PS-00045-2016

1/13 Procedimiento Nº PS/00045/2016 RESOLUCIÓN: R/01622/2016 En el procedimiento sancionador PS/00045/2016, instruido por la Agencia Española de Protección de Datos a la entidad BANCO BILBAO VIZCAYA ARGENTARIA SA, vistas las denuncias presentadas ante la misma y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de marzo de 2015 tiene entrada en esta Agencia escritos de los denunciantes cuyos datos obran en Anexo adjunto, en los que se pone de manifiesto que la entidad BANCO BILBAO VIZCAYA ARGENTARIA S.A. (en adelante el denunciado), en virtud de la Ley 10/2010 de Blanqueo de Capitales ha solicitado a los denunciantes, clientes de la entidad, la cumplimentación obligatoria de un formulario para evitar el bloqueo de sus cuentas. En dicho documento se ha de declarar la actividad económica y dar autorización, a la entidad para el tratamiento de sus datos personales con fines comerciales. Al final de este apartado 2 puede leerse un recuadro en el que pone: "Usted puede negarse a que se utilicen sus datos personales para las finalidades de este apartado 2.A.2 en el momento de contratar con el Banco de forma gratuita en cualquiera de las oficinas de BBVA”. Alguno de los denunciante comunican que como no estaban de acuerdo con el contenido del apartado 2.A.2 pidieron que les dijeran que apartado debían rellenar del documento para negarse a que sus datos sean tratados y cedidos, a lo que los empleados de las oficinas les dijeron que no existía ese apartado, que debía firmar el documento tal cual estaba y que para negarse a lo establecido en el citado apartado debían, por su cuenta, redactar un nuevo documento donde se negaran al tratamiento de los datos. También se denuncia que el documento incluye la solicitud de consentimiento para que el denunciado accede a la Agencia Tributaria para contrastar la declaración y a la Tesorería de la Seguridad Social. En este caso el documento no contiene ninguna referencia a la posibilidad de mostrar negativa. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al denunciado, teniendo conocimiento de que:

1. a)El motivo por el que se solicita la cumplimentación del formulario denominado “Identificación del cliente, declaración de actividad económica, tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 personales y firma digitalizada” obedece a la obligación que establece la Ley 10/2010, de 28 de abril, de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo, a las entidades de crédito de obtener información del propósito de la relación de negocios con sus clientes y que implica conocer la naturaleza de su actividad profesional o empresarial además de adoptar, en su caso, las medidas dirigidas a comprobar razonablemente la veracidad de dicha información (artículos 5 y 7 de la Ley 10/2010). La cumplimentación del citado documento, se solicita a cuantas personas físicas o jurídicas pretendan establecer relaciones de negocio o intervenir en cualesquiera operaciones, tal y como exige el artículo 3 de la Ley 10/2010, que impide la apertura, contratación o mantenimiento de cuentas, libretas, activos o instrumentos numerados sin comprobar la identidad de los intervinientes mediante documentos fehacientes.
2. b)Respecto del motivo por el cual se incluye en el formulario un apartado denominado “Para que utiliza BBVA los datos personales de sus clientes”, BBVA manifiesta que es en cumplimiento del artículo 5 de la LOPD para informar respecto de la recogida de datos ya que se suscribe cuando una persona física o jurídica pretende establecer relaciones de negocio con el Banco, por ello se informa al titular del dato de la finalidad de la recogida del mismo, esto es, la contratación de productos y servicios bancarios y/o financieros, pudiendo el cliente negarse, en el mismo documento, a que se utilicen sus datos con fines publicitarios o comerciales y que se comuniquen a las empresas especificadas.
3. c)Respecto del apartado “Otras finalidades” del formulario, en concreto, los sub apartados “3.4 Comprobación de la declaración del Impuesto sobre la Renta de las Personas Físicas IRPF’ y el “3. 7 Comprobación de actividad económica y vida laboral” tienen como objeto cumplir con la Ley 10/2010 que obliga a BBVA a adoptar medidas dirigidas a comprobar razonablemente la veracidad de la información aportada por el cliente estableciendo, para ello, procedimientos de verificación de las actividades declaradas. En consecuencia y atendiendo al nivel de riesgo, el denunciado podrá solicitar al cliente el código seguro para comprobar en la página web de la Agencia Tributaria y de la Tesorería General de la Seguridad Social la veracidad de la actividad declarada; es decir, que en caso de que el cliente no facilite dicho código, en el mismo acto de la firma del documento o en un acto posterior se no podrá acceder en su nombre a las páginas web mencionadas. El denunciado no dice nada en cuanto a la solicitud de consentimiento con fines publicitarios. En cuanto a la obtención de consentimiento para acceso a datos de Tesorería, esta Agencia archivó la actuación similar de otra entidad financiera en el procedimiento E/3957/2015 TERCERO: Con fecha 8 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13/12, de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.
