1/4 Expediente Nº: E/00712/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de enero de 2018, tuvo entrada en esta Agencia escrito de A.A.A. (en lo sucesivo el denunciante) contra el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. porque pese a solicitar, mediante carta certificada de 07/10/2016, la baja de todos los productos bancarios contratados con UNOE -entidad que desde el 12/12/2016 forma parte del Grupo BBVA-, sigue recibiendo el extracto de una tarjeta inactiva que tenía contratada. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: El denunciante reiteró su solicitud de baja, recibiendo respuesta del BBVA el 25/07/2017, indicándole que sus datos quedaban bloqueados. Sin embargo, durante los meses de septiembre, octubre, noviembre y diciembre de 2017 sigue recibiendo cartas mensuales de una tarjeta que debería estar dada de baja y que sigue estando inactiva. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II En el presente caso se denuncia que el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. pese a solicitar mediante carta certificada de 07/10/2016, la baja de todos los productos bancarios que el denunciante tenía contratados con UNOE -entidad que desde el 12/12/2016 forma parte del Grupo BBVA-, sigue recibiendo el extracto mensual de una tarjeta inactiva que tenía contratada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 De las actuaciones inspectoras de esta Agencia se desprende que el denunciante reiteró su solicitud de baja, recibiendo mediante carta de 25/07/2017, respuesta del BBVA indicándole que sus datos quedaban bloqueados. Sin embargo, durante los meses de septiembre, octubre, noviembre y diciembre de 2017 sigue recibiendo cartas mensuales informativas de una tarjeta que debería estar dada de baja y que sigue estando inactiva, con balances de saldo iguales, negativos y referenciados, de fechas anteriores al bloqueo de datos. III El artículo 4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD) bajo la rúbrica “calidad de datos” recoge el principio de calidad de datos y dispone, en sus apartados 3 y 4, lo siguiente: “
- Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. “
- Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16” Añade el artículo 8 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, en su apartado 5: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento específico para ello. Cuando los datos hubieren sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviere el tratamiento de los datos deberá proceder a la rectificación y cancelación notificada. Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de las interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre. Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el título III de este Reglamento.” Así las cosas el responsable del fichero o tratamiento tiene la obligación de actualizar o cancelar de oficio los datos inexactos en el plazo de diez días a contar desde que tuviese conocimiento de la inexactitud. Si no se realizan las rectificaciones que procedan, con motivo de la inexactitud de los datos, se estaría infringiendo el principio de calidad de datos que prohíbe mantener en los ficheros datos inexactos y no actuales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 IV En el presente caso, si bien el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. ha tratado los datos personales del denunciante con posterioridad al bloqueo de los mismos, se debe señalar que del contenido de las dos cartas aportadas por el denunciante como acreditativas de los hechos denunciados, ( extracto de pago de diciembre de 2017 y enero de 2018 ) se infiere que ambas se limitan a informar al denunciante el importe de regularización del servicio de tarjeta “visa terra” contratado. Todo ello, sin perjuicio de que si en lo sucesivo y, una vez finalizada la relación contractual entre BBVA y el denunciante, se tratarán los datos nuevamente para una finalidad no consentida, podrá presentar nueva denuncia ante esta AEPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. y A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es