PA-00065-2025

1/15  Expediente N.º: EXP202406135 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de marzo de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a KUTXABANK, S.A. con NIF A95653077 (en adelante, KUTXABANK, o el BANCO). Los hechos que se pone en conocimiento de esta autoridad son: La parte reclamante manifiesta que, en fecha 22 de marzo de 2024, ha recibido una notificación "push" en su teléfono móvil del BANCO, informando de la existencia de documentos pendientes de firmar. Manifiesta que, al acceder (tanto a través de su área de cliente como a través de la App) figura un mensaje en el que se indica que está pendiente de firmar un documento relativo al tratamiento de datos, ofreciéndose la opción de firmar sin tener que leer el documento. Añade que, al acceder a dicho documento, comprueba que las casillas relativas al consentimiento para el tratamiento de datos con fines comerciales, así como elaboración de perfiles, vienen ya premarcadas en el apartado correspondiente al "SÍ", sin opción de modificar la respuesta, pues se trata de un documento en formato PDF no editable. Junto a la reclamación aporta: - Impresión de pantalla correspondiente al "Buzón de Avisos" de su área personal, en el que, entre otros, figura un mensaje de fecha 22 de marzo de 2024, en el que se indica que hay un trámite pendiente de firma "Tratamiento de datos", indicando, a continuación, lo siguiente: "Accede a trámites en curso para firmarlo". -Impresión de pantalla relativo al apartado "Trámites en curso" en el que consta como "no leído" un documento denominado "Tratamiento de Datos", así como una casilla en la que se indica "Estoy de acuerdo con el contenido del documento" y un botón de firma. - Copia del documento relativo al Tratamiento de Datos, de fecha 22 de marzo de 2024, en el que figura "operación pendiente de firmar" y en el que constan 4 casillas con la opción "SÍ" premarcada, correspondientes al consentimiento para realizar diversos tratamientos de datos. En concreto, en relación con el tratamiento de datos para comunicaciones comerciales propios o de terceros colaboradores, así como también la comunicación de los datos identificativos, de perfilación y de contacto a empresas del Grupo y colaboradoras para el desarrollo de acciones comerciales sobre sus productos y servicios. Asimismo, la realización de perfiles comerciales para elaborar una oferta personalizada utilizando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/15 fuentes externas o basándose en los hábitos y datos de navegación en sus canales online. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a KUTXABANK, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 25/04/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 23/05/2024 se recibe en esta Agencia escrito de respuesta indicando. 1. Desde que KUTXABANK tuvo conocimiento efectivo de los hechos por parte de la Entidad, se activaron de forma automática todos los protocolos y procedimientos internos de gestión de incidencias en materia de protección de datos, en cumplimiento del principio de responsabilidad proactiva recogido en los artículos 5.2 y 24 del Reglamento (UE) 2016/679 (...). 2. En relación con esta reclamación, el DPD de la entidad envió un requerimiento de información y con fecha 25 de abril de 2024 se recibió respuesta de los departamentos implicados, en los que se comunicaba:

1. a)La Firma Digitalizada Omnicanal (FDO) es el sistema que gestiona la firma de los documentos resultantes de los procesos de negocio de la Entidad: - La FDO es digitalizada porque permite la firma de los documentos con firma electrónica. - La FDO es omnicanal porque permite diferir la firma de los documentos de los procesos de negocio, permitiendo a los clientes firmar estos documentos en distintos momentos de tiempo y usando distintos canales.
2. b)Si el usuario tiene pendiente de firmar el trámite tendrá la opción de firmarlo. Para firmarlo, el usuario deberá descargar los documentos del trámite pinchando en el nombre de cada uno, además de expresar su conformidad con el contenido de los documentos marcando una casilla que en ningún caso se encuentra pre marcada.