4. c)de dicha norma, pudiendo ser sancionada, con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 2 de marzo de 2016 formuló alegaciones, significando que: <<…No obstante lo anterior, es interés de esta representación poner de manifiesto que, tanto en el momento de la firma del mencionado documento como en un momento posterior, BBVA tiene establecido un procedimiento operativo para atender los casos en los que el titular del dato niega su consentimiento para el tratamiento de sus datos con finalidades no relacionadas directamente con la relación contractual. Dicho procedimiento se regula en la normativa interna número 62.30.031. El titular del dato puede expresar su negativa al tratamiento de sus datos para fines distintos a los relacionados directamente con el mantenimiento, desarrollo o control de la relación contractual a través de los siguientes canales: 1.- En las oficinas de BBVA. 2.- A través de la Banca por internet, mediante el envío de un correo electrónico a la dirección: nopublicidad@bbva.com 3.- Otros:
5. a)Mediante el envío de un correo electrónico a la siguiente dirección: serviciodeatencionaIcIiente@bbva.com
6. b)Por correo ordinario a la siguiente dirección: Servicio de Atención al Cliente del Grupo BBVA Apartado de Correos ***** (***CP.1) Madrid.
7. c)A través de BBVAnet
8. d)A través de la Línea BBVA No obstante, si la negativa se produce en el momento de la contratación se utilizarán los dos primeros canales. 1.- Si la misma se efectúa en las oficinas de BBVA mi representada pondrá a disposición del interesado el formulario que se adjunta como Documento n° 1. En el momento en que dicho formulado sea firmado por el titular del dato o su representante, el personal de dicha oficina registrará la solicitud que será redirigida automáticamente a la oficina encargada de tramitar la negativa al tratamiento de datos para su gestión. Es por ello que esta parte no puede estar de acuerdo con lo manifestado por los denunciantes en cuanto a que «debía firmar el documento tal cual estaba y que para negarse a lo establecido en el citado apartado debían, por su cuenta, redactar un nuevo documento donde se negaran al tratamiento de datos” 2.- En caso de que la negativa se efectúe a través de la Banca por internet, mediante el envío de un correo electrónico a la dirección nopublicidad@bbva.com la misma será registrada por el área correspondiente, respondiendo al cliente en dicho sentido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 3.- Si la negativa se recibe a través del resto de canales la misma será registrada y redirigida al equipo encargado de su tramitación. En consecuencia, queda demostrado que BBVA tiene establecido un procedimiento estructurado y ajustado a la LOPD que permite que el titular del dato no autorice el tratamiento o comunicación de datos con finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual en el momento de la contratación. Es cierto que el citado documento no presenta una casilla para que sea marcada por el cliente en el momento de la contratación pero también lo es que el artículo 15 del Reglamento de Desarrollo de la LOPD aprobado por el Real Decreto 1720/2007 posibilita “un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Tal y como acabamos de manifestar, BBVA tiene establecido un procedimiento equivalente que permite al titular del dato oponerse al tratamiento de sus datos para otros fines que no sean los propios de la relación contractual entre las partes por lo que ningún reproche se le puede hacer a mi representada que ha cumplido en todo momento con las exigencias del artículo 5 de la LOPD en relación con el artículo 15 del Reglamento…>> QUINTO: Con fecha 11 de abril de 2016 se inició el período de práctica de pruebas, en el que se acordó incorporar copia de la Resolución del PS/0085/2015 publicada en la web de esta Agencia y de la Sentencia de la Audiencia Nacional de 30/01/2013 recurso 400/2011 obtenida a través del CENDOJ. SEXTO: Con fecha 9/03/2016 varios denunciante presentaron escritos de Recursos de Reposición frente al citado Acuerdo de Inicio que fueron inadmitidos mediante Resoluciones de 14/04/2016. SÉPTIMO: Con fecha 26/06/2016 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 10.000 € al denunciado, por la comisión de una infracción del artículo 5 de la LOPD, en relación con el artículo 15 del Reglamento de desarrollo de dicha norma, tipificada como leve en el artículo 44.2.
