E-01475-2018

1/7 Procedimiento Nº: E/01475/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante CAIXABANK, S.A., en virtud de reclamación presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24/01/2018 tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a CAIXABANK, S.A. (en lo sucesivo CAIXABANK) por los siguientes hechos: la entidad le obliga a aceptar las nuevas condiciones LOPD, en cuyo apartado II se debe aceptar la cesión a todas las empresas del grupo de sus datos. Para poder cancelar la cesión debe dirigir un escrito a cada una de las empresas. Aporta copia del Condicionado relativo a Autorizaciones para el tratamiento de datos y Ejercicio de derecho de acceso, cancelación y oposición. Reclamaciones ante la Autoridad de Protección de Datos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: CAIXABANK ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados.

1. La entidad bancaria, es la cabecera de un grupo de diferentes empresas participadas, entre ellas algunas son emisoras de productos financieros que forman parte de la cartera de productos comercializados por el propio banco, estas empresas comercializan productos que antes emitía el banco pero que han sido localizados en sociedades filiales por razones estratégicas y regulatorias.
2. En relación con lo expuesto en el punto anterior, ejemplos de estas sociedades serían las tarjetas de crédito y débito que ahora emite CAIXABANK PAYMENTS, los seguros de ahorro y vida que emite VIDACAIXA, las tarjetas prepago que emite CAIXABANK ELECTRONIC MONEY o los préstamos al consumo que emite CAIXABAN CONSUMER FINANCE. Aporta una relación de estas empresas del grupo y la descripción de su actividad.
3. Aprovechando los cambios contractuales que se iban a implantar para la adaptación a la nueva normativa de Protección de Datos, en 2016 se decidió que en las relaciones a establecer con los clientes, se seguirían dos principios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 a. Que la base para la actividad comercial (tratamiento) fuera el consentimiento inequívoco del cliente. b. Que los consentimientos se recabarían a nivel de grupo, para simplificar las relaciones cruzadas
4. Para ello se inició la implementación de un sistema mediante el cual, s los clientes se les solicitaría autorización para tratamientos con finalidad comercial de manera conjunta para todas las sociedades del grupo (Repositorio Común).
5. Aunque el sistema técnico implementado para el alojamiento de la información de las diferentes empresas es un conjunto de repositorios individuales coordinados entre sí, se solicita al cliente autorización para incorporar la información a un repositorio común.
6. El repositorio común de consentimientos es el sistema que coordina y almacena autorizaciones para tratamientos comerciales que los clientes han dado a las empresas del grupo.
7. A los clientes se les solicita autorización para hacer tratamientos de análisis de datos y tratamientos de publicidad para un conjunto de diez entidades, poniendo en común la información de todos los productos del cliente que son productos financieros o asociados del Grupo CaixaBank.
8. El sistema implantado permitiría que un cliente que hubiera consentido estos tratamientos, revocara posteriormente el consentimiento, o uno de ellos, desde cualquier otra de las empresas del grupo y también a la inversa, por lo que cualquiera de las empresas del grupo es un punto de entrada donde el cliente puede otorgar consentimientos, o retirar los mismos, con efectos a la totalidad.
9. Dado que el sistema está desarrollándose, funciona plenamente en CIXABANK, y en fechas próximas se ampliará al resto de las empresas, mientras tanto se completa, las empresas no están conectadas al repositorio común y no están recabando ni utilizando consentimientos a nivel de grupo. No obstante, cualquier solicitud de revocación en cualquiera de ellas, se tramita con efectos a la globalidad.
10. Así mismo, por directrices internas, con la finalidad de evitar tratamientos de datos o impactos publicitarios excesivos, en la actualidad es CAIXABANK quien centraliza el uso de la información de los clientes, y la publicidad emitida. La entidad debe evaluar y autorizar cualquier uso de la información a los clientes.
11. Respecto a la revocación del consentimiento con finalidad comercial: El cliente otorga el consentimiento para todas las Empresas del Grupo, por lo que su revocación tiene efectos automáticamente para todas ellas. El derecho puede ser ejercido indistintamente ante cualquiera de las empresas del grupo, por cualquiera de sus canales.
12. Respecto a la cancelación y rectificación: con independencia de que los consentimientos que otorga el cliente sean comunes, cada una de las empresas es responsable de las relaciones comerciales que mantiene con sus clientes y por tanto de los datos que trata en el ámbito de la relación contractual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7
13. Por otra parte, en el Grupo se ha implantado un sistema de atención de derechos en materia de protección de datos centralizado que tiene como premisas básicas: La centralización de la atención de derechos de los clientes en un servicio supervisado por el Delegado de Protección de Datos y que será CAIXABANK el canal de entrada de ejercicios de derechos de todas las empresas del grupo mediante todos los canales. Así mismo, todas las empresas del Grupo dispondrán de sus propios canales para la recepción de solicitudes de derechos de revocación de todas las empresas del Grupo.
