E-07703-2020

1/9  Procedimiento Nº: E/07703/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 19 de junio de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO DE SABADELL, S.A., con NIF A08000143 (en adelante, el reclamado). Los motivos en que basa la reclamación son que los consentimientos para tratamiento de datos para determinados fines aparecen premarcados afirmativamente en el documento facilitado por la entidad (acuerdo de relación con persona) y por tanto no existe la posibilidad de oponerse a los mismos (fines comerciales, obtener información a la TGSS, cesión de datos personales para fines comerciales y consentimiento de tratamiento de datos biométrico). Junto a la reclamación aporta el documento “ACUERDO DE RELACIÓN CON PERSONA” en el que aparecen los consentimientos premarcados para las finalidades de tratamiento. SEGUNDO: Con fecha 23 de septiembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: BANCO DE SABADELL, S.A. con NIF A08000143 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En el expediente de referencia E/05527/2020 fue trasladada la reclamación al reclamado, y en el marco de este expediente sus representantes manifestaron: “En primer lugar procede explicar el proceso de cumplimentación del Acuerdo de Relación de Persona al que hace referencia el reclamante y del que aporta copia. El mismo se cumplimenta por el gestor del Banco en presencia del cliente. El impreso ya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 cumplimentado conforme a sus manifestaciones se entrega al cliente para su lectura y firma, momento en el que se entenderá otorgado o no el consentimiento para al tratamiento de datos personales conforme al detalle del Anexo 1 del citado Acuerdo de Relación de Persona. El ahora reclamante no firmó finalmente el Acuerdo de Relación de Persona, por lo que no ha dado el consentimiento al tratamiento de datos personales con fines comerciales, para la obtención de información ante la TGSS, para la cesión de datos personales con fines comerciales ni para el tratamiento de datos biométricos. Y por ello el Banco, conforme se le ha comunicado al reclamante, no realiza esos tratamientos, lo tiene identificado como cliente que no autoriza los mencionados tratamientos de datos personales.” Con fecha 21 de octubre de 2020 el reclamado contesta al requerimiento realizado desde esta Agencia, en el marco del presente expediente de investigación, en los siguientes términos: PUNTO

1. Sobre los modelos de formularios o documentos de recogida de consentimientos para los tratamientos de datos personales con otras finalidades. Documento denominado “ACUERDO DE RELACIÓN DE PERSONA”. Los representantes del reclamado aportan copia de un documento de información previa manifestando que le es entregado al cliente, junto a una explicación del empleado sobre el contenido del Acuerdo y su finalidad, antes de proceder a preguntarle sobre su conformidad o no a los distintos apartados, para seguidamente cumplimentar el ACUERDO DE RELACIÓN DE PERSONA (o ARPF) de acuerdo con sus manifestaciones. Se verifica que este documento de información previa consta de 11 páginas, estructurado en dos capas de información, la primera de algo más de dos páginas y otra de ocho páginas de información detallada. En la primera página del documento se puede leer: “El establecimiento y mantenimiento de relaciones comerciales y/o contractuales con el Banco y su grupo de empresas precisa recoger en el Acuerdo de Relación de Persona la declaración del cliente sobre sus datos de carácter personal y fiscal. Mediante el documento “Anexo Información sobre protección de datos de carácter personal” se le facilita información completa de los diversos tratamientos que podrá realizar el Banco con sus datos de carácter personal, basados según el caso en una ley, en la existencia de contrato, en el interés legítimo o en el consentimiento. Tiene derecho a disponer previo a su firma de un ejemplar completo del Acuerdo de Relación de Persona y a obtener una información adecuada y completa sobre los distintos términos y condiciones que se recogen en el mismo, teniendo derecho en cualquier caso a solicitar todas las explicaciones que considere necesarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Con el fin de que usted disponga de la debida información respecto de los supuestos en los que se le solicita el consentimiento, se reproducen a continuación las finalidades de tratamiento y/o cesión de datos personales en los términos del Acuerdo