PS-00070-2019

1/146  Procedimiento Nº: PS/00070/2019 - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 16/10/2018, tuvo entrada en esta Agencia una reclamación presentada por D. A.A.A. (en lo sucesivo el reclamante 1), contra la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (en lo sucesivo BBVA), por el envío a su línea de telefonía móvil, en fecha 11/10/2018, de un SMS promocional. Añade que no ha autorizado el envío de tales mensajes y que figura inscrito en Lista Robinson desde hace tiempo. Con su reclamación, aporta únicamente copia del SMS objeto de la misma, cuyo texto es el siguiente: “Publi BBVA: Tu prestamos HASTA 9.000 EUROS para poner en marcha ya tus proyectos. Info 912975969. https://bbva.info/2xLgPps. No+publi envia BAJA al 217582”. Esta reclamación fue trasladada a la entidad BBVA. En respuesta a lo manifestado por el reclamante 1, BBVA informa a esta Agencia que el mismo prestó su conformidad al contenido del documento “Identificación del cliente, tratamiento de datos personales y firma digitalizada”, suscrito por el reclamante en fecha 07/06/2016, en virtud del cual el cliente consintió el envío de publicidad por parte de BBVA “a través de cualquier medio”. Añade BBVA que, no obstante, vista la reclamación formulada, ha procedido a inhabilitar la opción relativa al envío de comunicaciones comerciales al reclamante 1. BBVA aporta el documento “Identificación del cliente, tratamiento de datos personales y firma digitalizada” suscrito por el denunciante en fecha 07/06/2016. SEGUNDO: Con fecha 09/12/2018, tuvo entrada en esta Agencia una reclamación presentada por D. B.B.B. (en lo sucesivo el reclamante 2), contra la entidad BBVA, señalando que la App BBVA para sistemas Android de la entidad no cumple los requisitos legales relativos al consentimiento libre e informado. En dicha reclamación pone de manifiesto que el pasado 09/11/2018 la citada App, mediante una pantalla emergente, requirió la prestación de consentimiento cuyo alcance debía conocerse mediante un enlace a otra página, en la que aparecía activada por defecto la opción de cesión de datos a terceros. Añade que el 6 de junio anterior, BBVA reconoció por carta el derecho de oposición del reclamante al tratamiento de sus datos con fines comerciales (aporta copia de esta comunicación), y que esta circunstancia debiera haberse tenido en cuenta por BBVA antes de requerirle nuevamente la prestación de su consentimiento al tratamiento de datos a través de la App BBVA. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 2/146 Por otra parte, advierte el reclamante que se dirigió a la citada entidad exponiendo las mismas circunstancias y que dicha reclamación fue desestimada con fecha 29/11/2019. El reclamante aporta copia de uno de los correos que dirigió a BBVA, de fecha 09/11/2018, en el que expresamente indica lo siguiente: “Estimado/a DPO de BBVA El documento adjunto al anterior mensaje procede de la APP BBVA ofrecida en la plataforma Android. La citada aplicación requiere al usuario, como paso previo a su uso, prestar consentimiento mediante la firma electrónica de un documento que sólo ofrece la posibilidad de oponerse al tratamiento de datos personales para fines distintos a los necesarios a los fines de la prestación de servicios financieros si el cliente activa las casillas de oposición a un tratamiento que POR DEFECTO (véase artículo 25 del RGPD) debieran considerarse como activadas. El texto informativo resulta poco coherente con el principio de transparencia del artículo 12 del RGPD y sobre todo porque tras activar las citadas casillas de oposición aparece una pantalla emergente con una nueva advertencia que claramente coarta la libertad del consentimiento en los términos del artículo 7 del RGPD. Espero haber descrito con mayor claridad el problema relacionado con la citada APP y el documento de consentimiento generado por la misma. Finalmente, quisiera adjuntarle su comunicación relativa a mi ejercicio del derecho de oposición al tratamiento de datos personales ya registrada por su departamento, y que debiera haberse tenido en cuenta en lo relativo a la operativa de la APP BBVA”. BBVA responde a dicho correo mediante otro de fecha 29/11/2018 en el que literalmente indica: “La forma en que se recaba el consentimiento al que usted hace referencia ha sido considerada válida no solo en los análisis internos de nuestra propia entidad, sino en todos aquellos foros donde se ha planteado la cuestión, ya que el interesado tiene la opción de escoger de una manera sencilla y fácilmente entendible la opción que prefiera. Acerca de las pantallas emergentes que usted nos comenta, BBVA entiende que debe proporcionar a los interesados la información necesaria para que sepan qué sucede al activar dichas casillas, para que con toda la información en su mano, decidan la opción que más les satisfaga”. El reclamante acompaña, asimismo, el documento generado por la App, con el rótulo “Declaración de actividad económica y política de protección de datos personales” (en lo sucesivo también “Política de Privacidad”), en cuyo apartado 1 constan los datos identificativos del cliente (el reclamante) y su declaración de actividad económica. Entre otros datos, figuran los relativos a nombre, apellidos, identificador fiscal, fecha de nacimiento, nacionalidad, domicilio, estado civil, régimen matrimonial, datos de contacto, ingresos fijos y variables, entidad en la que presta servicio, ingresos brutos anuales. El apartado 2 de ese documento está dedicado a la “política de protección de datos personales”. El contenido íntegro de este apartado, la “información ampliada” que se ofrece al interesado y parte del “glosario de términos” que conta en el mismo documento, el cual se declara reproducido en este acto, se acompaña como Anexo 1. En el documento aportado por el reclamante 2 figuran marcadas todas las opciones habilitadas para que el interesado preste su consentimiento al tratamiento de los datos personales con las finalidades que en dichas opciones se expresan: “. Productos y precios más ajustados a ti [x] NO quiero que BBVA trate mis datos para ofrecerme productos y servicios de BBVA, del Grupo BBVA y de otros personalizados para mí. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 3/146 [x] NO quiero que BBVA comunique mis datos a sociedades del Grupo BBVA para que me puedan ofrecer productos y servicios propios personalizados para mí. Mejora de calidad [x] NO quiero que BBVA trate mis datos para mejorar la calidad de los productos y servicios nuevos y existentes. Queremos recordarte que siempre podrás cambiar o suprimir fácilmente el uso que hacemos de tus datos”. TERCERO: Con fecha 13/02/2019, tuvo entrada en esta Agencia una reclamación presentada por D. C.C.C. (en lo sucesivo el reclamante 3), contra la entidad BBVA, señalando que para el desbloqueo de su cuenta fue necesario suscribir el documento de protección de datos personales, que le fue remitido telemáticamente, y que no tuvo posibilidad de marcar las opciones sobre el tratamiento de la información. Aporta impresión de la información disponible en la App de BBVA, en el área personal del reclamante (1 a 6 de febrero de 2019), que incluye un apartado “Uso de datos personales” en el que se pone a disposición del interesado una casilla que puede marcar con la indicación “He leído, comprendo y acepto la Política de Protección de Datos Personales para ser cliente de BBVA”. Asimismo, aporta copia de un correo electrónico remitido a la dirección del reclamante desde la dirección notificaciones-bbva@bbva.com, con un archivo adjunto denominado “LOPDDAE”, en formato pdf, y el texto “Tienes una firma pendiente… (nombre y apellido del Reclamante 3), tienes un documento pendiente de firma. Te recomendamos que leas con calma el documento que te adjuntamos, antes de firmarlo”. A continuación, se incluye un botón con la leyenda “Firma ahora”. Posteriormente se informa al interesado que dispone de otros canales para la firma del documento en cuestión (oficina, App, web y banca telefónica). Dicho documento, que también se acompaña a la reclamación, corresponde a la “Declaración de Actividad Económica y Política de Protección de Datos Personales”, cuyo contenido coincide con el que consta reproducido en el Anexo 1, salvo el detalle relativo a la casilla mediante la que se ofrece al cliente la opción “No quiero que BBVA trate mis datos para ofrecerme productos y servicios de BBVA, Grupo BBVA y de otros personalizados para mí”, que permite marcar los canales siguientes: [ ] Por email [ ] Por SMS [ ] Por teléfono (llamada telefónica) [ ] Por correo postal El documento aportado aparece fechado el 11/02/2019 y sin firma. De las opciones habilitadas en este documento para que el interesado preste su consentimiento al tratamiento de sus datos personales con las finalidades que se expresan en cada caso, figura marcada la opción “No quiero que BBVA trate mis datos para ofrecerme productos y servicios de BBVA, del Grupo BBVA y de otros personalizados para mí por email”. La citada reclamación fue trasladada a BBVA para que analizase la misma y remitiera la información pertinente a esta Agencia. El plazo concedido a BBVA para dar respuesta a dicho traslado transcurrió sin que en esta Agencia se haya recibido respuesta alguna. CUARTO: Con fecha 23/05/2019, tuvo entrada en esta Agencia una reclamación presentada C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 4/146 por D. D.D.D. (en lo sucesivo el reclamante 4), contra BBVA, señalando que, con el pretexto de haber sido informado mediante un documento que no ha firmado, dicha entidad le remite comunicaciones comerciales que no ha solicitado ni autorizado. Añade que le informó sobre la adopción de medidas para impedir que continuara recibiendo comunicaciones comerciales, que cesaron los envíos de correos electrónicos, pero continuó recibiendo SMS, en los que no se facilitan mecanismos de baja. Aporta varios SMS en los que se le ofrecen préstamos preconcedidos; copia de un escrito en el que BBVA estima el derecho de oposición ejercitado por el reclamante, de 10/04/2019; otro escrito anterior, de 25/02/2019, en el que BBVA le informa que sus datos personales son tratados conforme al documento que adjunta, suscrito el 26/11/2018, en el que se le ofrecía la posibilidad de negarse a las citadas finalidades. El documento que se adjunta al último escrito reseñado corresponde a la “Declaración de Actividad Económica y Política de Protección de Datos”, en el que figuran los datos del denunciante como cliente de BBVA. En este documento no figura marcada ninguna de las opciones que se ofrecen al interesado para consentir el tratamiento de sus datos personales, Esta reclamación fue trasladada a la entidad BBVA. En respuesta a lo manifestado por el reclamante 4, BBVA informa a esta Agencia que se remitieron comunicaciones comerciales al mismo, que no se opuso a este tratamiento de datos en el documento suscrito el 26/11/2018. Advierte que las comunicaciones cesaron después del ejercicio del derecho de oposición por el reclamante, si bien la línea de telefonía móvil que se cita en la reclamación como destinataria de comunicaciones comerciales no figura asociada a los datos de éste en su sistema de información. Posteriormente, BBVA manifestó que los SMS se enviaron manualmente por un gestor comercial desde el teléfono móvil corporativo sin comprobar previamente que el cliente estaba incluido en el listado Robinson. QUINTO: Con fecha 27/08/2019, tuvo entrada en esta Agencia una reclamación presentada por D. E.E.E. (en lo sucesivo el reclamante 5), contra la entidad BBVA, por la realización de llamadas telefónicas y envío de SMS publicitarios, para ofrecer seguros, tarjetas de crédito y financiación de recibos, a pesar de que ejerció el derecho de oposición a la cesión de sus datos con fines promocionales y que el mismo fue atendido por dicha entidad. En su reclamación detalla las líneas de telefonía emisoras de las llamadas y mensajes, la línea receptora y la fecha y hora de la última llamada. Con su reclamación, aporta copia de una factura correspondiente a la línea receptora de las llamadas y mensajes, emitida a nombre del reclamante; escrito de BBVA dirigido al mismo, de fecha 07/03/2018, en el que se estima su solicitud de oposición a la utilización y cesión de sus datos a terceros con fines de prospección comercial o publicitaria de la entidad u otras empresas del