1/14 Expediente N.º: EXP202413650 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 29 de julio de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 29 de julio de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra BANKINTER, S.A. (en adelante, la parte reclamada) por no haber sido debidamente atendido el derecho de supresión. La parte reclamante manifiesta que el día 10 de mayo de 2024 inicia un proceso de apertura de cuenta digital en BANKINTER, S.A., parte reclamada, aportando para ello numerosos datos personales. Refiere la parte reclamante que, debido a un error del sistema, el proceso de apertura no se llegó a finalizar por lo que, el día 21 de mayo de 2024, solicitó la cancelación de su solicitud, así como la posterior supresión de sus datos personales que ya había facilitado. El día 29 de mayo de 2024, recibe respuesta en la que se le indica que, una vez que solicite la cancelación de la apertura de la cuenta, ésta queda cancelada en un plazo de 24-48 horas, reiterando la parte reclamante su solicitud, en fecha 3 de junio de
- Asimismo, indica que, en fecha 18 de junio de 2024, se dirige al departamento de protección de datos de la parte reclamada y solicita la supresión de sus datos personales, sin que haya recibido respuesta dentro del plazo legalmente establecido. Aporta: - Copia de “Cuestionario conocimiento del Cliente” de Bankinter, fechado el 10/05/2024, en el que constan los datos personales de la parte reclamante (Nombre y apellidos, Domicilio, DNI, …), Datos de contacto, datos laborales, así como “(…) las opciones que más se ajustan al propósito de su relación comercial con Bankinter”. - Hilo de correos electrónicos intercambiados entre las partes: o o C/ Jorge Juan, 6 28001 – Madrid 20/05/2024: De la parte reclamante a la parte reclamada: “Saber estado de una solicitud”. 21/05/2024: De la parte reclamada a la parte reclamante: “(…) Con relación a su consulta, he de informarle que por motivos de seguridad y www.aepd.es sedeagpd.gob.es 2/14 o o o o o o o - debido al reglamento general de protección de datos no podemos facilitarle ni operar con información personal a través de correo electrónico, pues este canal es únicamente de consulta. No obstante, si se pone en contacto con nosotros vía telefónica, estaremos encantados de facilitarle dicha información y ayudarle con cualquier otra consulta u operación que necesite realizar. Póngase en contacto con nosotros en el teléfono (…) con su código de acceso personal (CAP) y su tarjeta de coordenadas en horario de (…)”. 21/05/2024 De la parte reclamante a la parte reclamada “(…) Como ya les indiqué por teléfono, procedan a cancelar el proceso de apertura de la cuenta bancaria, así como a la eliminación de mis datos personales o cualquier otro documento aportado al proceso o que tengan mío ejecutando mi derecho de borrado de datos de carácter personal según LGPD.” 22/05/2024: De la parte reclamada a la parte reclamante, Respuesta idéntica a la enviada con fecha 21/05/2024 indicando que, por motivos de seguridad, no pueden facilitarle información personal. 23/05/2024: De la parte reclamante a la parte reclamada: Reitera la petición de supresión ya enviada el día 21/05/
- 27/05/2024: de la parte reclamada a la parte reclamante: Respuesta idéntica a las enviadas los días 21 y 22 de mayo de
- 28/05/2024: De la parte reclamante a la parte reclamada “Gracias, ya lo hice, pero uds no me confirman si hicieron lo hablado. Un Si o un No no es información confidencial.” 29/05/2024: De la parte reclamada a la parte reclamante: “(…) En referencia a su consulta, si usted solicita la cancelación de la apertura de la cuenta, esta desde que la solicita queda cancelada en un plazo de 24-48 h. (…)”. 03/06/2024: De la parte reclamante a la parte reclamada “Gracias por lo de cliente, pero nunca he sido cliente de vuestra entidad. Lo que quiero, una vez cancelado el proceso de solicitud de cuenta bancaria es la eliminación de los documentos apartados en el proceso, así como cualquier otro dato personal que tengan mío. (…)” Correo electrónico de fecha 18/06/2024 de la parte reclamante a la dirección privacidad@bankinter.es indicando que: “Quisiera ejercer mi derecho de supresión de los datos personales y cualquier otro documento facilitado en el proceso de creación de cuenta bancaria requeridos por uds, como Declaración de la Renta 2023, etc… ya que no se va a crear dicha Alta de Cuenta. Anexo petición para que procedan a la eliminación de todos mis datos (…).” - Formulario de derecho de supresión ante Bankinter, S.A. fechado el 18/06/
- SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 14/10/2024 como consta en el acuse de recibo que obra en el expediente. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 13 de noviembre de 2024, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. CUARTO: Con fecha 13 de noviembre de 2024 tuvo entrada en esta Agencia escrito presentado por la parte reclamada, en respuesta al traslado de la reclamación que hizo esta Agencia, indicando que “(…) PRIMERA.- Sobre las causas que motivaron la incidencia que originó la reclamación. En primer lugar, queremos indicar que la vinculación del Reclamante con Bankinter se origina como consecuencia de un proceso de apertura de una cuenta digital en la Entidad, iniciado en fecha 10 de mayo de
- Como consecuencia de lo anterior, y tal y como indica en su escrito de reclamación, con fecha 20 de mayo del 2024, el Sr. B.B.B. se puso en contacto con la Entidad a través del buzón de bankinter_responde@bankinter.com, que opera sólo a efectos consultivos, con el propósito de conocer el estado del proceso de apertura de la cuenta citada. (…) Por otro lado, y de manera adicional, el Reclamante solicitó en fecha 20 de mayo de 2024 – mismo día en que remitió el correo electrónico citado con anterioridad asistencia telefónica a Bankinter mediante su servicio “call me back”. Como consecuencia de ello, el Servicio de Atención Telefónica se puso en contacto con éste ese mismo día con el fin de atender su petición. Este call me back tenía por propósito solicitar la cancelación del proceso de apertura indicado anteriormente, así como la consiguiente supresión de sus datos de carácter personal. Como tal, esta petición fue registrada en los sistemas de la Entidad, tal y como se puede apreciar en la captura adjunta: En el escrito consta extracto de un listado en el que figura: Fecha 20/05/2024, Hora inicio (…), Hora Fin (…), Terminación “(…)” Observaciones: “(…)” Continúa la parte reclamada que “(…) De esta forma, Bankinter confirmó en dicha llamada al Reclamante la recepción de su solicitud y procedió a efectuar los trámites C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 necesarios para llevar a cabo la cancelación del proceso referido y la supresión de sus datos de carácter personal, siendo efectiva su tramitación en los sistemas internos de la Entidad en fecha 21 de mayo de
- La imagen que se extracta a continuación de los sistemas internos de la Entidad acredita la cancelación del proceso de apertura de la cuenta digital”, constando un Diagrama de “Cómo va el proceso”, en el que figura “Finalizado por abandono”. “(…) Siguiendo con el orden cronológico de los hechos, el Reclamante procedió a remitir en fecha 21 de mayo de 2024 una nueva comunicación al buzón bankinter_responde@bankinter.com, en la cual reiteró su petición sobre la cancelación del proceso de apertura de la cuenta bancaria, así como la supresión de sus datos de carácter personal, conforme a lo solicitado durante la llamada telefónica mantenida con la Entidad el día anterior: “(…) En relación con esta cuestión, tal y como acredita el Reclamante en su comunicación, la petición para la cancelación del proceso de apertura y la consiguiente supresión de sus datos de carácter personal ya fue realizada a la Entidad en fecha 20 de mayo de 2024 por vía telefónica, habiendo procedido Bankinter a confirmar al Reclamante durante la llamada el inicio de los trámites correspondientes. A este respecto, la Entidad no remitió una respuesta escrita al Reclamante toda vez que ya se le había indicado la atención de su derecho durante la llamada telefónica mencionada. Posteriormente, y según fundamenta el Reclamante en su escrito de reclamación, el 18 de junio de 2024 procedió a remitir una solicitud para la supresión de sus datos personales a Bankinter, sin haber recibido ninguna contestación por parte de la Entidad en el plazo legal de un mes. Es a partir de este momento cuando el Reclamante interpone una reclamación ante esta AEPD en fecha 29 de julio de 2024 (en adelante la “Reclamación”). Sin embargo, debemos poner en conocimiento de la Agencia que esta comunicación nunca pudo ser recibida por Bankinter, pues la dirección de correo electrónico a la cual se dirigió el Reclamante resultó ser errónea. Esto se debe a que el Reclamante remitió su e-mail a la dirección privacidad@bankinter.es mientras que la dirección correcta es privacidad@bankinter.com. ▪ Se acompaña, como Documento 1, la comunicación remitida por el