← España

PS-00032-2024

1/26  Expediente Nº: EXP202300944 - RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CAIXABANK, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202300944 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 7 de diciembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CAIXABANK, S.A. con NIF A08663619 (en adelante, CAIXABANK). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que CAIXABANK le ha solicitado una serie de datos, de conformidad con lo establecido en la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo. Añade que la información recogida se refleja en un documento denominado "Declaración/Modificación de datos para la relación de negocios (Modelo 5433)", pero antes de firmar el formulario (en el que constan sus datos personales y económicos), comprueba que, en la redacción de una de las cláusulas del mismo se indica que consiente expresamente a que CAIXABANK solicite sus datos a la Tesorería General de la Seguridad Social, sin que se dé la opción de expresar su negativa a este respecto, por lo que el consentimiento viene ya preestablecido. Así las cosas, indica que tras mostrar su disconformidad al respecto, CAIXABANK le informa que el proceso seguido por la misma era un proceso rutinario que se aplicaba a todos los clientes por igual y que, si no firmaba con esas condiciones, se procedería a bloquear su cuenta bancaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 Y, aporta la siguiente documentación relevante: Captura de pantalla relativa a su área personal, en la que figura que el documento “Modelo 5433 Activ. Económica” se encuentra pendiente de firma. Copia del citado documento (Modelo 5433) en el que, entre otros, se indica lo siguiente: “6. El declarante manifiesta que ha sido informado por CaixaBank de que la legislación vigente sobre prevención de blanqueo de capitales obliga a las entidades bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de verificación de la información facilitada, presta su consentimiento expreso a CaixaBank para que en su nombre pueda solicitar a la Tesorería General de la Seguridad Social dicha información. Los datos obtenidos de la Tesorería General de la Seguridad social serán utilizados exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento de esta obligación por parte de CaixaBank y/o del personal que en ella presta servicios, se ejecutarán todas las actuaciones previstas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CAIXABANK, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 30 de enero de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 9 de marzo de 2023 se recibe en esta Agencia escrito de respuesta indicando: 1. Que CAIXABANK está obligada a obtener información sobre el propósito e índole de la relación de negocio y a realizar un seguimiento continuo de dicha relación según la Ley 10/2010, de 28 de abril, de Prevención del blanqueo de capitales y de la financiación de terrorismo (en adelante "LPBCFT"), y su Reglamento (Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, en adelante, "RLPBCFT"). Y hace referencia al siguiente articulado: "Artículo 11 RLPBCFT. Seguimiento continuo de la relación de negocios. 1. Los sujetos obligados realizarán un escrutinio de las operaciones efectuadas a lo largo de la relación de negocio a fin de garantizar que coincidan con la actividad profesional o empresarial del cliente, y con sus antecedentes operativos […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 Que para poder realizar dicho "escrutinio", la LPBCFT obliga y habilita expresamente a recabar de sus clientes información a fin de conocer la naturaleza de su actividad profesional o empresarial y adoptar medidas que permitan comprobar razonablemente la veracidad de la información: "Artículo 5 LPBCFT. Propósito e índole de la relación de negocios. Los sujetos obligados obtendrán información sobre el propósito e índole prevista de la relación de negocios. En particular, los sujetos obligados recabarán de sus clientes información a fin de conocer la naturaliza de su actividad profesional o empresarial y adoptarán medidas dirigidas a comprobar razonablemente la veracidad de dicha información. Tales medidas consistirán en el establecimiento y aplicación de procedimientos de verificación de las actividades declaradas por los clientes. („,)" 2. Que este mandato es el que se refleja en el documento Modelo 5433 “Declaración/Modificación de datos para la relación de negocios” donde se recaban datos, en concreto los socioeconómicos, y se informa de que CAIXABANK tiene la obligación de realizar la comprobación de los datos facilitados. 3. Que “Como es de ver, el tratamiento de los datos del reclamante por parte de esta entidad (recopilación de datos necesarios para el seguimiento de la relación y comprobación o verificación preceptiva) se realiza en estricto cumplimiento de la normativa que le resulta de aplicación.” 