Grupo; transcripción de mensajes remitidos a BBVA advirtiendo nuevamente sobre su deseo de no recibir publicidad, de 26/05/2019, respondido el día siguiente por la responsable con un mensaje de disculpa; impresión de pantalla, de 27/08/2019, sobre la inclusión de su línea de telefonía móvil en Lista Robinson; y detalle de llamadas recibidas (consta una llamada procedente del número objeto de la reclamación, realizada en fecha 27/08/2019. Esta reclamación fue trasladada a la entidad BBVA. En respuesta a lo manifestado por el reclamante 5, BBVA informa a esta Agencia que, en fecha 18/06/2018, el interesado firmó C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 5/146 digitalmente el documento “Declaración de Actividad Económica y Política de Protección de Datos Personales”, prestando su consentimiento al tratamiento de sus datos con fines comerciales, a pesar de que se le daba la oportunidad de oponerse a la utilización de sus datos para ofrecerle productos y servicio de BBVA y de entidades del Grupo. Esta opción la formalizó el reclamante mediante la firma de ese documento con posterioridad a través de la banca a distancia. Añade que las líneas a las que se refiere la reclamación pertenecen a BBVA Seguros, de la que es cliente el reclamante, la cual realizó tres llamadas en agosto de 2019 (días 20, 21 y 27); y que BBVA trasladó el escrito de oposición del reclamante a BBVA Seguros, que tomó las medidas oportunas para el cese de las comunicaciones comerciales el mismo día 27/08/2019. BBVA aporta los documentos “Declaración de Actividad Económica y Política de Protección de Datos Personales”, suscritos por el reclamante en fechas 18/06/2018 y 27/05/2019. En el primero de ellos no consta ninguna marca en las casillas habilitadas para que el cliente manifieste su consentimiento a los tratamientos siguientes: . Productos y precios más ajustados a ti [ ] NO quiero que BBVA trate mis datos para ofrecerme productos y servicios de BBVA, del Grupo BBVA y de otros personalizados para mí. [ ] NO quiero que BBVA comunique mis datos a sociedades del Grupo BBVA para que me puedan ofrecer productos y servicios propios personalizados para mí. Mejora de calidad [ ] NO quiero que BBVA trate mis datos para mejorar la calidad de los productos y servicios nuevos y existentes. Queremos recordarte que siempre podrás cambiar o suprimir fácilmente el uso que hacemos de tus datos”. En el firmado en fecha 27/05/2019 constan esas tres casillas marcadas. SEXTO: Las reclamaciones a las que se refieren las actuaciones fueron admitidas a trámite mediante resoluciones de fecha 01/02/2019 (las relativas a los reclamantes 1 y 2), 06/08/2019 (la relativa al reclamante 3), 13/09/2019 (la relativa al reclamante 4) y 30/10/2019 (la relativa al reclamante 5). SEPTIMO: Con fecha 21/11/2019, por la Subdirección General de Inspección de Datos se accede a la web de BBVA (“bbva.com”) y se obtiene información disponible sobre la entidad. En dicha web se indica: “BBVA en España Como una de las entidades líderes en el país, con más de 10 millones de clientes y cerca de 30.000 empleados, prestamos servicios financieros a través de nuestra red de 3200 oficinas”. Se obtiene, asimismo, información financiera, de la que cabe destacar la relativa a la Cuenta de Resultados, que “a 30/09/2019” refleja un “Margen neto” de 9.304 millones de euros. En el apartado “Diversificación geográfica” se indica el desglose por países, correspondiendo a España el 23,4%. Según la información que consta en el Registro Mercantil Central, el “Capital suscrito” asciende a 3.267.264.424,20 euros. OCTAVO: Con fecha 02/12/2019, la Directora de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 6/146 acordó iniciar procedimiento sancionador a la entidad BBVA, de conformidad con lo previsto en el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en lo sucesivo RGPD), por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.

1. b)del citado Reglamento; y por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
2. a)del citado Reglamento, determinando que la sanción que pudiera corresponder ascendería a un total de 6.000.000,00 euros (3.000.000,00 euros por cada una de las infracciones imputadas), sin perjuicio de lo que resulte de la instrucción. Las imputaciones indicadas resultan del análisis del formulario de recogida de datos personales utilizado por la entidad BBVA con posterioridad a 25/05/2018, denominado “Declaración de actividad económica y política de protección de datos personales”, mediante el que BBVA da a conocer los términos aplicables a la protección de datos personales y requiere el consentimiento de los interesados. Los motivos que fundamentan las imputaciones indicadas son, sucintamente, los siguientes:
3. a)Infracción del artículo 13 del RGPD: . Empleo de una terminología imprecisa para definir la política de privacidad. . Insuficiente información sobre la categoría de datos personales que se someterán a tratamiento, especialmente, en relación con los datos que BBVA dice obtener del uso por el cliente de productos, servicios y canales; los datos económicos y de solvencia obtenidos de productos contratados con BBVA o de los que BBVA es comercializador; y los datos personales que se cederán a empresas del Grupo BBVA. . Incumplimiento de la obligación de informar sobre la finalidad del tratamiento y base jurídica que lo legitima, especialmente en relación con los tratamientos de datos personales que BBVA basa en el interés legítimo. . Insuficiente información sobre sobre el tipo de perfiles que se van a realizar, los usos específicos a que se van a destinar
4. b)Infracción del artículo 6 del RGPD: . Inexistencia de un mecanismo específico para la recogida de los consentimientos de los clientes para el tratamiento de los datos personales. Las opciones del interesado se limitan a la marcación de una casilla mediante la cual deja constancia de su oposición a los tratamientos de datos. . Incumplimiento de los requisitos establecidos para la prestación de un consentimiento específico, inequívoco e informado. . Insuficiente justificación de los tratamientos de datos personales basados en el interés legítimo del responsable. Asimismo, a los efectos previstos en el artículo 58.2.