Reclamante, aportada a su vez por éste como Anexo 2 a su Reclamación. Para mayor facilidad de comprensión, en el documento de referencia aportado se ha resaltado el error anteriormente descrito. Sobre esta cuestión, cabe apreciar que, en la medida en que la dirección de correo electrónico a la que el Reclamante dirigió su solicitud no pertenece ni pertenecía a la Entidad, no resultó posible remitirle una contestación en tiempo y forma a su comunicación. ▪ Se acompaña, como Documento 2, uno de los documentos contractuales firmados por el Reclamante durante el proceso de apertura de la cuenta digital en el que se identifican los medios habilitados por Bankinter a los efectos de atender los derechos en materia de protección de datos y privacidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Por tanto, y como consecuencia de este error, Bankinter no recibió la solicitud del Reclamante. No obstante, tal y como se ha determinado con anterioridad y según le fue indicado al Reclamante durante la conversación telefónica - mantenida con el Servicio de Atención Telefónica en fecha 20 de mayo de 2024 -, la Entidad procedió a la atención de su derecho en tiempo y forma. SEGUNDA. - Sobre la solicitud de derechos realizada por el Reclamante. Como consecuencia del error en la dirección de correo electrónico que se ha indicado en el punto anterior, la solicitud remitida por el Reclamante a Bankinter para la supresión de sus datos personales en fecha 18 de junio de 2024 – y sobre la que se fundamenta la Reclamación interpuesta ante la AEPD–, nunca fue recibida en la Entidad y, por ende, Bankinter no pudo dar contestación a la misma en tiempo y forma. No obstante, y a pesar de la confusión acaecida, en la medida en que el Reclamante solicitó a través del Servicio de Atención Telefónica en fecha 20 de mayo de 2024 la cancelación del proceso de apertura y la consiguiente supresión de sus datos de carácter personal, Bankinter procedió, tal y como se le indicó durante la llamada, a la atención del derecho, lo cual comportó el debido bloqueo de los datos de carácter personal, habiéndose adoptado en la Entidad medidas técnicas y organizativas para reforzar la confidencialidad y seguridad de esta información. TERCERA. - Sobre la respuesta facilitada frente a la solicitud de ejercicio de derechos del Reclamante Tal y como se ha indicado con anterioridad, Bankinter, tan pronto tuvo conocimiento de la primera solicitud para la cancelación del proceso de apertura de la cuenta citada durante la llamada telefónica mantenida con el Reclamante en fecha 20 de mayo de 2024, procedió a llevar a cabo los trámites necesarios para su atención, siendo sus datos de carácter personal efectivamente bloqueados al día siguiente, en fecha 21 de mayo de
- En relación con esta cuestión, tal y como se ha determinado con anterioridad, los gestores que atendieron al Reclamante le confirmaron al Reclamante el inicio de las gestiones relativas a la cancelación del proceso y la supresión de sus datos de carácter personal en los sistemas internos de Bankinter. Por otro lado, y por lo que se refiere a la segunda solicitud para la supresión de sus datos de carácter personal, - dirigida a la Entidad en fecha 18 de junio de 2024 a un buzón erróneo - Bankinter procedió a trasladar una respuesta formal al Reclamante, siendo esta comunicación remitida a su domicilio en fecha 7 de noviembre de
- ▪ Se acompaña, como Documento 3, la respuesta formal trasladada al Reclamante por parte de Bankinter. Según puede observarse en la respuesta aportada, por un lado, Bankinter informó al Reclamante sobre el motivo por el cual no pudo atender su solicitud de fecha 18 de junio de 2024, toda vez que, debido a un error, su petición fue dirigida a una dirección de correo electrónico que no pertenece ni pertenecía a la Entidad y, por otro lado, confirmó al Reclamante haber atendido su solicitud de derecho de supresión de sus datos de carácter personal ejercido en su comunicación con el Servicio de Atención Telefónica en fecha 20 de mayo de
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 CUARTA. - Sobre el bloqueo de los datos personales del Reclamante. Tal y como se ha indicado en las líneas anteriores, en la medida en que el Reclamante solicitó asistencia telefónica a Bankinter mediante su servicio “call me back” en fecha 20 de mayo de 2024, cuya llamada se fundamentaba en la necesidad de instar la cancelación del proceso de apertura de la cuenta digital y la consiguiente supresión de sus datos de carácter personal, la Entidad procedió sin dilación indebida, esto es, al día siguiente, en fecha 21 de mayo, al bloqueo de sus datos de carácter personal. (…)” “(…) Según indicado con anterioridad, una vez que Bankinter tuvo conocimiento efectivo de la solicitud del Reclamante remitida al buzón erróneo privacidad@bankinter.es con motivo del Traslado de Reclamación y Solicitud de Información, la Entidad procedió a la remisión de la respuesta formal al Reclamante en fecha 7 de noviembre de