3. c)Posteriormente, se ha de introducir una clave de firma y pulsar el botón "Firmar" o "Aceptar". La clave es validada, y si es correcta, la FDO procede a la firma de los documentos del trámite usando dicha clave. Aportan documentación que acreditaría que, en el proceso de firma mediante FDO es necesario tanto abrir y leer los documentos que forman parte del trámite como manifestar estar de acuerdo con el contenido de dichos documentos, no ofreciéndose por tanto la opción de firmarlo sin tener que leerlo. En caso de que no se cumplan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/15 ambos requisitos, el sistema detecta errores en alguno de los campos y no permite finalizar el proceso. 3. En relación con las causas que han motivado la incidencia que ha originado la reclamación, el BANCO ha indicado que el interesado ha de aceptar mediante una clara acción afirmativa el tratamiento de datos personales. 4. KUTXABANK también indica que, en la propia documentación aportada por la parte reclamante, se puede observar un aviso informativo en la parte superior donde se especifica que, en relación con los trámites pendientes, es posible consultar el estado en el que se encuentran los mismos, así como realizar los pasos necesarios para finalizar los procesos. Añaden que ha quedado constancia de que antes de proceder a la firma, han de llevarse a cabo una serie de acciones de carácter obligatorio, entre las que se encuentran tener que leer los documentos que forman parte del trámite y aceptar expresamente el contenido de los mismos. En caso de no cumplirse ambas premisas no sería posible finalizar el trámite, por lo que no se produciría un tratamiento de datos personales y no se verían afectados los derechos y libertades del interesado. TERCERO: Con fecha 22 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: - Con fechas 13/8/2024 y 11/2/2025 se solicitó a la entidad reclamada información adicional respecto al hecho reclamado relativo a las casillas pre marcadas del documento a firmar. Con fecha 28/8/2024 y 24/2/2025 tuvo entrada los respectivos escritos de respuesta a los requerimientos de información en los que la entidad reclamada pone de manifiesto lo siguiente: 1. Respecto al procedimiento establecido por la entidad para solicitar a los clientes los consentimientos para el tratamiento de sus datos de carácter personal manifiestan que se solicitan en el momento del alta. En primer lugar, se informa de la finalidad de cada uno de ellos a través de un lenguaje claro y sencillo, de tal manera que los clientes puedan entender fácilmente los tratamientos que se darán como consecuencia de su aceptación y manifestar su voluntad de forma libre, ya sea para otorgar su consentimiento a los distintos tratamientos u oponerse a los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/15 Una vez expresadas sus respuestas libremente y cumplimentadas las casillas correspondientes, que en ningún caso se encuentran premarcadas, es cuando el cliente mediante una acción afirmativa procede a su aceptación y firma. Los interesados tienen derecho a retirar su consentimiento de forma sencilla en cualquier momento mediante cualquiera de los canales habilitados a tal efecto, esto es, su área privada (accesible tanto a través de cualquier dispositivo electrónico como de la App), de manera presencial acudiendo a cualquier oficina de KUTXABANK ,o remitiendo su solicitud a través de cualquiera de los medios informados en la Política. Dicha Política se entrega en el momento del alta, y se encuentra en todo momento disponible y actualizada en la página web de KUTXABANK, pudiendo además solicitar los interesados la información en papel en cualquiera de las oficinas de la KUTXABANK. 2. Aportan documento de evidencia extraída de los sistemas de información de KUTXABANK del proceso de alta en el que se observa que los consentimientos que se solicitan a los clientes para los tratamientos de sus datos personales se presentan sin cumplimentar. 3. Manifiestan que el sistema operativo utilizado por KUTXABANK y mediante el que las oficinas informan las respuestas manifestadas por los clientes no aparecen los consentimientos cumplimentados, sino que es preciso seleccionar la opción deseada para cada uno de los tratamientos, siendo necesario que el cliente posteriormente los firme. A su vez, existe un histórico que permite identificar la trazabilidad de los consentimientos y demostrar que el cliente consintió el tratamiento de sus datos personales o, en su defecto, se opuso al mismo. Por otro lado, cuando un interesado se da de alta como cliente de forma no presencial mediante el onboarding digital, existe un apartado específico y claramente diferenciado del resto de asuntos donde se recogen los consentimientos informados. Los consentimientos para los tratamientos de datos personales se presentan sin cumplimentar las posibles opciones, debiendo el interesado mediante un acto afirmativo claro reflejar su voluntad. En ningún caso, ya sea presencial o no, el alta como cliente de KUTXABANK se supedita a alguno de los consentimientos para el tratamiento de datos personales. 