5. d)del RGPD, en dicho acuerdo de inicio se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición a la entidad BBVA de la obligación de adoptar las medidas necesarias para adecuar a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos prestan su consentimiento para la recogida y tratamiento de sus datos personales, con el alcance expresado en los Fundamentos de Derecho del repetido acuerdo y sin perjuicio de lo C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 7/146 que resulte de la instrucción. NOVENO: Notificado el citado acuerdo de inicio, BBVA presentó escrito de alegaciones en el que solicita que se dicte resolución por la que se declare la nulidad de pleno derecho del procedimiento por los motivos que se exponen en su alegación primera siguiente o, en su defecto, se acuerde su archivo. En síntesis, la citada entidad basa su petición en las consideraciones siguientes: 1. La fijación del importe de la sanción en el acuerdo de inicio del procedimiento, que se justifica en el Fundamento de Derecho VI, produce indefensión al interesado que vicia de nulidad el mismo. Entiende que determinar en dicho acto el reproche sancionador, evaluando incluso las agravantes concurrentes sin motivarlas mínimamente, sobre las que no ha tenido ocasión de manifestarse, afecta a la aplicación de los principios fundamentales del derecho penal, aplicables con ciertas matizaciones al procedimiento administrativo sancionador, como ha puesto de manifiesto reiterada jurisprudencia. Considera que el acuerdo de inicio excede del contenido legalmente previsto, por cuanto únicamente debería incorporar los límites de la posible sanción que pudiera imponerse, y no determinar una cuantía específica que implica la valoración sumaria de las circunstancias concurrentes. El acuerdo dictado va más allá de lo admitido en el artículo 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD). Esta valoración anticipada y carente de motivación de la responsabilidad de BBVA, indicando incluso las atenuantes y agravantes, aunque sea por su mera mención, y aun cuando se pretenda dejar a salvo lo que proceda finalmente en función de la instrucción, a juicio de esa entidad, se realiza inaudita parte, sin alegación alguna de la imputada que permitiera al órgano sancionador valorar las circunstancias apreciadas a la luz de dichas alegaciones, generando indefensión a la parte. Produce, igualmente, indefensión el hecho de que la cuantía procede de la mera enumeración de circunstancias, sin exponer el modo en que afectan a la responsabilidad. Se trata de una cuestión que afecta a la imparcialidad del órgano instructor designado en el mismo acuerdo de inicio de procedimiento, que conoce antes de iniciar el procedimiento el criterio del órgano al que finalmente elevará el expediente, del que depende jerárquicamente. Ello supone una ruptura del principio de separación entre la fase instructora y de sanción (artículo 63.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas -en lo sucesivo LPACAP), privando al instructor de un conocimiento objetivo de los hechos y de la posibilidad de realizar una valoración de las circunstancias derivadas de la instrucción. Por otra parte, se cita el artículo 85 de la LPACAP para especificar en la parte dispositiva del acuerdo de apertura las reducciones que conlleva el reconocimiento de la responsabilidad o el pago voluntario de la sanción. Sin embargo, considera la entidad BBVA que este precepto establece que la cuantía de la sanción pecuniaria podrá determinarse “iniciado el procedimiento sancionador” y que el mismo sólo es aplicable a supuestos que dan lugar a la imposición de una multa de carácter fijo y objetivo. En el presente caso, la sanción no es fija y tampoco necesariamente de carácter pecuniario, dado que el RGPD establece una amplia gama de posibles sanciones y medidas correctoras, incluida la realización de una advertencia. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 8/146 2. Es causa que justifica el archivo de las actuaciones la inexistente vinculación entre las reclamaciones formuladas con el objeto del procedimiento y el contenido del expediente administrativo, por cuanto los hechos supuestamente infractores que se invocan no pueden ser el fundamento en que se apoya la AEPD para la apertura del presente procedimiento, ni las supuestas vulneraciones pueden sustentar la sanción pretendida. Se analiza el alcance de la Política de Privacidad sin vincular ningún razonamiento al contenido de las reclamaciones y sin que conste ninguna actuación desarrollada por la AEPD que motive la apertura del procedimiento. A este respecto, señala que la Agencia se ha limitado, en las fases previas, a trasladar la reclamación a la DPD de la entidad, salvo la relativa al reclamante 2, y a acordar su admisión a trámite una vez recibidas las aclaraciones de la citada DPD. Así lo entendió la Audiencia Nacional en Sentencia de 23/04/2019 (recurso 88/2017), que anula la sanción de la AEPD, entre otras razones, por existir discrepancia entre lo denunciado y el objeto de la resolución sancionadora: “Considera esta Sala, que los hechos probados de la resolución no resultan ajustados a las exigencias que, a tenor de los principios expuestos, deben respetarse en un procedimiento sancionador. En primer lugar porque tales hechos probados, aparecen totalmente desconectados de los hechos denunciados, y que motivaron la apertura de unas actuaciones previas de investigación, ya que ninguna mención se hace en dichos hechos probados acerca de las conductas denunciadas por los tres intervinientes en el procedimiento, prescindiendo totalmente la AEPD del resultado de las investigaciones realizadas a raíz de dichas denuncias, así como de las numerosas pruebas practicadas. El relato de “hechos probados”, tanto en el procedimiento penal como en el administrativo sancionador, resulta fundamental para fijar los hechos y las conductas tipificadas, ya que solo así se viene a respetar el principio de tipicidad, que, según la doctrina es “la descripción legal de una conducta específica a la que se conectará la sanción administrativa”. Este principio es solo la proyección de la necesidad de certidumbre que debe guiar el ejercicio de la potestad sancionadora de la Administración que recoge el artículo 25.1 CE y su fundamento se encuentra en el respeto de otros dos valores como son la libertad y la seguridad jurídica”. Al propio tiempo, la AEPD ha puesto de manifiesto a lo largo de todo el expediente una manifiesta inactividad, teniendo en cuenta que admitió a trámite la reclamación de los reclamantes 1 y 2 con fecha 01/02/2019, la última de ellas sin su traslado previo a la DPD, y que ni siquiera se respondió la solicitud remitida por BBVA el 21/02/2019 solicitando información sobre el estado de la reclamación (no se informó sobre su admisión a trámite). Posteriormente, sin ninguna actuación adicional, se admitieron otras tres reclamaciones antes de dictar el acuerdo de inicio. Es decir, se mantuvo abierta la fase previa de investigación durante diez meses sin ninguna actuación tendente a investigar el contenido de la reclamación. Podría considerarse que la AEPD esperó que se produjera un número de reclamaciones que estimara significativo, en este caso, cinco, aunque versaran sobre cuestiones distintas, para reactivar un procedimiento que permanecía “suspendido” desde las primeras admisiones a trámite, y que versa únicamente sobre la “Declaración de Actividad Económica y Política de Protección de Datos”, en poder de la AEPD desde la presentación de la reclamación por el reclamante 2, en fecha 09/12/2018. Nos encontramos ante un supuesto en que la autoridad considera necesario dejar transcurrir un lapso de tiempo desde la admisión a trámite de una reclamación relacionada con un tratamiento concreto, para constatar si la conducta se debe a un fallo puntual o estructural del responsable. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 9/146 Durante ese tiempo, BBVA actuó con la confianza de que, siendo la Agencia conocedora de las circunstancias manifestadas en las reclamaciones y no habiendo tenido lugar actuaciones de investigación u otra índole, no se apreciaba la existencia de irregularidad. Cabría plantearse si no ha sido la inacción de la AEPD durante esos diez meses la que ha agravado el reproche que ésta aprecia concurrente en BBVA, dado que la Agencia conocía la Política de Privacidad y no advirtió sobre la admisión a trámite de las reclamaciones o la eventual ilicitud de esa Política de Privacidad. El reproche derivado de su mantenimiento en el tiempo debería ser imputable a quien mantuvo oculta esa opinión. Sobre las concretas reclamaciones formuladas, señala que muestran elementos comunes que ilustran el buen hacer de BBVA en el respeto a la normativa de protección de datos personales, que representan un porcentaje ínfimo e irrelevante del amplio universo de tratamientos que lleva a cabo y el número de clientes. A este respecto, aporta certificado emitido por la DPD relativo al año 2019, señalando que, de un total de clientes personas físicas de ocho millones treinta y un mil, recibió novecientas seis comunicaciones y solamente seis se referían a comentarios sobre la Política de Privacidad. Entiende que ello demuestra que los clientes no han considerado vulnerados sus derechos, a excepción de los cinco reclamantes. Como elementos comunes a todas las reclamaciones, destaca los siguientes: . Todos los interesados/reclamantes pudieron optar entre todas las alternativas ofrecidas y gestionar su consentimiento al tratamiento de sus datos cuando formalizaron el documento y pudieron cambiar sus preferencias a través de múltiples canales, respetando así el poder de disposición de los afectados. . Ha respetado los derechos ejercitados, dando respuesta en tiempo y forma a las revocaciones de consentimientos o ejercicios de derechos de oposición. Así ha ocurrido en el caso de alguno de los reclamantes. . En los supuestos en que el reclamante muestra su disconformidad con la forma de obtener el consentimiento, el mismo había hecho uso de los mecanismos puestos a su disposición, ya fuera en el momento de suscribir la “Declaración” o posteriormente de forma telemática. Resulta contradictorio, a juicio de BBVA, que la firma del documento acompañada de la marcación de las casillas deba considerarse una acción afirmativa y la misma firma del documento sin marcar las casillas no tenga, según la Agencia, el mismo alcance o naturaleza de acción afirmativa (consentimiento implícito, distinto del tácito, presunto o inacción). . Cuando ha tenido lugar un error, como en el caso del reclamante 4, ha sido reconocido y reparado con diligencia máxima, habiendo dado lugar al desarrollo de un gran número de actuaciones para dar pleno cumplimiento de la normativa (también con ocasión de las reclamaciones). Seguidamente, BBVA dedica una parte de esta alegación segunda a poner de manifiesto algunas consideraciones específicas de cada una de las reclamaciones:
6. a)El reclamante 1 se refiere al envío de publicidad a través de SMS, realizado con el consentimiento del interesado, como se puso de manifiesto en la respuesta efectuada en el marco del E/08334/2018, y se atendió de inmediato su derecho de oposición. No existe ninguna queja o reclamación posterior.
7. b)La reclamación presentada por el reclamante 2 no fue conocida por BBVA hasta la apertura del procedimiento, por lo que no ha tenido oportunidad de desvirtuar las acusaciones C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 10/146 realizadas sobre la Política de Privacidad, el funcionamiento de la aplicación o la licitud del tratamiento de los datos. En este caso, se atendió el derecho de oposición al tratamiento de los datos con fines comerciales; y así aparecía marcado en el documento cuya firma le fue requerida al descargar la APP. El proceso de descarga ofrece al cliente la posibilidad de decidir sobre los tratamientos y finalidades, tal y como realizó el reclamante, e informa de las consecuencias de esas decisiones, sin que ninguno de los mensajes que aparecen condicione al interesado. El resultado fue que, a través de la aplicación, durante el proceso de obtención del consentimiento, pudo gestionar el uso de los datos de forma libre e informada. Aporta copia impresa del proceso “hazte cliente” que sigue la aplicación, que incluye la contratación de una cuenta online. Este proceso ofrece al interesado información básica en materia de protección de datos, cuyo contenido coincide con el recogido en Anexo 1, y un enlace a la información ampliada. Asimismo, en ambos procesos se solicita el consentimiento al interesado para el tratamiento de sus datos… y se ofrece al mismo la posibilidad de marcar distintas opciones sobre el consentimiento para el tratamiento de sus datos personales, que coinciden con las habilitadas en la “Declaración de Actividad Económica y Política de Protección de Datos”.
8. c)En contra de lo que se indica en el acuerdo de inicio, BBVA dio respuesta al traslado efectuado por la AEPD de la reclamación presentada por el reclamante 3 (expediente E/04690/2019) y también respondió al propio reclamante, si bien estas respuestas no han sido incorporadas al expediente. BBVA bloqueó la cuenta de este cliente conforme a lo previsto en la Ley 10/2010, de 28 de abril, de Prevención de Blanqueo de Capitales y de Financiación del Terrorismo, hasta la firma de la “Declaración de Actividad Económica y Política de Protección de Datos Personales”, que tuvo lugar en dos ocasiones (en oficina y a través de la aplicación móvil), y en ambas el interesado incorporó sus preferencias sobre la negativa a recibir publicidad. Plantea nuevamente si no ha de considerarse una acción afirmativa la suscripción de la política de privacidad y la marcación de una de las casillas habilitadas, o si existe diferencia entre esa acción y la suscripción de dicha política sin marcar ninguna de las casillas; todas ellas fácilmente accesibles, inteligibles, sencillas y claras. Añade que no consta ninguna queja de este cliente, más allá de la reclamación formulada ante la AEPD. Aporta copia de un escrito de respuesta al traslado de la reclamación efectuado en el marco del expediente E/ 4690/2019, fechada el 21/06/2019 y un justificante de su envío a esta Agencia a través de correo postal en la misma fecha. Esta respuesta, cuyo contenido coincide, básicamente, con lo expresado anteriormente, acompaña copia de las declaraciones de actividad económica y política de protección de datos personales cumplimentados con los datos personales del reclamante 3, fechada 17/01/2019 y 11/02/2019; la primera de ellas firmada y la segunda sin firmar. En ambas declaraciones figuran marcada la opción “No quiero que BBVA trate mis datos para ofrecerme productos y servicios de BBVA, del Grupo BBVA y de otros personalizados para mí por email”.