- Se acompaña al presente como Documento 3 la comunicación que acredita y evidencia la respuesta facilitada por Bankinter al Reclamante.” La parte reclamada aporta: - - Doc 1: Correo electrónico de fecha 18/06/2024 de la parte reclamante a la parte reclamada en el que ejerce el derecho de supresión de sus datos personales, (ya aportado con anterioridad por la parte reclamante junto con la reclamación). Doc. 2: “Cuestionario conocimiento del cliente”, (ya aportado con anterioridad por la parte reclamante junto con la reclamación). Doc. 3: Escrito de fecha 07/11/2024 de la parte reclamada dirigido a la parte reclamante en el que le informan que: “(…) Tras realizar el oportuno análisis interno de su reclamación, nos gustaría indicarle, en primer lugar, que, según nos consta, Usted inició un proceso para la apertura de una cuenta digital en Bankinter en fecha 10 de mayo de
- A este respecto, en relación con la documentación aportada en su reclamación como Anexo 1, Usted se puso en contacto con nuestra entidad en fecha 20 de mayo de 2024 a través del buzón de bankinter_responde@bankinter.com, habilitado en Bankinter a efectos consultivos, con el propósito de conocer el estado del proceso de apertura de dicha cuenta. Por otro lado, y de forma adicional, Usted solicitó asistencia telefónica a Bankinter mediante su servicio “call me back” en fecha 20 de mayo de 2024 – misma fecha en la que remitió el correo electrónico citado con anterioridad– y, como consecuencia de ello, el Servicio de Atención Telefónica se puso en contacto con Usted ese mismo día con el fin de atender su petición. En dicha comunicación, Usted nos informó sobre su deseo de proceder a la cancelación del proceso de apertura de la cuenta digital y la consiguiente supresión de sus datos personales. Sobre la cancelación del proceso de contratación, y en relación con su primera consulta relativa a la apertura de la cuenta, remitida el 20 de mayo de 2024 al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 buzón bankinter_responde@bankinter.com, Bankinter procedió a dar respuesta a la misma en el día posterior, en cuya comunicación - así como en las posteriores remitidas entre los días 27 de mayo y 5 de junio del citado año - se le informaba de que, atendiendo a las medidas de seguridad implantadas en la entidad, el correo electrónico no es un canal apropiado para garantizar un adecuado nivel de seguridad en la remisión de documentación o información personal. Por último, en relación con su solicitud para la supresión de sus datos personales dirigida a Bankinter en fecha 18 de junio de 2024, le informamos de que la entidad no ha tenido conocimiento de la solicitud de referencia hasta la recepción de su reclamación interpuesta ante la AEPD. El motivo de ello es que la dirección de correo electrónico a la cual Usted remitió su solicitud no pertenece a nuestra entidad bancaria. En efecto, y según puede observarse en la documentación aportada en su escrito de reclamación ante la AEPD como Anexo 2, Usted remitió su solicitud a la dirección de correo electrónico privacidad@bankinter.es, la cual no pertenece ni ha pertenecido con anterioridad a Bankinter, siendo la dirección correcta privacidad@bankinter.com. Como consecuencia inevitable de lo anterior, Bankinter no pudo recibir su comunicación en la fecha y dirección referida y, por lo tanto, no pudo dar respuesta a la misma. No obstante, lo anterior, y a pesar de la confusión acaecida, en la medida en que Bankinter procedió a la atención del derecho de supresión de sus datos de carácter personal ejercido en su comunicación con el Servicio de Atención Telefónica en fecha 20 de mayo de 2024, mediante el presente escrito le confirmamos de nuevo que, en efecto, éstos se encuentran bloqueados desde el día 21 de mayo de