4. En relación al bloqueo de cuentas hace referencia a, entre otra información, que: a. Según articulo 7.3 LPBCFT: "los sujetos obligados no establecerán relaciones de negocio, ni ejecutarán operaciones cuando no puedan aplicar las medidas de diligencia debida que prevé la ley, poniendo fin a la relación de negocio cuando no puedan aplicar dichas medidas". Al tiempo que también determina: "que la negativa de las entidades a establecer relaciones de negocio o a ejecutar operaciones o la terminación de la relación por no poder aplicar las medidas de diligencia debida no conllevará, salvo que medie enriquecimiento injusto, ningún tipo de responsabilidad para la entidad". b. Que en el apartado 4 del modelo 5433 se dicta que: "4. El declarante manifiesta que los datos consignados son suyos y completos y reconoce que la inexactitud o falta de veracidad de los mismos y/o en los documentos aportados (exactitud o veracidad que CaixaBank se reserva la facultad de comprobar por medios propios), así como el incumplimiento de los compromisos adquiridos en virtud de la misma podrá ser causa suficiente para la denegación por parte de CaixaBank y/o las empresas del grupo CaixaBank del establecimiento de la relación de negocios o de la contratación de cualquier producto o servicio y facultará a CaixaBank y/o a cualquiera de las empresas del grupo CaixaBank para suspender e, incluso, poner fin a la relación de negocios que, en su caso, se haya establecido." c. Manifiesta: “Como pueden comprobar, la eventual extinción de la relación de negocios trae causa de la inacción del cliente respecto de la aportación de aquellos datos legalmente requeridos y/o por la falta de la verificación o comprobación preceptiva de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 En ningún caso, contrariamente a lo manifestado por el reclamante -sin ninguna actividad probatoria que justifique tal afirmación-, la ausencia de la prestación del consentimiento para la comprobación de los datos (necesarios) facilitados para el conocimiento de la relación de negocio, mediante consulta a la base de datos de la TGSS (tal como se informa en el apartado 6 del Modelo 5433), o bien su oportuna revocación, supone o puede suponer la extinción de la relación de negocios con CaixaBank, cuya actuación en materia de prevención del blanqueo se ciñe rigurosamente a la LPBCFT y al RLPBCFT.” 5. Que no consta en sus sistemas reclamación ninguna por parte del reclamante. Que entiende que el reclamante está ejerciendo el derecho de revocación por lo que proceden a registrar en sus sistemas dicha revocación siendo su efectividad inmediata. Aporta copia de carta fechada a 08/03/2023 y dirigida al reclamante donde se le informa de que han procedido a la revocación de su consentimiento para la consulta de datos a la TGSS>>. TERCERO: Con fecha 7 de marzo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. El proceso “Know Your Customer” (en adelante KYC) es el proceso mediante el cual Caixabank cumple con las obligaciones en materia de diligencia debida establecidas por la LPBCFT, obligaciones que implican la identificación del cliente y la obtención de información relativa a su actividad profesional, incluyendo la obligación de comprobar razonablemente la actividad en el supuesto de clientes de riesgo superior al promedio, así como garantizar que en todo caso la información permanece actualizada mediante procesos de revisión. Por todo ello, tal proceso se lleva a cabo: - En el momento del alta de un cliente en la entidad. - De forma periódica, para la actualización de la información. (…) 2. Existe un convenio de colaboración entre la Tesorería General de la Seguridad Social (en adelante, TGSS), la Asociación Española de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre cesión de información, cuyo objetivo único es permitir a las entidades financieras consultar determinada información de sus clientes con el fin de verificarla y cumplir con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 las medidas de diligencia debida establecidas por la LPBCFT. A tal convenio se adhirió Caixabank (…). En su cláusula sexta (“Responsabilidad por el funcionamiento del SVFI”) se indica: “(…) Asimismo, cada Entidad Financiera Colaboradora se obliga a garantizar, respecto a cada solicitud que realice:

  1. a)Que las peticiones se refieren a personas físicas que inician relaciones de negocio con la Entidad Financiera o a personas respecto de las que, transcurrido un tiempo razonable, resulta necesario actualizar su información.
  2. b)Que previamente a la solicitud de información por parte de la Entidad Financiera Colaboradora ésta dispone de la correspondiente autorización expresa, firmada por el interesado, y acordada entre las partes. (Ver Anexo III).
