1/6 Expediente Nº: E/01781/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., en virtud de denuncia presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de octubre de 2018, tuvo entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo, el reclamante), comunicando que el BANCO BILBAO VIZCAYA ARGENTARIA, S.A., (en adelante, BBVA o el reclamado), le sigue enviando comunicaciones comerciales por correo electrónico desde hace más de un año, ello a pesar de haber manifestado reiteradamente a dicha entidad, y por diversos medios, su oposición a la recepción de ese tipo de envíos. En concreto, el reclamante indica que se ha dado de baja de su boletín de noticias cada vez que recibe un mensaje publicitario, que ha contactado telefónicamente para solicitar la cancelación de sus datos y que ha enviado un correo electrónico a la cuenta ***EMAIL.1@bbva.com utilizada por la persona que le atendió por teléfono. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió, con fecha 21 de noviembre de 2018, a trasladar dicha reclamación, al BBVA para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se requería a dicha entidad para que en el plazo de un mes remitieran a la Agencia Española de Protección de Datos determinada información para el esclarecimiento de los hechos señalados, en concreto: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevan. En la misma fecha se le comunicaba al reclamante el traslado de su reclamación al BBVA para que procediera a su análisis y a darle respuesta en el plazo de un mes. Ambas comunicaciones fueron recibidas por sus destinatarios con fecha 21 de noviembre de 2018. TERCERO: Con fecha 19 de diciembre de 2018 se registra de entrada en esta Agencia escrito del BVA, de fecha 17 de diciembre de 2018, indicando que, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 conformidad con art. 9.4 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho Español a la normativa de la Unión Europea en materia de protección de daos, el Servicio de Atención al Cliente de BBVA procedió a comunicar al reclamante la decisión acordada respecto a la reclamación presentada. En relación con la incidencia, originada en el envío de correos electrónicos al reclamante con publicidad de BBVA, comunica que la entidad tiene bloqueados los datos del reclamante, lo que según la reclamada “impide el posterior proceso o utilización de los mismo” El BBVA adjunta copia del escrito dirigido con fecha 12 de diciembre de 2018 a la dirección postal del reclamante que figuraba en la reclamación, en el que, en relación con el derecho de oposición ejercido para cesar de recibir comunicaciones comerciales de esa entidad, le informa que de conformidad con el RGPD “sus datos ya se encuentran bloqueados, lo que impide el posterior proceso o utilización de los mismos”. Añade que han trasladado “su solicitud con el fin de cesar cualquier tipo de comunicación publicitaria por parte de terceros asociados a BBVA.”, facilitando dos vías de contacto para que, en caso de volver a recibir cualquier tipo de comunicación comercial por parte de la entidad, remita la misma por medio de cualquiera de los canales proporcionados para solventar el asunto. CUARTO: Con fecha 13 de febrero de 2019, de conformidad con el artículo 9 del Real Decreto-ley 5/2018 de 27 de julio y a los efectos previstos en su artículo 11, la Directora De la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el BBVA. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), así como de conformidad con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI), la Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones de investigación. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. El artículo 55.2 del RGPD dispone que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 “2. Cuando el tratamiento sea efectuado por autoridades públicas o por organismos privados que actúen con arreglo al artículo 6, apartado 1, letras
- c)o e), será competente la autoridad de control del Estado miembro de que se trate. No será aplicable en tales casos el artículo 56.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Asimismo, el artículo 9.3 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, establece que “3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
- a)Que no se haya causado perjuicio al afectado.
- b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” III El artículo 21 de la LSSI señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Del precepto señalado se deduce que es de aplicación la normativa de protección de datos de carácter personal, si bien la remisión que se efectúa a la LOPD ha de interpretarse como hecha al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD en adelante), aplicable desde el 25 de mayo de 2018, y, asimismo, a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en vigor desde el 7 de diciembre de 2018. A este respecto, los apartados 2 al 4 del artículo 21 del RGPD disponen en relación con el “Derecho de oposición” lo siguiente: “2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas.” IV En el presente caso, se ha recibido en esta Agencia reclamación presentada por el reclamante contra el BBVA por no atender sus reiteradas oposiciones al tratamiento de su dirección de correo electrónico con fines de publicidad. De conformidad con la normativa expuesta en el Fundamento de Derecho II anterior, con carácter previo a la admisión a trámite de dicha reclamación, se dio traslado de la misma al BBVA, entidad remitente de las comunicaciones comerciales no autorizadas que el reclamante indicaba venía recibiendo en su dirección de correo electrónico, para que procediese a su análisis y diese respuesta al reclamante y a esta Agencia en el plazo de un mes. Asimismo, se le solicitó copia de la comunicación remitida por dicha entidad al reclamante a propósito de la reclamación, informe sobre las causas que motivaron la incidencia producida y detalle de las medidas adoptadas para evitar situaciones similares. Este requerimiento de información se contestó por el BBVA en los términos que se indican en el Hecho Cuarto de esta Resolución mediante escrito registrado de entrada en la AEPD con fecha 19 de diciembre de 2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Por otro lado, se acusó recibo de la reclamación presentada por el reclamante, informándole además de su traslado y de los requerimientos realizados para que el reclamado informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para evitar que en el futuro se produjeran incidencias similares a la analizada. Con arreglo a la valoración conjunta de la información obrante en el expediente, se observa que el BBVA remitió al reclamante, con fecha 12 de diciembre de 2018, una comunicación a la dirección postal que figuraba en la reclamación, en la que le informaba tanto que sus datos personales ya estaban bloquedos a fin de impedir su posterior tratamiento, como de que se había procedido a trasladar su solicitud a terceros asociados al BBVA para que cesarán en el envío de cualquier tipo de comunicación publicitaria. Es decir, le comunicaba que sus datos personales, lo que incluía su dirección de correo electrónico, no iban a ser tratados con fines de mercadotecnia directa por esa entidad ni por terceros asociados a la misma. Respecto del escrito recibido en esta Agencia con fecha 21 de diciembre de 2018, en el que el reclamante señala que continuaba recibiendo publicidad no deseada del BBVA, hay que señalar que podrían tratarse de acciones promocionales enmarcadas en campañas que ya estuvieran en proceso de ejecución en el momento de efectuar el bloqueo de sus datos. A la vista de todo lo cual, se considera que procede acordar el archivo de las actuaciones seguidas contra dicha sociedad al haber atendido la oposición manifestada por el reclamante al uso de su dirección de correo electrónico con fines comerciales, bloqueo que, además, según indicó al reclamante, extendió, en relación con esa finalidad al resto de datos personales concernientes al mismo. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente resolución en relación con el envío de publicidad o con fines de mercadotecnia directa o no se apliquen de manera efectiva medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado de seguridad que no comprometa la confidencialidad integridad y disponibilidad de los datos de carácter personal. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación y de las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución ARGENTARIA, S.A. y a Don A.A.A.. al BANCO BILBAO VIZCAYA Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es