- Por todo lo anterior, queremos confirmarle, a través del presente escrito, que sus datos de personales se encuentran bloqueados de modo que sus datos no puedan ser tratados de ningún modo, incluyéndose su visualización. Lo anterior supone que sus datos serán únicamente conservados para la formulación, ejercicio o la defensa de reclamaciones y para su puesta a disposición de Jueces y Tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en aras de proceder a la atención de las posibles responsabilidades y sólo durante el plazo de prescripción de las mismas, siendo suprimidos a su conclusión, siempre de acuerdo a las disposiciones de la normativa vigente. Finalmente, recordarle que desde Bankinter otorgamos mucha importancia a la privacidad y a la seguridad con la que se tratan los datos de carácter personal, por lo que quedamos a su disposición para cualquier duda o cuestión adicional que pudiere requerir.” QUINTO: Con fecha 21 de noviembre de 2024 la parte reclamada presentó un escrito ante esta Agencia manifestando que, con fecha 13 de noviembre de 2024, había presentado alegaciones .al traslado de la reclamación que se hizo desde esta Agencia, aportando copia de dicho escrito, ya reseñado en el punto Cuarto de estos Hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 SEXTO: Examinado el escrito presentado por la parte reclamada, con fecha 10 de enero de 2025 se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas, no constando que se haya presentado ante esta Agencia ninguna respuesta. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 29 de octubre de 2024, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento”. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 IV Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: "
- El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2; d) los datos personales hayan sido tratados ilícitamente; e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento; f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado
- Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
- Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario: a) para ejercer el derecho a la libertad de expresión e información; b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable; c) por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3; d) con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o e) para la formulación, el ejercicio o la defensa de reclamaciones". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 V Conclusión Antes de entrar a analizar el fondo del asunto, si se ha atendido debidamente o no el derecho de supresión de los datos personales de la parte reclamante, hay que señalar que, tras las manifestaciones de la parte reclamada indicando que había presentado ante esta Agencia un escrito de alegaciones al traslado de la reclamación que se le hizo por parte de este organismo, se ha examinado nuevamente el presente expediente y se ha comprobado que, con fecha 13 de noviembre de 2024, el mismo día que la Directora de esta Agencia había firmado la Admisión a Trámite, tuvo entrada en esta Agencia un escrito de respuesta. En el presente caso, y teniendo en cuenta lo manifestado anteriormente, se ha aportado documentación relativa a dos solicitudes de supresión remitidas por la parte reclamante: - Con fecha 20 de mayo de 2024, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada la supresión de sus datos personales mediante correo electrónico, y que la parte reclamada le contestó indicando que, por motivos de seguridad, esa no era la vía adecuada, y que debería solicitarlo contactando telefónicamente, con sus claves de acceso. Durante la instrucción del procedimiento, la parte reclamada señaló que “(…) la consiguiente supresión de sus datos de carácter personal ya fue realizada a la Entidad en fecha 20 de mayo de 2024 por vía telefónica, habiendo procedido Bankinter a confirmar al Reclamante durante la llamada el inicio de los trámites correspondientes. A este respecto, la Entidad no remitió una respuesta escrita al Reclamante toda vez que ya se le había indicado la atención de su derecho durante la llamada telefónica mencionada.” - Con fecha 18 de junio de
- En relación a esta solicitud, la parte reclamada señala que “(…) Sin embargo, debemos poner en conocimiento de la Agencia que esta comunicación nunca pudo ser recibida por Bankinter, pues la dirección de correo electrónico a la cual se dirigió el Reclamante resultó ser errónea. Esto se debe a que el Reclamante remitió su e-mail a la dirección privacidad@bankinter.es mientras que la dirección correcta es privacidad@bankinter.com. (…) Sobre esta cuestión, cabe apreciar que, en la medida en que la dirección de correo electrónico a la que el Reclamante dirigió su solicitud no pertenece ni pertenecía a la Entidad, no resultó posible remitirle una contestación en tiempo y forma a su comunicación. “ “(…) Según indicado con anterioridad, una vez que Bankinter tuvo conocimiento efectivo de la solicitud del Reclamante remitida al buzón erróneo privacidad@bankinter.es con motivo del Traslado de Reclamación y Solicitud de Información, la Entidad procedió a la remisión de la respuesta formal al Reclamante en fecha 7 de noviembre de