4. En cuanto a la copia del documento “Tratamiento de Datos” aportado por la parte reclamante, se observa que no figura firmado, lo que constata que el proceso de firma en ningún momento ha sido finalizado. Este hecho supone que los valores de los tratamientos para los que se solicita el consentimiento no han sido incorporados en los sistemas de información de KUTXABANK y, por ende, dichos tratamientos no han tenido lugar al no haberse realizado ninguna operación o conjunto de operaciones sobre los datos personales de la interesada. 5. Manifiestan que con fecha 25 y 29 de abril de 2024 y con la finalidad de esclarecer lo acontecido, recopilar evidencias y ejecutar en su caso un plan de acción para mitigar los posibles riesgos que pudieran derivarse, el Delegado de Protección de Datos (en adelante, DPD) de KUTXABANK procedió a realizar una solicitud de información a las unidades vinculadas con el supuesto de hecho que motivó la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/15 Atendiendo al requerimiento de información interno realizado por parte del DPD, se recibe por un lado respuesta del departamento de Sistemas. Así, se comprueba que a fin de completar un proceso de firma mediante FDO, han de llevarse a cabo una serie de acciones de carácter obligatorio, entre las que se encuentran tener que leer los documentos que forman parte del trámite y aceptar expresamente el contenido de estos. Por tanto, a diferencia de lo indicado por la parte reclamante, en ningún caso se ofrece la opción de firmar sin que sea obligatorio leer previamente el/los documento/s objeto de firma. Por otro lado, se recibe respuesta de la oficina titular de la parte reclamante ((...)) y que realizó el diferimiento de la firma del documento “Tratamiento de Datos”. Desde la misma, se comprueba que, efectivamente, con fecha 22/03/2024 se inició un proceso de diferimiento de firma relativo al documento en cuestión. A pesar de no tener constancia de que se hubiera producido ninguna incidencia al respecto, señala que, por su propia naturaleza, es posible que durante las gestiones relativas al diferimiento de firma de cualquier proceso se dé alguna circunstancia por la que el proceso asociado a la firma no cumpla con los requerimientos del cliente, como por ejemplo y para el caso concreto que nos ocupa, cumplimentar alguno de los consentimientos con un valor distinto por error. Manifiestan que, podría haberse producido una equivocación no intencionada e involuntaria o una interpretación diferente por parte de la oficina titular de la parte reclamante. Resultado de ello, la oficina pudo haber iniciado accidentalmente un proceso de diferimiento de firma vía FDO que no contemplaba los valores adecuados. Dadas las características de la posible incidencia y una vez analizadas las causas que la pudieron provocar, señalan que KUTXABANK ha aplicado de forma diligente todas las medidas técnicas y organizativas a su disposición desde el mismo momento en el que tuvo constancia de lo ocurrido. Al haber transcurrido más de 15 días naturales desde la creación del proceso de firma y no haber sido finalizado, en el momento en el que se tuvo constancia de lo acontecido el proceso había sido anulado de forma automática. Los cambios aparejados a un proceso de diferimiento de firma única y exclusivamente se consolidan y, por tanto, tienen efecto, una vez recogida la firma. La situación de la interesada respecto de los consentimientos otorgados y, por consiguiente, de los tratamientos que al amparo de esta base de licitud KUTXABANK como responsable del tratamiento está legitimada a realizar, no se ha visto en ningún caso modificada a pesar de existir un proceso de firma pendiente, respondiendo en todo momento a la voluntad manifestada por la interesada con fecha 04/03/2020. Manifiestan que, en caso de haberse producido tal incidencia, se ha tratado de un hecho aislado, no generalizable, y que los procesos y procedimientos KUTXABANK no se han visto comprometidos. Manifiestan que en las reuniones de coordinación periódicas que se celebran entre las unidades de negocio de KUTXABANK y las direcciones de red, se ha instado a estas últimas para que trasladen a todas las oficinas bajo su responsabilidad la obligación de cumplir de manera certera y precisa los requerimientos de los clientes antes de lanzar un diferimiento de firma asociado a cualquier proceso, así como la relevancia que ello conlleva de cara a evitar que se produzcan incidencias similares. Adicionalmente, KUTXABANK realiza acciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/15 formativas anuales obligatorias en el ámbito de cumplimiento normativo en las que se incluyen de forma expresa las alusiones a los principios que deben regir en cuanto al tratamiento de datos personales de clientes. QUINTO: Con fecha 3 de diciembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5.