  3. c)Que se compromete a custodiar las autorizaciones por los clientes. Con motivo de acciones de control o auditoria llevadas a cabo por la TGSS como titular de datos cedidos, las Entidades Financieras están obligadas a facilitar la documentación que obra en su poder en un plazo que no podrá superar los diez días naturales desde su solicitud. Este mismo plazo también se aplicará a las peticiones que, en su caso, pudiera realizar la Agencia de Protección de Datos. (…)” El contenido del Anexo III del citado convenio tiene el siguiente contenido: 3. En los procesos de alta de nuevos clientes, toda información de datos personales que éste aporta se consolida en el documento “Contrato Marco”, que ha de firmar el nuevo cliente. El proceso de alta de nuevos clientes que CAIXABANK estableció tras su adhesión al convenio (...) fue modificado en las siguientes fechas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 - En oficina: En mayo de 2023. - En la banca digital (CaixaBankNow) y en la banca móvil (app): En junio de 2023. Por ello, en tal proceso de alta de nuevos clientes hay diferencias según el periodo temporal en el que se haya realizado:
  4. a)Desde la adhesión de CAIXABANK al convenio (...) hasta las modificaciones del proceso de alta de nuevos clientes realizadas en el año 2023: (
  5. i)En el modelo de contrato Marco, consta lo siguiente: “(…) Usted manifiesta que ha sido informado por Caixabank de que la legislación vigente sobre prevención de blanqueo de capitales obliga a las entidades bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de verificación de la información facilitada, presta su consentimiento expreso a Caixabank para que en su nombre podamos solicitar a la Tesorería General de la Seguridad Social dicha información. Los datos obtenidos de la Tesorería General de la Seguridad Social serán utilizados exclusivamente para la gestión señala anteriormente (…). […] 4.TRATAMIENTO DE DATOS PERSONALES […] 4.4 Datos tratados […] >Datos que usted nos ha facilitado en el alta de sus contratos o durante su relación con nosotros mediante entrevistas o formularios. Estas son las tipologías de datos y el detalle de los datos: […] Datos de su actividad profesional o laboral y socioeconómicos: actividad profesional o laboral, ingresos o retribuciones, unidad o círculo familiar, nivel de estudios, patrimonio, datos fiscales y datos tributarios. […] >Datos obtenidos de fuentes de acceso público, registros públicos o fuentes externas. Estas son las tipologías de datos y el detalle de los datos: […] 4.5 Qué tratamientos realizamos con sus datos. Los tratamientos que realizaremos con sus datos son diversos y responden a diferentes finalidades y bases jurídicas: >Tratamientos basados en el consentimiento con las finalidades de: -Personalización de la oferta comercial por otros canales. -Cesión de datos a otras empresas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 - Identificación de clientes y firma de documentación mediante uso de biometría. -Aplicación de condiciones personales en contratos en cotitularidad […] >Tratamientos necesarios para cumplir con obligaciones normativas, principalmente con la finalidad de: -Cumplir la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo. -Cumplir la normativa en materia tributaria. -Dar cumplimiento a las obligaciones derivadas de las políticas de sanciones y contramedidas financieras internacionales. -Atender quejas y reclamaciones. […] (
  6. ii)En los procesos de alta de nuevos clientes consta un proceso para conceder, o no, consentimientos exclusivamente en relación a los siguientes tratamientos: “Personalización de la oferta de productos y servicios según el análisis de sus datos”, “Comunicación de la oferta de productos y servicios por canales”, “Cesión de datos a otras empresas”, “Aplicar condiciones personales en contratos de cotitularidad”. (iii) La revocación de los consentimientos se hacía a través de un formulario, en oficina. (
  7. iv)Que en el periodo temporal desde la fecha 7/12/2021 hasta las fechas indicadas anteriormente cuando se pusieron en marcha los procesos de alta de nuevos clientes del año 2023, han completado el proceso KYC de alta, firmando el contrato marco (…).
  8. b)Desde las modificaciones del proceso de alta de nuevos clientes realizadas en el año 2023: (
  9. i)En el modelo de contrato Marco consta lo siguiente: 5. TRATAMIENTO DE DATOS PERSONALES. […] 5.4 Datos tratados […] 〉 Datos que usted nos ha facilitado en el alta de sus contratos o durante su relación con nosotros mediante entrevistas o formularios. Estas son las tipologías y el detalle de los datos: […] • Datos de su actividad profesional o laboral y socioeconómicos: actividad profesional o laboral, ingresos o retribuciones, unidad o círculo familiar, nivel de estudios, patrimonio, datos fiscales y datos tributarios. […] 〉 Datos obtenidos de fuentes de acceso público, registros públicos o fuentes externas. Estas son las tipologías y el detalle de los datos: […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 • Datos de la Tesorería General de la Seguridad Social: datos identificativos y de contacto del pagador, datos de actividad profesional o laboral (CNAE, trabajador por cuenta propia y/o cuenta ajena, grupo de cotización del trabajador). […] 5.5 Qué tratamientos realizamos con sus datos. Los tratamientos que realizaremos con sus datos son diversos y responden a diferentes finalidades y bases jurídicas: 〉 Tratamientos basados en el consentimiento, con las finalidades de: − Personalización de la oferta de productos y servicios según el análisis de sus datos. − Comunicación de la oferta comercial por otros canales. − Cesión de datos a otras empresas para la remisión de ofertas comerciales. − Verificación de actividad económica para cumplir con la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo. […] 〉 Tratamientos necesarios para cumplir con obligaciones normativas, principalmente con la finalidad de: − Cumplir la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo. − Cumplir la normativa en materia tributaria. − Dar cumplimiento a las obligaciones derivadas de las políticas de sanciones y contramedidas financieras internacionales. − Atender quejas y reclamaciones. […]” (