de Relación de Persona que voluntariamente puede aceptar cumplimentándose el citado documento de acuerdo con sus manifestaciones, que en todo caso podrá revocar en cualquier momento posterior. En el curso de la formalización del Acuerdo de Relación de Persona se le solicitará su consentimiento con relación a los siguientes tratamientos y/o cesiones de datos de carácter personal, a los que deberá responder afirmativa o negativamente y cuya respuesta quedará recogida de acuerdo con sus manifestaciones en el propio Acuerdo de Relación de Persona ajustándose estrictamente a las mismas. […]” (Los subrayados son de esta Agencia). Aportan también el documento “ACUERDO DE RELACIÓN DE PERSONA” que ha sido aportado por el reclamante. Ambos documentos, el del reclamante y el del reclamado contienen un punto 3 que cita: “
2. Régimen de protección de datos de carácter personal. Consentimientos para el tratamiento y/o cesión de datos de carácter personal. INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS PERSONALES Responsable: Banco de Sabadell, S.A. con domicilio social: avda. Óscar Esplá, núm. 37, 03007 Alicante. Datos de contacto del Delegado de Protección de Datos: DataProtectionOfficer@bancsabadell.com. Finalidades y legitimación: la finalidad principal es la gestión y el desarrollo del contrato/operación basada su legitimación en la propia ejecución del contrato/operación. En caso de que otorgue su consentimiento, sus datos se tratarán para la elaboración de perfiles con fines comerciales. Para el resto de finalidades ver el siguiente apartado sobre Información adicional. Destinatarios: no se cederán datos a terceros salvo obligación legal o en el caso que haya otorgado su consentimiento en virtud de un acuerdo específico establecido con el Banco, según se solicita a continuación. Procedencia de los datos: datos de cumplimiento o incumplimiento de obligaciones dinerarias procedentes de Sistemas Comunes de Información Crediticia; y, en el caso de que se lo haya autorizado: datos que obren en entidades del grupo Banco Sabadell o terceras entidades y Tesorería General de la Seguridad Social. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Derechos: puede dirigirse por escrito a la unidad Derechos Protección de Datos del banco a través de su domicilio social u oficinas o a través de la dirección de correo electrónico siguiente: Ejercicioderechosprotecdatos@bancsabadell.com, con la finalidad de ejercitar los derechos de acceso, rectificación, oposición, supresión, limitación y portabilidad y para ejercitar el derecho a oponerse a decisiones individuales automatizadas que puedan afectarle significativamente o comportarle efectos jurídicos, de acuerdo con el artículo 22 del Reglamento de la UE 2016/
3. Información adicional: Puede obtener información adicional en el Anexo publicado en la web del banco (www.bancsabadell.com, apartado "Información a clientes" "Anexo información detallada sobre protección de datos de carácter personal") Mediante Anexo se facilita información adicional pormenorizada de cada uno de los tratamientos que se van a realizar con relación a los datos personales del firmante, con la información detallada de las finalidades así como la base jurídica que mantiene el Banco para dicho tratamiento. Antes de firmar este documento debe leer la "Información Previa sobre el tratamiento y/o cesión de datos de carácter personal" que se le ha entregado y la información adicional sobre protección de datos personales pormenorizada que figura en el "Anexo INFORMACIÓN DETALLADA SOBRE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL" (El subrayado es de esta Agencia). Hay que indicar que este último párrafo se encuentra resaltado con negrita y recuadrado en el documento. A continuación, el documento informa en sus puntos 3.1 a 3.3 sobre los cuatro tratamientos citados, y en el punto 4.d se recogen los consentimientos con respecto a ellos: “4.d. Autorizaciones. Consentimiento relativo al Régimen de Protección de Datos Personales. El firmante, con relación al consentimiento para tratar y/o ceder sus datos de carácter personal conforme a las finalidades que a continuación se indican y figuran específicamente en los apartados del epígrafe 3 de este documento relativo al "Régimen de protección de datos de carácter personal. Consentimientos para el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 tratamiento y/o cesión de datos de carácter personal", y habiéndose puesto a su disposición previamente la "Información