4. a)del RGPD. SEXTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 4 de diciembre de 2025 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 17 de diciembre de 2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones, que vienen a reproducir lo ya señalado durante las actuaciones previas de investigación: - - - Así, explica de nuevo el funcionamiento del sistema de Firma Digitalizada Omnicanal (o FDO), sistema de firma electrónica de documentos que permite al cliente decidir cuándo y cómo firmar dichos documentos, que se almacenan en PDF. Insiste en que el sistema permite anular el proceso de firma pendiente cuando no cumple con los requerimientos del cliente, y si han transcurrido más de quince días naturales desde la creación del proceso firma y éste no ha sido finalizado, el plazo expira y se anula de forma automática, no teniendo lugar ningún tratamiento de datos de carácter personal. Incide en que el sistema está programado para obligar a la lectura de los documentos con carácter previo, así como marcar las casillas que considere el cliente, a su libre criterio. Reitera que la manifestación del consentimiento por parte de los clientes se realiza de forma libre e informada, cumpliendo con los requisitos del RGPD. Asimismo, señala que lo ocurrido con la parte reclamante presenta carácter puntual, sin que pueda extrapolarse a la totalidad del sistema. Reitera la rapidez con la que el asunto fue atajado, así como las diferentes medidas adoptadas destinadas a evitar que este tipo de incidencias puedan producirse en el futuro. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: KUTXABANK tiene habilitada la Firma Digitalizada Omnicanal (FDO) para la firma de documentos de los clientes, que se realiza a través de la App, o a través del área privada del cliente, accesible a través de cualquier dispositivo electrónico, y que permite conservar los documentos con la firma de los clientes en formato Adobe PDF. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/15 SEGUNDO: Antes de llevar a cabo el proceso de firma, se requiere con carácter obligatorio la lectura de los documentos que forman parte del trámite, así como aceptar expresamente el contenido del mismo marcando una casilla que no se encuentra premarcada, introducir la clave de firma y pulsar el botón “firmar” o “aceptar”. Si transcurren 15 días naturales sin finalizar este proceso de firma, se da por finalizado y se anula de manera automática. TERCERO: La parte reclamante ha recibido el 22 de marzo de 2024 una notificación push de KUTXABANK en su teléfono móvil en el que se le informaba de la existencia de documentos a firmar, y en los que al acceder se comprueba que las casillas relativas al consentimiento para el tratamiento de datos con fines comerciales, así como la elaboración de perfiles se encuentran premarcadas en el apartado correspondiente al “SI”, sin opción para modificar la respuesta. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/15 utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que KUTXABANK realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellidos, DNI, dirección y correo electrónico, entre otros. KUTXABANK realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Alegaciones aducidas KUTXABANK, en su escrito de alegaciones de fecha 17 de diciembre de 2025 se limita a reproducir todas las manifestaciones que ya había realizado en sus escritos anteriores, incidiendo en el buen funcionamiento del sistema, respetuoso con la normativa en materia de protección de datos; el carácter puntual del incidente y las medidas desplegadas para su contención y evitar que situaciones similares puedan producirse en el futuro. Al respecto, se señala que los elementos anteriores fueron tenidos en cuenta a la hora de proceder al despliegue de los poderes correctivos de esta autoridad de control, optándose, atendiendo a las particulares circunstancias, por la apertura de un procedimiento de apercibimiento. Las manifestaciones realizadas no desvirtúan el hecho de que el 22 de marzo de 2024 la parte reclamante recibiera a través del sistema FDO un documento que contenía casillas premarcadas y que la propia KUTXABANK durante las actuaciones previas de investigación, reconociera, para explicar los hechos, que era posible que se hubiera producido una circunstancia “por la que el proceso asociado a la firma no cumpla con los requerimientos del cliente, como por ejemplo y para el caso concreto que nos ocupa, cumplimentar alguno de los consentimientos con un valor distinto por error”. En cualquier caso, esta Agencia valora positivamente las diferentes medidas adoptadas para corregir lo ocurrido, así como para evitar que situaciones similares puedan volver a producirse en el futuro, de conformidad con el espíritu de mejora C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/15 continua respaldado por el principio de responsabilidad proactiva contenido en el artículo 5.2 del RGPD. Por ello, no se incluyen medidas correctivas. IV Obligación incumplida. Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
11. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. El art 4.11 del RGPD define el “consentimiento del interesado para el tratamiento de sus datos personales”, como: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. El artículo 7 del RGPD hace referencia a las condiciones del consentimiento estableciendo que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/15 consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. Por su parte, el considerando