9. d)Los antecedentes relativos al reclamante 4 constan en el expediente E/06420/2019, que explican suficientemente los hechos. En este caso, hasta el momento de la oposición BBVA estaba habilitado para el envío de comunicaciones comerciales como la denunciada y cesó en estos tratamientos tras el ejercicio del derecho, si bien se envió un SMS con posterioridad debió a un error puntual de escasa injerencia, cometido por un gestor de una oficina, que fue subsanado de inmediato y dio lugar al envío de comunicaciones sobre las políticas adoptadas a la red de oficinas. Estos hechos no justifican el reproche que se pretende. Añade que BBVA no tuvo constancia del archivo de actuaciones o de la admisión a trámite hasta el acuerdo de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 11/146 inicio del expediente sancionador. Dice Aportar documentación acreditativa de los extremos indicados. Sin embargo, únicamente aporta lo que parecen ser mensajes dirigidos a clientes particulares, pymes o autónomos con información relativa a protección de datos personales, a la entidad o comerciales. Algunos de ellos tienen fecha de mayo y julio de 2018, febrero de 2019 y uno final de 24/09/2019, pero no incluyen ninguna indicación que relaciones estos supuestos mensajes con el reclamante 4.
10. e)Se remite al contenido de la información facilitada con ocasión del expediente E/08740/2019, que demuestra que BBVA fue respetuoso con las decisiones del reclamante 5 en relación con la utilización de sus datos. En este caso, el reclamante 5 suscribió la repetida declaración en dos ocasiones, no manifestando su negativa a los tratamientos en la primera ocasión y haciéndolo en la segunda. 3. Sobre el cumplimiento del principio de transparencia y del derecho de información a sus clientes acerca del tratamiento de sus datos, BBVA expone lo siguiente: A) Con carácter previo, se refiere dicha entidad al alcance, contenido y obligaciones derivadas del principio de transparencia, según aparece regulado en la normativa aplicable e interpretado por la propia AEPD, el conjunto de las Autoridades europeas, el Grupo de Trabajo del artículo 29 y, posteriormente, el Comité Europeo de Protección de Datos. Realiza una exposición sobre los requisitos de la información que derivan del citado principio, la información que ha de facilitarse, el modo en que debe proporcionarse y sobre el sistema de niveles o capas que puede utilizarse. De lo expresado en estos apartados, cabe significar las indicaciones que BBVA incluye sobre cuestiones o aspectos reseñadas en el acuerdo de inicio del procedimiento que, a su juicio, no se corresponden con las exigencias establecidas por las normas analizadas. En concreto, BBVA señala que la obligación de informar a los interesados acerca de los datos o categorías de datos objeto de tratamiento no está prevista en el artículo 13 del RGPD; y solo se exige en el artículo 14 del mismo texto para supuestos en que los datos no se recaban del interesado, si bien esta obligación se refiere a las categorías de datos y no a los concretos datos objeto de tratamiento. Asimismo, destaca también que los artículos 12 a 14 del RGPD no exigen “al responsable del tratamiento proveer a los interesados de información tan detallada que incluya las características que no posee el tratamiento, es decir, no procederá informar acerca de, por ejemplo qué datos o categorías de datos no son objeto de tratamiento o de las finalidades para las que no se tratarán los datos, como por ejemplo, del hecho de que no se elaboran perfiles”. Y tampoco exigen aquellos artículos, “cuando un tratamiento esté basado en el interés legítimo del responsable o de un tercero, se incluya en la información que se proporcione a los interesados el juicio de ponderación llevado a cabo para comprobar que los derechos o intereses de los afectados no prevalecen sobre dicho interés legítimo, pese a que la AEPD reprocha a esta parte en el Acuerdo de Inicio el no haber informado acerca de la mencionada ponderación”. B) BBVA relata en este apartado los trabajos y estudios previos que, desde noviembre de 2016, llevaron a cabo para la adecuación de sus actuaciones al RGPD, la implementación de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 12/146 medidas y la definición de la Política de Privacidad, que contemplaron la revisión de sus procesos para el ejercicio de derechos, obtención del consentimiento de los interesados, portabilidad de los datos, medidas de seguridad y establecimiento de procesos internos y externos. En marzo de 2017 se revisó la política de privacidad en una nueva “Cláusula LOPD”, se analizó cómo obtener el consentimiento inequívoco de nuevos clientes, incluyendo una serie de casillas en la citada Cláusula LOPD con un texto claro y sencillo, y se diseñó una estrategia para informar a los interesados, para acabar aprobando en junio de ese año el plan definitivo de elaboración de la nueva cláusula, que fue sometida a investigación por terceros para ser testada con clientes. Las conclusiones se presentaron en octubre de 2017 y en marzo de 2018 se presentó el modelo definitivo del texto incluido en la Cláusula LOPD para la obtención del consentimiento. BBVA aporta copia del análisis llevado a cabo por la propia entidad sobre el impacto del RGPD en su actividad y las líneas de trabajo, medidas y actuaciones que conforman el plan de adaptación; copia del plan definitivo de elaboración de la nueva Cláusula LOPD; y un extracto de la presentación realizada en octubre de 2017 sobre las conclusiones de estos trabajos. Según BBVA, el mencionado plan consistía en la redacción de un borrador del texto de dicha cláusula y en la realización por terceros externos de una investigación con clientes, diferenciando entre clientes que se relacionan con la entidad por medios electrónicos y los que no, a efectos de validar el contenido y formato de dicho texto, testar la comprensión del mismo y analizar los canales óptimos para contactar con los interesados y recabar su consentimiento. En concreto se realizaron dos investigaciones: . Manifiesta BBVA que la primera investigación consistía en optimizar la eficacia de la comunicación a clientes, de modo que, respetando en todo caso las exigencias del RGPD, la cláusula permitiera captar la atención de los clientes para lograr la aceptación de los tratamientos basados en el consentimiento. Se llevaron a cabo entrevistas a usuarios de banca online (web y