9. c)de la citada Ley Orgánica, de conformidad con lo establecido en los apartados 1 y 4 del artículo 45 de la misma. Dicha propuesta fue notificada al denunciado el 24/06/2016. Con fecha 18/07/2016 tiene entrada en esta Agencia escrito del denunciado solicitando ampliación de plazo. Con fecha 19/07/2016 se remite contestación comunicando: <<…Visto lo solicitado por BANCO BILBAO VIZCAYA ARGENTARIA S.A. en su escrito remitido por el Servicio de Correos el 12/07/2016, teniendo entrada en esta Agencia el 18/07/2016, por el que solicita la ampliación del plazo de QUINCE DÍAS hábiles que le fue concedido para formular alegaciones frente a la Propuesta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Resolución, que le fue notificada el 24/06/2016. Por la Instructora del procedimiento, en virtud de lo establecido en el artículo 49 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, según la redacción dada por la Ley 4/1999, de 13 de enero, que la modifica, que establece que: “(…) 3. Tanto la petición de los interesados como la decisión sobre la ampliación deberán producirse, en todo caso, antes del vencimiento del plazo de que se trate. En ningún caso podrá ser objeto de ampliación un plazo ya vencido. Los acuerdos sobre ampliación de plazos o sobre su denegación no serán susceptibles de recursos.” SE ACUERDA: no ampliar el plazo concedido al BANCO BILBAO VIZCAYA ARGENTARIA, S.A…>> HECHOS PROBADOS PRIMERO: Con fecha de 11 de marzo de 2015 tiene entrada en esta Agencia escritos de los denunciantes cuyos datos obran en Anexo adjunto, en los que se pone de manifiesto que el denunciado, en virtud de la Ley 10/2010 de Blanqueo de Capitales ha solicitado a los denunciantes, clientes de la entidad, la cumplimentación obligatoria de un formulario para evitar el bloqueo de sus cuentas. En dicho documento se ha de declarar la actividad económica y dar autorización, a la entidad para el tratamiento de mis datos personales con fines comerciales. Al final de este apartado 2 puede leerse un recuadro en el que pone: "Usted puede negarse a que se utilicen sus datos personales para las finalidades de este apartado 2.A.2 en el momento de contratar con el Banco de forma gratuita en cualquiera de las oficinas de BBVA”. Alguno de los denunciante comunican que como no estaban de acuerdo con el contenido del apartado 2.A.2 pidieron que les dijeran que apartado debían rellenar del documento para negarse a que sus datos sean tratados y cedidos, a lo que los empleados de las oficinas les dijeron que no existía ese apartado, que debía firmar el documento tal cual estaba y que para negarse a lo establecido en el citado apartado debían, por su cuenta, redactar un nuevo documento donde se negaran al tratamiento de los datos (folios 1 a 202). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al denunciado, teniendo conocimiento de que:
10. a)El motivo por el que se solicita la cumplimentación del formulario denominado “Identificación del cliente, declaración de actividad económica, tratamiento de datos personales y firma digitalizada” obedece a la obligación que establece la Ley 10/2010, de 28 de abril, de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo, a las entidades de crédito de obtener información del propósito de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 relación de negocios con sus clientes y que implica conocer la naturaleza de su actividad profesional o empresarial además de adoptar, en su caso, las medidas dirigidas a comprobar razonablemente la veracidad de dicha información (artículo 5 y 7 de la Ley 10/2010). La cumplimentación del citado documento, se solicita a cuantas personas físicas o jurídicas pretendan establecer relaciones de negocio o intervenir en cualesquiera operaciones, tal y como exige el artículo 3 de la Ley 10/2010, que impide la apertura, contratación o mantenimiento de cuentas, libretas, activos o instrumentos numerados sin comprobar la identidad de los intervinientes mediante documentos fehacientes.
11. b)Respecto del motivo por el cual se incluye en el formulario un apartado denominado “Para que utiliza BBVA los datos personales de sus clientes”, BBVA manifiesta que es en cumplimiento del artículo 5 de la LOPD para informar respecto de la recogida de datos ya que se suscribe cuando una persona física o jurídica pretende establecer relaciones de negocio con el Banco, por ello se informa al titular del dato de la finalidad de la recogida del mismo, esto es, la contratación de productos y servicios bancarios y/o financieros, pudiendo el cliente negarse, en el mismo documento, a que se utilicen sus datos con fines publicitarios o comerciales y que se comuniquen a las empresas especificadas. El denunciado no dice nada en cuanto a la solicitud de consentimiento con fines publicitarios (folios 205 a 210). TERCERO: El formulario presentado a la firma de los denunciantes denominado “Identificación del cliente, declaración de actividad económica, tratamiento de datos personales y firma digitalizada” En el apartado 2 se establece: “2. Tratamiento por BBVA de los datos personales de sus clientes (…) A. Para qué utiliza BBVA los datos personales de sus clientes. Usted autoriza a BBVA a tratar sus datos para las siguientes finalidades: (…) 2. Publicidad y acciones comerciales. • Elaborar perfiles de cliente con fines comerciales, para ofrecerle productos o servicios bancarios y/o financieros de BBVA o de terceros, asociados a la actividad del Banco, y con fines de análisis de riesgos para futuras operaciones. • Realizar y gestionar los contactos comerciales que Usted mantenga con el Banco y/o de elaboración de informes comerciales, estadísticas, encuestas y estudios de mercado. • Incluirle en programas de fidelización y en sorteos, incluido el envío de información detallada sobre dichos programas y sorteos y su resultado. • Elaborar estadísticas y perfiles, según sus hábitos de utilización de las tarjetas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 cuentas y cualquier producto o servicio contratado con el Banco, para ofertarte productos y servicios, promociones o descuentos que puedan interesarle. Los productos y servicios pueden ser del Banco o de terceros, asociados a la actividad del Banco. • Enviarle a través de cualquier medio, incluso por correo electrónico, medios de comunicación telemáticos, electrónicos, redes sociales, páginas web u otro medio de comunicación electrónica equivalente, información sobre productos, actividades, servicios y ofertas (
