - “Cuando [la parte reclamante] dejó de ser cliente de la entidad, sus datos personales fueron bloqueados, garantizando la imposibilidad de su tratamiento o visualización. Solo usuarios específicamente autorizados podían acceder a dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 información y utilizarla exclusivamente para las finalidades previstas en la normativa”. - “Desde la cancelación del último contrato, el 19/08/2023, y durante los dieciocho meses posteriores, al tratar de acceder a los datos personales [de la parte reclamante] aparecía el siguiente mensaje: “Atención. Bloqueado LOPD salvo requerimientos legales”. - “La Declaración de Actividad Económica y Política de Protección de Datos Personales [que la parte reclamante habría firmado el 19/05/2021] establece los límites para el uso y plazo de conservación de los datos personales de los clientes una vez finalizada la relación contractual. Estos datos se conservarán únicamente mientras sean necesarios para el "cumplimiento de obligaciones legales" y "durante los plazos de prescripción legal, con el único propósito de atender reclamaciones o acciones legales". La entidad aporta documentación a efectos de acreditar los elementos anteriores, entre los que se encuentra la Política de Protección de Datos Personales y Declaración de Actividad Económica, así como la normativa específica aplicable respecto al plazo en el que los datos debían mantenerse bloqueados. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El Artículo 6.1 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Conclusión La parte reclamante manifiesta que la entidad reclamada habría utilizado sus datos personales una vez terminada su relación contractual para gestionar la devolución del importe de una compra realizada en un comercio electrónico. No obstante, durante la tramitación del expediente se ha comprobado que BBVA había procedido al bloqueo de los datos de la parte reclamante, en cumplimiento de lo previsto en los artículos 17 del RGPD y del artículo 32 de la LOPDGDD, así como de la normativa específicamente aplicable. Por tanto, al recibir por parte de AMAZON la devolución de una cuantía ligada a una tarjeta bancaria de la entidad que ya no constaba en el sistema como asignada a un cliente, BBVA siguió el procedimiento previsto para estos supuestos, recibiendo el ingreso en una cuenta genérica de la entidad. Así, en la medida en que los datos del reclamante se encontraban bloqueados, BBVA no podía comprobar a quién había correspondido previamente la tarjeta, ni disponía (ni podía hacer uso) de ningún medio de contacto con la parte reclamante. En consecuencia, no cabe afirmar que la actuación de BBVA resultara contraria a la normativa en materia de protección de datos Por lo tanto, de acuerdo con lo indicado en los párrafos anteriores, no se han encontrado indicios racionales suficientes de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. y a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es