app) presentando los nuevos modelos de cláusula. Según BBVA, los resultados de esta investigación mostraron que casi el 90% de los entrevistados aceptaban los diversos tratamientos basados en su consentimiento y que, en los casos en que no lo hacían, el rechazo se centraba exclusivamente en la recepción de comunicaciones comerciales, sobre todo de terceros. Sobre esta investigación, en el documento aportado por BBVA, correspondiente al extracto de la presentación realizada en octubre de 2017 sobre las conclusiones de estos trabajos, se dice lo siguiente: “Objetivo: Optimizar la comunicación a clientes (email y página de firma) para conseguir mayor número de aceptación de las finalidades de tratamiento de datos”. “Resultados generales: casi el 90% de los entrevistados acepta todas las condiciones, ya sea de manera expresa o por defecto; dos tercios de los entrevistados aceptaron las condiciones GDPR de manera instantánea, sin leer; la no aceptación se centra exclusivamente en la recepción de comunicaciones comerciales, sobre todo de terceros”. “Conclusiones: el modelo actual sería válido (tras las modificaciones), es eficiente para estimular la aceptación de la política de protección de datos (casi 9 de cada 100 consultados acepta todas las cláusulas); la mención a terceros genera rechazo y desconfianza, convirtiéndose en una barrera y C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 13/146 provocando el rechazo de más finalidades y no solo las comunicaciones comerciales; la no aceptación de las finalidades se centra en el rechazo de cualquier tipo de comunicación comercial (especialmente de terceros); se echa en falta el beneficio cliente: cuesta identificar el beneficio en el día a día al aceptar el uso de sus datos, la aceptación o rechazo de las condiciones no tendrá ninguna repercusión; en mobile se presta menos atención: se vincula a una actualización y se lee menos (se acepta directamente)”. “Consideraciones generales: en general los clientes no se detienen en la pantalla y los que lo hacen leen en “diagonal”. Aceptan sin leer ya que la confianza en BBVA es elevada y propicia un análisis menos exhaustivo de la cláusula”. . Sobre la segunda investigación, BBVA señala en su escrito de alegaciones que tenía por objetivo determinar la estructura y diseño óptimo de la Cláusula LOPD a efectos de mostrar el mensaje de forma que no desvíe la atención de la intención principal del cliente y adaptar el texto de las casillas para prestar el consentimiento de forma que los clientes sean plenamente conscientes de las consecuencias que tendrá su otorgamiento o su denegación. Para ello se realizaron entrevistas a clientes y no clientes. En relación con esta investigación, en el extracto de las conclusiones se dice lo siguiente: “Objetivo: adaptar los mensajes para que el cliente acepte las condiciones consciente de la pérdida que supondría no hacerlo”. En esta investigación se comprueba el porcentaje de aceptación según la estructura y contenido del “checkbox”. En todos los casos analizados se solicita la marcación de la casilla en caso de no autorizar el uso de los datos con la finalidad de que se trate. C) Sobre el contenido de la Política de Privacidad, destaca que sigue las recomendaciones contenidas en la Guía elaborada por la AEPD. Se organiza en torno a una serie de preguntas y se agrupan las finalidades, con una información básica y otra adicional, ambas con los mismos apartados. En relación con la finalidad 2 “Para conocerte mejor y personalizar la experiencia”, advierte que no implica la remisión de ofertas comerciales personalizadas, sino que los tratamientos que se describen se refieren al análisis y valoración de los datos de los clientes, pero no al envío de publicidad. Las únicas comunicaciones que se mencionan en este apartado son las felicitaciones. En la información ampliada se informa que la base de legitimación es el interés legítimo y se indica el concreto interés que se persigue. En ambos apartados se recuerda la posibilidad de oponerse a este tratamiento. La finalidad 3 “Ofrecerte productos y servicios de BBVA, del Grupo BBVA y de otros personalizados para ti” es la que se refiere al envío de todo tipo de comunicaciones con fines comerciales, a través de los canales que se indican. La finalidad 4 también hace referencia a fines comerciales, pero se describe la comunicación de los datos a otras entidades del Grupo para que sean éstas las que directamente se comuniquen con el cliente, siempre que así lo haya autorizado. Se identifican las entidades receptoras, la finalidad y las categorías de datos que serán comunicados. La finalidad 5 detalla los tratamientos realizados por BBVA para “Mejorar la calidad de los productos y servicios”, si bien, como se indica en la “Información Ampliada”, la información obtenida del uso de productos, servicios y canales de BBVA está anonimizada y, por tanto, C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 14/146 excluida del ámbito de aplicación de la normativa. Aun así, se decidió someter esta finalidad al consentimiento del cliente. D) En relación con las valoraciones llevadas a cabo en el Acuerdo de Inicio sobre la Política de Privacidad, BBVA manifiesta lo siguiente: . Como consideración previa, reitera que no entiende los criterios que han determinado el inicio de procedimiento y los importes de sanción propuestos por unas reclamaciones que no guardan relación con los hechos que justifican dicha apertura; y que de entre los distintos poderes correctivos se haya optado por el más grave, en lugar de otras alternativas que hubiesen permitido la corrección de una hipotética situación de incumplimiento. Entiende que es necesario tener presente el entorno y la problemática que ha supuesto la interpretación de las previsiones del RGPD, a la que no se ha abstraído la propia Agencia; y cita el “Informe sobre políticas de privacidad en Internet. Adaptaciones al RGPD” para señalar que es una muestra de esas dificultades, si bien sus conclusiones no supusieron el mismo reproche. Además, entiende BBVA que se utiliza el procedimiento para la adopción de criterios generales de interpretación de las normas de protección, lo cual no es admisible a la luz de la doctrina de la Audiencia Nacional. . Dedica este subapartado a analizar el contenido del Acuerdo de Inicio en lo que respecta a la información facilitada a los clientes por BBVA. El procedimiento se inicia por vulneración el artículo 