  10. ii)En los procedimientos KYC de alta de nuevos clientes, consta que se puede conceder o no conceder el consentimiento para la verificación de datos con la TGSS tanto en oficina, como en la página web www.caixabank.es, como en la aplicación móvil de la entidad. También consta que se puede revocar el consentimiento por los tres canales anteriormente citados. 4. En los procesos de actualización de la información de datos personales del cliente ya existente, éste lo que ha de firmar es el modelo 5433 (Declaración/Modificación de datos para la relación de negocios). El proceso de actualización de la información de los datos personales de clientes ya existentes que CAIXABANK estableció tras su adhesión al convenio (...) fue modificado en las siguientes fechas: - En oficina: En febrero de 2023. - En la banca digital (CaixaBankNow): En mayo de 2023 - En la banca móvil (app): En junio de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 Por ello, en tal proceso de actualización de la información de los datos personales de clientes ya existentes hay diferencias según el periodo temporal en el que se haya realizado:
  11. a)Desde la adhesión de CAIXABANK al convenio (...) hasta las modificaciones del proceso de actualización de la información de los datos personales de clientes ya existentes realizadas en el año 2023: (
  12. i)En la "Declaración/Modificación de datos para la relación de negocios (Modelo 5433)", constan las siguientes cláusulas que, indica CAIXABANK en su escrito de 30 de noviembre de 2023, es “La información en relación con el tratamiento de datos”: “5. Tratamiento de datos de carácter personal El responsable del tratamiento es CaixaBank, S.A., con NIF A-08663619 Datos de contacto del Delegado de Protección de datos: www.CaixaBank.com/delegadoprotecciondedatos Los datos solicitados son necesarios para la gestión y ejecución del servicio y/o contratación solicitados, y serán tratados con dicha finalidad; así mismo, serán tratados para cumplir con las obligaciones normativas requeridas. Estos datos podrán ser comunicados a autoridades y organismos públicos, para el cumplimiento de una obligación legal requerida, así como a proveedores de servicios y a terceros necesarios para la gestión y ejecución de las relaciones derivadas del servicio y/o contractuales. Los datos serán tratados mientras permanezcan vigentes las relaciones derivadas del servicio y/o contractuales establecidas, y serán conservados (durante el plazo de prescripción de las acciones derivadas de dichas relaciones) a los únicos efectos de cumplir las obligaciones legales requeridas, y para la formulación, ejercicio o defensa de reclamaciones. Ejercicio de derechos y reclamaciones ante la Autoridad de protección de datos El titular de los datos podrá ejercer los derechos en relación a sus datos de carácter personal de acuerdo con la normativa vigente, en las oficinas de CaixaBank, en el APARTADO DE CORREOS 209-46080 VALÈNCIA o en www.CaixaBank.com/ejerciciodederechos. 6. El declarante manifiesta que ha sido informado por CaixaBank de que la legislación vigente sobre prevención de blanqueo de capitales obliga a las entidades bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de verificación de la información facilitada, presta su consentimiento expreso a CaixaBank para que en su nombre pueda solicitar ala Tesorería General de la Seguridad Social dicha información. Los datos obtenidos de la Tesorería General de la Seguridad social serán utilizados exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento de esta obligación por parte de CaixaBank y/o del personal que en ella presta servicios, se ejecutarán todas las actuaciones previstas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 (
  13. ii)La revocación de dicho consentimiento se hacía a través de un formulario, en oficina. (iii) Que en el periodo temporal desde la fecha 07/12/2021 hasta las fechas indicadas anteriormente cuando se pusieron en marcha los procesos KYC del año 2023, han completado el proceso KYC de actualización de información de datos personales, (…).
  14. b)Desde las modificaciones del proceso de actualización de la información de los datos personales de clientes ya existentes realizadas en el año 2023: (
  15. i)CAIXABANK, en su escrito de 31 de octubre de 2023 indica: - Que el cliente deberá dar de nuevo toda la información que ya declaró en el alta. - “Una vez verificados todos los campos, se le mostrará un resumen de los datos al cliente y deberá firmar la información actualizada o modificada, que se consolida en el documento KYC 5433, que el cliente firma (…).” En esa "Declaración/Modificación de datos para la relación de negocios (Modelo 5433)", constan las mismas cláusulas que, indicó CAIXABANK en su escrito de 30 de noviembre de 2023, a excepción de la cláusula 6. “- Si el cliente no ha otorgado su consentimiento a la verificación de su actividad económica, se le solicitará al cliente si desea prestar su consentimiento al tratamiento de sus datos con esta finalidad, (…)” (
  16. ii)El consentimiento se puede revocar tanto en oficina, como en la página web www.caixabank.es, como en la aplicación móvil de la entidad. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad CAIXABANK, S.A. es una gran empresa constituida en el año 1980, y con un volumen de negocios de 1.310.563.000 euros en el año 2022. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas Conforme a lo dispuesto en el artículo 4.2 del RGPD, se entiende por «tratamiento» : cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; En el presente caso, de acuerdo con lo establecido en el artículo 4.2 del RGPD, CAIXABANK es quien realiza el tratamiento de datos personales de sus clientes, recogiendo sus datos personales y consultándolos a la TGSS. A tal efecto, establece un procedimiento para la obtención de información con datos personales de los clientes y recogida del consentimiento para verificar dichos datos personales ante la TGSS, a través de un formulario denominado “contrato marco”, para los casos de altas de nuevos clientes, y “modelo 5433 (Declaración/Modificación de datos para la relación de negocios)”, para los casos de actualización de los datos personales de los clientes existentes. Documentos, ambos, de suscripción obligatoria. Por ello, en el presente procedimiento se va a analizar el procedimiento establecido por CAIXABANK para la prestación del consentimiento de los clientes de CAIXABANK para que ésta pueda consultar los datos personales de estos para verificar los obtenidos en atención a la LPBCFT ante la TGSS. III Artículo 6.1 del RGPD Según el artículo 6 del RGPD “Licitud del tratamiento: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  17. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  18. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  19. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  20. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26