- Se acompaña al presente como Documento 3 la comunicación que acredita y evidencia la respuesta facilitada por Bankinter al Reclamante.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 En dicho escrito, la parte reclamada le indica, en síntesis, que, tras su llamada telefónica de fecha 20 de mayo de 2024, habían procedido a la cancelación del proceso de contratación y a la supresión de sus datos personales: “(…) Por último, en relación con su solicitud para la supresión de sus datos personales dirigida a Bankinter en fecha 18 de junio de 2024, le informamos de que la entidad no ha tenido conocimiento de la solicitud de referencia hasta la recepción de su reclamación interpuesta ante la AEPD. El motivo de ello es que la dirección de correo electrónico a la cual Usted remitió su solicitud no pertenece a nuestra entidad bancaria. En efecto, y según puede observarse en la documentación aportada en su escrito de reclamación ante la AEPD como Anexo 2, Usted remitió su solicitud a la dirección de correo electrónico privacidad@bankinter.es, la cual no pertenece ni ha pertenecido con anterioridad a Bankinter, siendo la dirección correcta privacidad@bankinter.com. Como consecuencia inevitable de lo anterior, Bankinter no pudo recibir su comunicación en la fecha y dirección referida y, por lo tanto, no pudo dar respuesta a la misma. No obstante, lo anterior, y a pesar de la confusión acaecida, en la medida en que Bankinter procedió a la atención del derecho de supresión de sus datos de carácter personal ejercido en su comunicación con el Servicio de Atención Telefónica en fecha 20 de mayo de 2024, mediante el presente escrito le confirmamos de nuevo que, en efecto, éstos se encuentran bloqueados desde el día 21 de mayo de
- Por todo lo anterior, queremos confirmarle, a través del presente escrito, que sus datos de personales se encuentran bloqueados de modo que sus datos no puedan ser tratados de ningún modo, incluyéndose su visualización. Lo anterior supone que sus datos serán únicamente conservados para la formulación, ejercicio o la defensa de reclamaciones y para su puesta a disposición de Jueces y Tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en aras de proceder a la atención de las posibles responsabilidades y sólo durante el plazo de prescripción de las mismas, siendo suprimidos a su conclusión, siempre de acuerdo a las disposiciones de la normativa vigente. Finalmente, recordarle que desde Bankinter otorgamos mucha importancia a la privacidad y a la seguridad con la que se tratan los datos de carácter personal, por lo que quedamos a su disposición para cualquier duda o cuestión adicional que pudiere requerir.” Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa, en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. En este caso, sin embargo, consta que durante la tramitación de la reclamación que da lugar al presente procedimiento, formulada precisamente por esa falta de respuesta adecuada a la solicitud de ejercicio de derechos, la parte reclamada ha aportado documentación acreditando la comunicación remitida al interesado atendiendo el derecho o informando sobre la decisión adoptada a propósito de la solicitud. Esta respuesta, por tanto, se produce una vez rebasado el plazo establecido. A este respecto, cabe precisar que la respuesta que corresponde realizar no puede manifestarse con ocasión de un mero trámite administrativo. Por consiguiente, considerando que el presente procedimiento tiene como objeto que las garantías y los derechos de los afectados queden debidamente restaurados, conjugando la información obrante en el expediente con la normativa referida en los apartados precedentes, procede estimar por motivos formales la presente reclamación al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable del fichero en orden a emitir una nueva certificación sobre la atención del derecho. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por A.A.A., contra BANKINTER, S.A.. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a BANKINTER, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es