previa sobre el tratamiento y/o cesión de datos de carácter personal" que deberá haber leído antes de firmar este documento:  Otorga su consentimiento al tratamiento de datos personales previsto dentro del apartado nº 3.1 (para la obtención de información ante la TGSS): SI NO  Otorga su consentimiento al tratamiento de datos personales previsto dentro del apartado nº3.2.1 (para el tratamiento de datos personales con fines comerciales): SI NO  Otorga su consentimiento al tratamiento de datos personales previsto dentro del apartado nº 3.2.2 (para la cesión de datos personales con fines comerciales): SI NO  Otorga su consentimiento al tratamiento de datos personales previsto dentro del apartado nº 3.3 (para el tratamiento de datos biométricos): SI NO El firmante declara que las precedentes casillas relativas al "Régimen de protección de datos de carácter personal. Consentimientos para el tratamiento y/o cesión de datos de carácter personal" de este documento han sido cumplimentadas de acuerdo con sus manifestaciones y que recogen fielmente su voluntad relativa a la prestación o no de consentimiento para las finalidades de tratamiento y cesión de datos personales. Así mismo el firmante declara que ha sido informado del derecho que le asiste a no otorgar tales autorizaciones así como a ejercitar, en su caso, posteriormente en cualquier momento el derecho a revocarlas.[…]” Notar que en el último párrafo reproducido se cita “El firmante declara que las precedentes casillas relativas al "Régimen de protección de datos de carácter personal. Consentimientos para el tratamiento y/o cesión de datos de carácter personal" de este documento han sido cumplimentadas de acuerdo con sus manifestaciones y que recogen fielmente su voluntad …” Aportan un borrador con datos ficticios como ejemplo, indicando que el modelo se cumplimenta “en línea” en presencia del cliente y cumplimentando las casillas según las manifestaciones del cliente. Indican asimismo que aportan impresión de una pantalla de la información que aparece en la aplicación, en la que se muestra cómo inicialmente aparece en blanco y se pueden marcar las opciones SÍ o NO en función de la respuesta que facilite el cliente. Aportan también documentos cumplimentados y firmados por distintos clientes (ocultando los datos personales) en los que se encuentran marcados a “NO” todas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 algunas opciones relacionadas con el consentimiento a tratamientos de datos de carácter personal. PUNTO
4. Procedimiento de cumplimentación de los documentos y del procesado de los consentimientos. Digitalización del documento. Instrucciones escritas facilitadas a los empleados sobre la forma de proceder a la hora de cumplimentar los consentimientos. Forma en que se han puesto dichas instrucciones a disposición de los empleados, aportando documentación acreditativa de ello. Los representantes de la entidad reclamada han manifestado al respecto que el empleado previamente entrega al cliente el documento de información previa, más la información detallada que se ha citado. Una vez éste lo ha leído, pudiendo hacerse en un momento posterior a la entrega para que disponga de tiempo para su examen, el empleado pregunta al cliente si proporciona o no los consentimientos indicados, tras la previa explicación sobre su significado y alcance. Con las respuestas facilitadas por el cliente, el gestor cumplimenta el documento directamente desde la aplicación y lo imprime para que lo firme el interesado con los consentimientos que ha manifestado. Posteriormente, se envía el documento por valija para su digitalización. Aportan copia de los siguientes documentos: - Manual operativo. En él, entre otras operativas, se describe la correspondiente a la generación del ARPF. En la pág. 46 se cita: “al pulsar “Imprimir ARP”, dado que el cliente va a firmar el documento, se han de revisar los consentimientos. Por ello si estos no se han modificado, se mostrará un aviso indicando esta obligación”. Se muestra el aviso, que indica que “Se va a generar un nuevo ARP. ¿Ha revisado con el cliente el apartado de consentimientos? SI NO” En este mismo manual se reproduce la pantalla donde el empleado rellena los campos, (pág. 43) y se verifica que en ella consta en negrita y como primer párrafo: “Es obligatorio preguntar al cliente si otorga la autorización al Banco. Si el cliente consiente el tratamiento de datos debe marcarse la opción Sí, en caso contrario debe marcarse No.” - Guía operativa