  21. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  22. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  23. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En este caso, CAIXABANK afirma que la verificación de los datos personales de sus clientes ante la TGSS, obtenidos en cumplimiento de las obligaciones impuestas por la LPBCFT, es consecuencia de la obligación legal impuesta por la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo (LPBCFT), que recoge en su artículo 2, los sujetos obligados en la Prevención del Blanqueo de Capitales: Entidades Financieras (bancos, cajas de ahorro, cooperativas de crédito, etc.), Compañías de Seguros, Entidades de Crédito, etc. En este sentido, esta misma ley regula en su artículo 5, que “los sujetos obligados recabarán de sus clientes información a fin de conocer la naturaleza de su actividad profesional o empresarial y adoptarán medidas dirigidas a comprobar razonablemente la veracidad de dicha información. Tales medidas consistirán en el establecimiento y aplicación de procedimientos de verificación de las actividades declaradas por los clientes. Dichos procedimientos tendrán en cuenta el diferente nivel de riesgo y se basarán en la obtención de los clientes de documentos que guarden relación con la actividad declarada o en la obtención de información sobre ella ajena al propio cliente”.(el subrayado es nuestro) Añadiendo en su artículo 6 que “Los sujetos obligados aplicarán medidas de seguimiento continuo a la relación de negocios, incluido el escrutinio de las operaciones efectuadas a lo largo de dicha relación a fin de garantizar que coincidan con el conocimiento que tenga el sujeto obligado del cliente y de su perfil empresarial y de riesgo, incluido el origen de los fondos y garantizar que los documentos, datos e información de que se disponga estén actualizados.” Por su parte, el RD 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, que desarrolla la LPBCFT establece: “Artículo 10. Propósito e índole de la relación de negocios. 1. Los sujetos obligados recabarán de sus clientes información a fin de conocer la naturaleza de su actividad profesional o empresarial. La actividad declarada por el cliente será registrada por el sujeto obligado con carácter previo al inicio de la relación de negocios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 2. Los sujetos obligados comprobarán las actividades declaradas por los clientes en los siguientes supuestos:
  24. a)Cuando el cliente o la relación de negocios presenten riesgos superiores al promedio, por disposición normativa o porque así se desprenda del análisis de riesgo del sujeto obligado.
  25. b)Cuando del seguimiento de la relación de negocios resulte que las operaciones activas o pasivas del cliente no se corresponden con su actividad declarada o con sus antecedentes operativos. 3. Las acciones de comprobación de la actividad profesional o empresarial declarada se graduarán en función del riesgo y se realizarán mediante documentación aportada por el cliente, o mediante la obtención de información de fuentes fiables independientes. Asimismo, los sujetos obligados podrán comprobar la actividad profesional o empresarial de los clientes mediante visitas presenciales a las oficinas, almacenes o locales declarados por el cliente como lugares donde ejerce su actividad mercantil, dejando constancia por escrito del resultado de dicha visita. (…) Artículo 11. Seguimiento continuo de la relación de negocios. 1. Los sujetos obligados realizarán un escrutinio de las operaciones efectuadas a lo largo de la relación de negocio a fin de garantizar que coincidan con la actividad profesional o empresarial del cliente y con sus antecedentes operativos. Los sujetos obligados incrementarán el seguimiento cuando aprecien riesgos superiores al promedio por disposición normativa o porque así se desprenda del análisis de riesgo del sujeto obligado. (…) 2. Los sujetos obligados realizarán periódicamente procesos de revisión con objeto de asegurar que los documentos, datos e informaciones obtenidos como consecuencia de la aplicación de las medidas de debida diligencia se mantengan actualizados y se encuentren vigentes. (…)” (el subrayado es nuestro) De conformidad con la normativa antedicha, el tratamiento que realiza la entidad bancaria consiste en, por un lado, recabar información de los clientes en los términos explicitados en la LPBCFT y, por otro, adoptar medidas dirigidas a comprobar razonablemente la veracidad de dicha información. Así, es cierto que la normativa sectorial determina la obligación de verificación de las actividades profesionales y empresariales de los sujetos con los que vaya a hacer C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 negocios. No previendo, sin embargo, que esto deba hacerse de una manera determinada, debiendo ser el responsable del tratamiento de datos personales (en el presente caso, CAIXABANK) quien deba decidir tal procedimiento de verificación, el cual ha de cumplir con la normativa en materia de protección de datos de carácter personal. El Convenio suscrito con la TGSS sobre cesión de información, al que se ha adherido CAIXABANK el (...), con el fin de facilitar a las entidades de crédito el cumplimiento de la normativa de prevención del blanqueo de capitales, mediante un procedimiento informático mecanizado que permite establecer un proceso diario de solicitud de datos por parte de las entidades financieras y de transmisión de información por parte de la TGSS, podría resultar un mecanismo