14. Respecto a los datos “obtenidos de las redes sociales que el firmante autorice a consultar a Caixabank”: a. Conexión de perfiles de Facebook, Twitter y Linkedin: La entidad pone a disposición de sus clientes un servicio mediante el cual, pueden vincular sus datos de identificación en las redes sociales con el servicio de banca por internet, a los efectos de poder identificar al cliente cuando éste se pone en contacto con la entidad a través de estos canales. En este caso el consentimiento se recoge a través de la banca por internet, después de firmar los “Términos y Condiciones”, se vinculan los datos de identificación en la red social con el servicio de banca por internet. b. Aplicaciones de CaixaBank en redes sociales: Facebook es la única red social de la que la entidad recaba datos mediante la incorporación de aplicaciones en la misma, en la actualidad tiene dos aplicaciones incorporadas: Atención al Cliente y Personalización de Tarjetas. En la primera el usuario debe solicitar su uso y aceptar las condiciones del servicio y acepta que Facebook ponga a disposición del propietario (CaixaBank), la información marcada como “Publica” en su perfil de usuario. En la segunda, que permite solicitar una tarjeta personalizando la imagen con alguna de las fotografías que el usuario tenga alojadas en la red social, es necesario que el cliente otorgue su consentimiento para el acceso, la cesión y explotación de sus imágenes de Facebook, el consentimiento se recoge en un paso previo al de acceder a la aplicación y requiere que el cliente otorgue su consentimiento de forma explícita.
15. Respecto a “Los datos obtenidos de terceras entidades como resultado de solicitudes de agregación de datos solicitadas por el firmante”: a. Los servicios de agregación de datos son servicios creados en inspiración de lo establecido en el art.67 de la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo. Los solicitantes autorizan a la entidad que ofrece dicho servicio, agregar la información de sus productos en otras entidades para tener una visión de toda su información financiera. El cliente debe solicitar la agregación desde el servicio de “Mis Finanzas” de CAIXABANK, donde puede agregar la entidad que le interese. b. Este servicio ofrecido por la entidad permite añadir las posiciones de cuentas y movimientos de cuentas y tarjetas de las siguientes entidades: BBVA, Banco C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Santander, Banco Sabadell, Banco Popular, ING, Kutxabank, Bankinter, Bankia, Ibercaja.
16. Respecto a que “Los datos del firmante serán complementados y enriquecidos por datos obtenidos de empresas proveedoras de información comercial.” a. En la actualidad la entidad utiliza con finalidad comercial una serie de bases de datos externas. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Hay que señalar que la denuncia tuvo entrada en la AEPD el 24/01/2018, por tanto, vigente tanto la LOPD como su Reglamento de desarrollo. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala en su Disposición Transitoria Quinta “El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor.” La Disposición Final Segunda determina: “El presente real decreto entrará en vigor a los tres meses de su íntegra publicación en el “Boletín Oficial del Estado”. Habiéndose publicado el mismo el 19/01/2008, el citado R. D. por el que se aprueba el Reglamento de desarrollo de la LOPD, entró en vigor el 19/04/2008 En su artículo 126, se señala que: “
17. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.
18. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Y en el artículo 122, se establece que: “
19. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso.
20. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano.
21. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador.
22. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. (El subrayado es de la Agencia Española de Protección de Datos). III A tenor de lo dispuesto en los artículos transcritos, las actuaciones previas han de entenderse caducadas transcurridos más de doce meses desde que tuvo entrada en la Agencia la denuncia del afectado, hasta la notificación del acuerdo de inicio del procedimiento sancionador. Es necesario señalar que en el presente caso resulta de aplicación el plazo máximo de doce meses de duración establecido en el artículo 122 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece para la realización de dichas actuaciones previas, tomando en consideración que tal norma reglamentaria es de aplicación a actuaciones iniciadas con posterioridad a su entrada en vigor (es decir, a partir del 19 de abril de 2008). La denuncia tuvo entrada en esta Agencia Española de Protección de Datos el 24/01/2018, llevándose a cabo con posterioridad actuaciones e investigaciones previas al objeto de determinar si concurrían circunstancias que justificaran la iniciación del procedimiento sancionador correspondiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 No obstante, habiendo transcurrido más de 12 meses desde la entrada en la AEPD del escrito de denuncia procede declarar la caducidad de las citadas actuaciones previas. Por otra parte, el artículo 95.3 de la LPACAP señala que “
23. La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado”. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: • DECLARAR la CADUCIDAD de las presentes actuaciones. • NOTIFICAR la presente Resolución a CAIXABANK, S.A. y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es