12. a)del Banco; (
13. b)de terceros asociados a la actividad del Banco de las siguientes categorías: productos financieros y parabancarios, viajes, automoción, telecomunicaciones, seguridad, informática, educación, inmuebles, productos de consumo, ocio y tiempo libre, servicios profesionales y servicios sociales. • Usted consiente que BBVA comunique sus datos de identificación y de contacto a las siguientes empresas asociadas a la actividad del Banco para las finalidades descritas en el apartado anterior: (folios 3 a 5). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
14. g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad denunciada una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
15. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
16. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
17. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
18. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
19. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
20. c)y
21. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del Reglamento de Desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre en el que se establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. En el caso que nos ocupa se ha podido comprobar que la entidad denunciada incumple lo dispuesto en el artículo 5 LOPD, en relación con el artículo 15 del citado Reglamento, en la medida en que el formulario habilitado por la misma para la recogida de datos personales, denominado “Identificación del cliente, declaración de actividad económica, tratamiento de datos personales y firma digitalizada” contiene una leyenda informativa en materia de protección de datos de carácter personal que no se ajusta a las previsiones normativas reseñadas. De acuerdo con la información contenida en aquel documento, los denunciantes consienten la utilización de sus datos con fines promocionales, tanto de servicios propios como de otras entidades terceras, a las que podrán cederse los datos. Y el citado artículo 5.1.
22. a)de la LOPD establece que los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco, de los destinatarios de la información. Por otra parte, en relación con la utilización de los datos para fines promocionales, no se ofrece a los denunciantes una casilla que pudieran marcar para aponerse al tratamiento de sus datos con esas finalidades y a la cesión de los mismos, u otro procedimiento para que pueda mostrar su negativa en el momento en que se recaban los datos. Se advierte sobre la posibilidad de manifestar la negativa en cualquiera de las oficinas pero no se habilita ningún mecanismo que pueda ser utilizado en el momento de la recogida de datos. En las alegaciones formuladas a la apertura del procedimiento, el denunciado añade la posibilidad de enviar un correo electrónico con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 este propósito, que no cabe admitir al no poder llevarse a efecto en el momento indicado. En este mismo sentido se pronuncia la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, al señalar la misma lo siguiente: “no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante”. La obligación de ofrecer la posibilidad de oponerse a los tratamientos publicitarios antes indicados se establece para el momento de la recogida de los datos o, en los términos del artículo 15 del Reglamento de desarrollo de la LOPD, “durante el proceso de formación de un contrato”. Por tanto, la indicación sobre la posibilidad de los afectados de remitir un correo electrónico exponiendo su negativa a facilitar sus datos con fines comerciales o publicitarios y las cesiones de datos no resulta suficiente para entender cumplidas las exigencias normativas reseñadas. III El artículo 44.2.
23. c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad denunciada ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. IV El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
24. a)El carácter continuado de la infracción.
25. b)El volumen de los tratamientos efectuados.
26. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
27. d)El volumen de negocio o actividad del infractor.
28. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
29. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13
30. g)La reincidencia por comisión de infracciones de la misma naturaleza.
31. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
32. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
33. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, y, en especial, considerando, por un lado, la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos, el volumen de negocio o actividad de la entidad imputada y que no ha justificado haber llevado a cabo las regularizaciones oportunas para el cumplimiento de las exigencias establecidas en la normativa reseñada, por todo ello, procede imponer una multa de 10.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO BILBAO VIZCAYA ARGENTARIA S.A., por una infracción del artículo 5 de la LOPD, en relación con el artículo 15 del Reglamento de desarrollo de dicha norma, tipificada como leve en el artículo 44.2.
34. c)de la citada Ley Orgánica, una multa de 10.000 euros (diez mil euros), de conformidad con lo establecido en los apartados 1 y 4 del artículo 45 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución y el Anexo 0 a BANCO BILBAO VIZCAYA ARGENTARIA SA. TERCERO: NOTIFICAR a cada uno de los denunciantes la presente resolución y exclusivamente el Anexo que les corresponda, en el que se incluye su identificación. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es