adecuado para el cumplimiento de sus obligaciones pero no necesariamente único. En la cláusula sexta y en el Anexo III del Convenio entre la Tesorería General de la Seguridad Social, la Asociación Española de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito, sobre cesión de información, al que CAIXABANK hace alusión en sus escritos, se pone de manifiesto que el interesado tiene que consentir para que la entidad bancaria pueda verificar los datos personales ante la TGSS y se recoge efectivamente, la cláusula por la que se puede dar el consentimiento expreso para verificar la información. Pero si bien ésta es la forma en la que el convenio considera que ha de solicitarse ese consentimiento a los efectos de permitir la verificación en los sistemas de la TGSS, ésta no es la única vía para la verificación de los datos personales, en los términos antes citados de la LPCBCFT y su reglamento de desarrollo. La normativa no establece la obligación de verificar la información de datos personales ante la TGSS, sino que la facilita el cliente y posteriormente, teniendo en cuenta el diferente nivel de riesgo, existe una obligación general de establecer y aplicar procedimientos de verificación de las actividades declaradas por los clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 Por ello, para poder consultar datos personales con la TGSS, dado que la Ley no impone esta vía a las entidades bancarias ni constituye una obligación legal la consulta ante la TGSS, a los efectos de verificación de la información de datos personales facilitada por el reclamante sería necesario recabar el consentimiento del interesado, no imponer el uso de dicho mecanismo, y siempre condicionado a los supuestos específicos en los que la norma exige dicha verificación. En este sentido, el artículo 4.11 del RGPD establece que el “consentimiento del interesado” es “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen” El consentimiento se entiende como un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con garantías suficientes para acreditar que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. Asimismo, debe darse para todas las actividades de tratamiento realizadas con el mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos de manera específica e inequívoca. A este respecto, la licitud del tratamiento exige que el interesado sea informado sobre los fines a que están destinados los datos (consentimiento informado). Además, el consentimiento ha de prestarse libremente. Se entiende que el consentimiento no es libre cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno, o cuando el cumplimiento de un contrato o prestación de servicio sea dependiente del consentimiento, aun cuando éste no sea necesario para dicho cumplimiento. Esto ocurre cuando el consentimiento se incluye como una parte no negociable de las condiciones generales. Sin estas condiciones, el consentimiento prestado por el interesado no determinaría un control sobre sus datos personales y el destino de los mismos. Por otro lado, el Comité Europeo de Protección de Datos en el documento “Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, que actualiza las directrices sobre el consentimiento adoptadas por el Grupo de Trabajo del Artículo 29 el 28/11/2017, revisadas y aprobadas el 10/04/2018 hace referencia a esto e indica que: “3. En general, el consentimiento solo puede ser una base jurídica adecuada si se ofrece al interesado control y una capacidad real de elección con respecto a si desea aceptar o rechazar las condiciones ofrecidas o rechazarlas sin sufrir perjuicio alguno. Cuando solicita el consentimiento, el responsable del tratamiento tiene la obligación de evaluar si dicho consentimiento cumplirá todos los requisitos para la obtención de un consentimiento válido. Si se obtiene en pleno cumplimiento del RGPD, el consentimiento es una herramienta que otorga a los interesados el control sobre si los datos personales que les conciernen van a ser tratados o no. Si no es así, el control del interesado será meramente ilusorio y el consentimiento no será una base jurídica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 válida para el tratamiento, lo que convertirá dicha actividad de tratamiento en una actividad ilícita. Estas directrices prosiguen señalando: “13. El término «libre» implica elección y control reales por parte de los interesados. Como norma general, el RGPD establece que, si el sujeto no es realmente libre para elegir, se siente obligado a dar su consentimiento o sufrirá consecuencias negativas si no lo da, entonces el consentimiento no puede considerarse válido, Si el consentimiento está incluido como una parte no negociable de las condiciones generales se asume que no se ha dado libremente. En consecuencia, no se considerará que el consentimiento se ha prestado libremente si el interesado no puede negar o retirar su consentimiento sin perjuicio.” Asimismo indican: “62. El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad con el artículo 5 del RGPD, el requisito de transparencia es uno de los principios fundamentales, estrechamente relacionado con los principios de lealtad y licitud. Facilitar información a los interesados antes de obtener su consentimiento es esencial para que puedan tomar decisiones informadas, comprender que es lo que están autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el responsable no proporciona información accesible, el control del usuario será ilusorio y el consentimiento no constituirá una base válida para el tratamiento de los datos. 63. Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6 del RGPD 64. Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos que son cruciales para poder elegir. Por tanto, el CEPD opina que se requiere, al menos, la información siguiente para obtener el consentimiento válido: i la identidad del responsable del tratamiento. ii el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento. iii qué (tipo