ARPF. En él se menciona que mediante el ARPF los clientes pueden otorgar o no el consentimiento al uso de sus datos para: Consulta TGSS, Tratamiento comercial, Cesión de datos y Firma biométrica. Indican que a todos estos documentos, manuales y guías operativas tienen acceso los empleados, que se notifica a las oficinas la modificación de normativa y/o la implantación de nuevos protocolos de actuación, además de recordatorios puntuales, siendo su obligación conocerlos y revisarlos antes de proceder a cumplimentar el ARPF, y que es impartida formación obligatoria en materia de protección de datos a todos los empleados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 PUNTO 3.- Caso concreto del reclamante. Los representantes del reclamado indican que en el caso del reclamante al no firmar el documento una vez impreso con los consentimientos manifestados al empleado como SÍ y tampoco el posterior cumplimentado e impreso y entregado con el NO, ha quedado como pendiente de generar el documento de Acuerdo de Relación de Persona, pudiendo hacerlo el cliente posteriormente. Habiendo quedado digitalizados ambos documentos cumplimentados pero sin firmar. Adjuntan el ARPF con consentimientos a SÍ y a NO, ambos sin firmar, cumplimentados el mismo día a las 8:53 y 8:58 respectivamente. Adjuntan impresión de pantalla de la ficha del cliente donde consta el aviso de que “el Cliente no ha autorizado el uso comercial de sus datos” y “pendiente de generar el Acuerdo de Relación de Persona”, al no haber firmado ninguno de los dos acuerdos cumplimentados, aunque podrá hacerlo posteriormente con los consentimientos positivos o negativos que manifieste. Indican que, no obstante, ha quedado grabado en la base de datos con las casillas marcadas con NO, ante las manifestaciones del cliente posteriores a la negativa a firmar el impreso con el SI, aun cuando finalmente no firmó tampoco el documento con el NO. Indican que la entidad no podrá tratar sus datos personales para los fines indicados en el ARPF al no haber dado el cliente su consentimiento. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La información que la reclamada suministra a sus potenciales clientes, se estructura en tres documentos, el primero a través del denominado documento de información previa, en el cual se informa al cliente que en el curso de la formalización del Acuerdo de Relación de Persona se le solicitará su consentimiento para la realización de determinados tratamientos y cesiones de datos de carácter personal. El segundo en el propio documento de ARP, en concreto en el punto 3 donde informa de los cuatro tratamientos y en el 4.d donde se recogen los consentimientos relativos a estos tratamientos. Por último y como se indica en el ARP existe un anexo con información detallada sobre protección de datos de carácter personal, en el que se facilita C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 información adicional pormenorizada de cada uno de los tratamientos que se van a realizar con relación a los datos personales del firmante, con la información detallada de las finalidades, así como la base jurídica que mantiene el reclamado para dicho tratamiento. En lo que se refiere al procedimiento de gestión de este contrato, el reclamado manifiesta que previamente se entrega el documento de información previa, junto con el anexo de información detallada. Una vez se han leído, lectura que puede realizarse en un momento posterior a la entrega, para que el cliente disponga del tiempo necesario para su examen, el empleado previa explicación del significado y alcance, pregunta al cliente si proporciona o no los consentimientos. Aporta como documentación el Manual operativo, en el que se indica a sus empleados, que se deben revisar los consentimientos, asimismo en la Guía operativa ARP, se menciona que los clientes pueden o no otorgar su consentimiento para cualquiera de los cuatro tratamientos. En el caso concreto del reclamante, al no haber firmado éste el documento ARP, el documento ha quedado sin generar, adjuntan impresión de pantalla de la ficha del cliente donde consta el aviso de que “el Cliente no ha autorizado el uso comercial de sus datos” y “pendiente de generar el Acuerdo de Relación de Persona” afirmando que la entidad no podrá tratar sus datos personales para los fines indicados en el ARP al no haber dado el cliente su consentimiento. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a BANCO DE SABADELL, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es