  26. de)datos van a recogerse y utilizarse. Iv la existencia del derecho a retirar el consentimiento. V información sobre el uso de los datos para decisiones automatizadas de conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e Vi información sobre los posibles riegos de transferencia de datos debido a la ausencia de una decisión de adecuación de garantías adecuadas, tal y como se describen en el artículo 46” En el presente supuesto, desde la adhesión de CAIXABANK al convenio (...) hasta las modificaciones del procedimiento en el año 2023: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 - El consentimiento no puede considerarse libre porque con la firma del contrato marco o del modelo 5433 se impone a todos los clientes que la verificación de sus datos personales se realice a través de consulta a la TGSS. Ello limita absolutamente la capacidad de elección de tales personas para decidir si quieren que CAIXABANK lleve a cabo tal verificación de datos personales a través de consulta ante la TGSS, ya que no es obligatorio, como se ha expuesto. - Asimismo, el consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos de manera específica e inequívoca. Pero en el presente caso no se puede considerar específico e inequívoco toda vez que los mecanismos de prestación del consentimiento de los clientes de CAIXABANK para que ésta pueda consultar los datos personales de sus clientes ante la TGSS, a través del modelo de contrato marco y del modelo ya están prestablecidos, al igual que si fuera una casilla premarcada. - El consentimiento no puede considerarse informado porque:
  27. a)El contrato marco, que firmaban los nuevos clientes, se indicaba, por un lado, que “presta su consentimiento expreso a Caixabank para que en su nombre podamos solicitar a la Tesorería General de la Seguridad Social dicha información” si bien en el apartado 4.5 de tal contrato no incluye tal tratamiento dentro del apartado relativo a los, “Tratamientos basados en el consentimiento”.
  28. b)El modelo 5433, que tenían que firmar los clientes ya existentes para la actualización de sus datos personales, señalaba que “El declarante manifiesta que ha sido informado por CaixaBank de que la legislación vigente sobre prevención de blanqueo de capitales obliga a las entidades bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de verificación de la información facilitada, presta su consentimiento expreso a CaixaBank para que en su nombre pueda solicitar a la Tesorería General de la Seguridad Social dicha información”. Información que hay que añadir a la que ya tenían tales personas cuando firmaron el precitado contrato marco. La información ofrecida podría provocar confusión a un ciudadano medio, porque: - No permitía consentir expresamente, sino que el consentimiento se reflejaba en una cláusula tipo de los modelos a la que era obligado adherirse. - Tal cláusula hacía mención a las obligaciones legales en materia de LPBCFT. - En la información que se daba sobre ese tratamiento de datos personales, como tal tratamiento no se encontraba incluido expresamente en los tratamientos cuya base jurídica era el consentimiento, podía relacionarse directamente con los tratamientos relativos a la obligación legal sobre la LPBCFT, norma a la que hacía mención la cláusula de los modelos . Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de iniciación de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 artículo 6.1 del RGPD en relación con el procedimiento que tenía establecido CAIXABANK para recabar el consentimiento de sus clientes para verificar determinados datos personales relacionados con la LPBCFT ante TGSS. IV Tipificación de la infracción La infracción que se le atribuye a CAIXABANK se encuentra tipificada en el artículo 83.5
  29. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  30. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…). V Propuesta de sanción A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  31. a)a
  32. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26
  33. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  34. a)la intencionalidad o negligencia en la infracción;
  35. b)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  36. c)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  37. d)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  38. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  39. g)las categorías de los datos de carácter personal afectados por la infracción;
  40. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  41. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  42. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  43. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En relación con la letra
  44. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  45. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  46. a)El carácter continuado de la infracción.
  47. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  48. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  49. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  50. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26
  51. f)La afectación a los derechos de los menores.
  52. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  53. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5 del RGPD de la que se responsabiliza al reclamado, en una valoración inicial, se estiman concurrentes los siguientes factores: Como circunstancias agravantes: - La naturaleza, gravedad y duración de la infracción (artículo 83. 2.
  54. a)del RGPD), pues los hechos puestos de manifiesto afectaron a todos sus clientes desde la adhesión de CAIXABANK al convenio con la TGSS (...) hasta febrero de 2023 En concreto afectó, desde el 7 de diciembre de 2021 hasta las fechas indicadas anteriormente cuando se pusieron en marcha los procesos KYC del año 2023: (…) - La intencionalidad o negligencia en la infracción (artículo 83.2.
  55. b)del RGPD). CAIXABANK se adhirió al convenio con la TGSS (...), convenio que impone a la entidad financiera, en su cláusula sexta disponer de la correspondiente autorización expresa, firmada por el interesado. Sin embargo, han exigido el consentimiento en una cláusula de adhesión sin posibilidad real de consentir, siendo plenamente conocedores de las exigencias del convenio firmado con la TGSS. En este sentido resulta muy ilustrativa la SAN de 17 de octubre de 2007(rec. 63/2006), la cual indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” - La circunstancia del artículo 83.2.
  56. e)RGPD: “Toda infracción anterior cometida por el responsable o el encargado del tratamiento”. El considerando 148 del RGPD señala “A fin de reforzar la aplicación de las normas del presente Reglamento [...]” e indica a ese respecto que “Debe no obstante, prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional [...] o a cualquier infracción pertinente [...]”. Así pues, conforme al apartado
  57. e)del artículo 83.2. RGPD, en la determinación del importe de la sanción de multa administrativa no podrán dejar de valorarse todas aquellas infracciones anteriores del responsable o del encargado de tratamiento en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26 aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto infractor. Además, una correcta interpretación de la disposición del artículo 83.2.
  58. e)RGPD no puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de multa administrativa en el caso individual planteado atendiendo siempre a que la sanción sea proporcional, efectiva y disuasoria. Son numerosos los procedimientos sancionadores tramitados por la AEPD en los que la reclamada ha sido sancionada por la infracción del artículo 6.1 del RGPD: i. PS/00477/2019. Resolución dictada el 5 de enero de 2021 en el que se impuso una sanción de 2.000.000 euros por los artículos 13 y 14 del RGPD y de 4.000.000 por el artículo 6 del RGPD. Los hechos versaron sobre la cesión de datos a las empresas del grupo. ii. PS/00500/2020. Resolución dictada el 22 de septiembre de 2021 en el que se impuso una sanción de 3.000.000 euros. Los hechos versaron sobre los procedimientos de obtención del consentimiento para elaborar perfiles con fines comerciales. iii. PS/00226/2020. Resolución dictada el 4 de febrero de 2022 en el que se impuso una sanción de 2.000.000 euros por el artículo 6 en relación con el artículo 7.4 del RGPD y de100.000 euros por el artículo 6.1. Los hechos versaron sobre el procedimiento de recogida del consentimiento y la existencia de consentimientos premarcados. iv.PS/00254/2023. Resolución dictada el 19 de octubre de 2023 en la que se impuso una sanción de 200.000 euros. Los hechos versaron por el mantenimiento de los datos personales en el fichero de información crediticia cuando la deuda había sido vendida a un tercero. CAIXABANK se acogió a las dos reducciones previstas. - La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal de sus clientes por lo que, dado el volumen de la misma la transcendencia de esta actividad objeto de la presente reclamación es muy elevada (artículo 76.2.
  59. b)de la LOPDGDD en relación con el artículo 83.2.k). Considerando los factores expuestos, a efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador y sin perjuicio de lo que resulte de la instrucción, teniendo en cuenta las circunstancias del caso y los criterios que establece el artículo 83.2 del RGPD con respecto a la infracción cometida, permite finar inicialmente una sanción de 2.000.000 de euros. VI Adopción de medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26 De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  60. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En tal caso, en la resolución que se adopte, esta Agencia podrá requerir al responsable para que en el plazo que se determine: Informe adecuadamente y recabe el consentimiento, en los términos del RGPD, de los clientes de la entidad que, desde la adhesión de CAIXABANK (...) al convenio con la TGSS y hasta las modificaciones del proceso en el año 2023, hubieran firmado un contrato marco y/o un modelo 5433 (Declaración/Modificación de datos para la relación de negocios) y que no hubieran sido informados adecuadamente y/o no se hubiera recabado su consentimiento, en los términos expuestos en este acuerdo de inicio, en relación con la verificación de datos personales ante la TGSS en los términos de la LPBCFT. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a CAIXABANK, S.A. con NIF A08663619, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretaria, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  61. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, por la supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/26 DOS MILLONES DE EUROS (2.000.000,00 €), sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a CAIXABANK, S.A. con NIF A08663619, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  62. f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en UN MILLÓN SEISCIENTOS MIL EUROS (1.600.000,00 €), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en UN MILLÓN SEISCIENTOS MIL EUROS (1.600.000,00 €) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en UN MILLÓN DOSCIENTOS MIL EUROS (1.200.000,00 €). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (1.600.000,00 € o 1.200.000,00 €), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/26 Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 28 de marzo de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1200000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el citado Acuerdo de inicio transcrito anteriormente, se señalaba que de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  63. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose recibido escrito mediante el que CAIXABANK, S.A. informa que ha adoptado las medidas necesarias para que no se vuelvan a producir los hechos determinantes de la infracción cometida, por parte de esta Agencia se acusa recibo del mismo, sin que esta declaración suponga ningún pronunciamiento sobre la regularidad o licitud de las medidas adoptadas. Se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio de responsabilidad proactiva cuando señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Este principio hace referencia a la obligación que recae en el responsable del tratamiento no solo de diseñar, implementar y observar las medidas jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además capaz de demostrarlo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/26 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/26 del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202300944, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  64. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1219-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.