13 del RGPD, pero se hace referencia al incumplimiento de la obligación de informar a los interesados sobre las categorías de los datos personales tratados, que se exige en el artículo 14 de dicho Reglamento y no en el 13. Aun así, BBVA incluye las categorías de datos al inicio de la información ampliada, siguiendo el ejemplo publicado en la “Guía para el cumplimiento del deber de informar” de la AEPD, añadiendo, además, una descripción de la tipología de datos, ofreciendo información más exhaustiva de lo que la propia EAPD sugiere en la mencionada Guía. Por otra parte, la Agencia, en el repetido acuerdo, da a entender que debería informarse sobre qué datos concretos se utilizan para cada tratamiento, a pesar de que esta exigencia no está prevista en el RGPD ni en ninguna directriz publicada por la Agencia, el GT29 o el EDPB. De la misma forma, tampoco ningún texto indica que deba informarse sobre los datos o tratamientos que no realiza el responsable. Considera meras conjeturas sin prueba alguna las indicaciones sobre qué podría ocurrir si entre la información recabada por el Banco a partir del uso de productos, servicios y canales del BBVA integrara información relativa a “la cuota sindical… o cuotas abonadas a partidos políticos, o entidades de carácter religioso, o por el uso de servicios prestados por entidades sanitarias o religiosas”, esto es, categorías especiales de datos personales. Lo cierto, añade BBVA, es que la política de privacidad no hace alusión a estos datos o tratamientos simplemente porque no se realizan. Si se añadiesen todos los detalles que ahora parece exigir la AEPD, daría lugar a un texto extenso y previsiblemente poco comprensible, dando lugar a cansancio o fatiga informativa, que proscriben tanto la Agencia como el GT29. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 15/146 En la misma línea, la Agencia indica que la información facilitada no permite al interesado tener una idea clara sobre los datos que se comunicarán a las entidades del Grupo. A este respecto, el citado artículo 13 del RGPD exige informar sobre los destinatarios o categorías de destinatarios de los datos personales, sin mencionar la categoría de datos. Aún así, se informa que se facilitarán los datos identificativos, de contacto y datos transaccionales, para que pueda el interesado recibir ofertas comerciales. Los datos transaccionales se detallan en la descripción de la finalidad 4 (importes de ingresos y gastos, saldos y utilización de nuestros canales). La AEPD lleva a cabo una interpretación del artículo 13 del RGPD que excede de su contenido y de su propia interpretación. Con ello, estaría dictando nuevas directrices sobre el contenido del deber de informar más exigente que el indicado en su Guía, utilizando para ello un procedimiento sancionador en claro perjuicio de BBVA. A este respeto, cita la Sentencia de la Audiencia Nacional de 23/04/2019 (recurso 88/2017), que declaró contrario a los principios del derecho sancionador el establecimiento de criterios generales en el seno de un procedimiento sancionador. También la Agencia considera inadecuada o insuficiente la información facilitada en relación con la finalidad 2 “Conocerte mejor y personalizar tu experiencia”, y señala dicha Autoridad de control que se informa sobre la realización de ofertas personalizadas y la mejora de productos y servicios con base legal en el consentimiento del interesado y en el interés legítimo. Sin embargo, en la descripción de esa finalidad se habla de valorar nuevas funcionalidades, productos y servicios y valorar ofertas personalizadas, pero no se hace alusión a la remisión de ofertas comerciales o publicitarias. La finalidad 2 permite conocer el canal que prefiere el cliente, qué productos tienen un mejor funcionamiento, qué nuevos productos podrían ser interesantes para los clientes, responder a un cliente que se interesa por los productos de la entidad ofreciendo aquellos que se ajustan a sus necesidades. En este sentido, la descripción realizada en la finalidad 2 se refiere únicamente a la realización de un perfilado interno de clientes para personalizar su experiencia o responder más eficientemente a sus solicitudes. La remisión de publicidad, que puede estar basada en dicho perfil, se enmarca en la finalidad 3, cuya base de legitimación es el consentimiento. Sólo la finalidad 2 se refiere al uso del perfil. En este sentido, añade BBVA, las expresiones poco claras e imprecisas a las que se refiere la Agencia, tales como “personalizar tu experiencia”, “ofrecerte productos y servicios personalizados” o “perfil comercial”, son sustancialmente parecidas a las contenidas en el ejemplo de segunda capa de la página 11 de la “Guía para el cumplimiento del deber de informar” de la AEPD: “poder ofrecerle productos y servicios de acuerdo con sus intereses”, “mejorar su experiencia de usuario”, “elaboraremos un perfil comercial”. En definitiva, la finalidad 2 describe los tratamientos para realización de perfiles y su uso no comercial; mientras que la finalidad 3 los tratamientos que, pudiendo aprovechar dicho perfil, conlleva la remisión de ofertas comerciales. Adicionalmente, y en contra de lo señalado por la AEPD, en la finalidad 2 se informa de cómo se elabora el perfil del cliente y que para lograrlo se analizan diferentes datos, que se detallan a continuación, y se expresa la posibilidad de oponerse al tratamiento. Por otra parte, en cuanto a los reparos indicados por la AEPD por no informar sobre los concretos intereses legítimos en que se basa el BBVA para estos tratamientos, advierte que C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 16/146 esa información se incluye en el apartado “¿Por qué razón utilizamos tus datos personales?”, en el que se detallan las bases que legitiman el tratamiento (“… para que desde BBVA podamos atender mejor tus expectativas y podamos incrementar tu grado de satisfacción como cliente al desarrollar y mejorar la calidad de productos y servicios propios o de terceros, así como realizar estadísticas, encuestas o estudios de mercado que puedan resultar de interés… para ser un banco cercano a ti como cliente…”). Por último, manifiesta que la política de privacidad no menciona la existencia de decisiones automatizadas reguladas en el artículo 22 del RGPD dado que no se llevan a cabo. Las decisiones a las que se refiere el apartado relativo a la finalidad 2 no encajarían en el régimen establecido en el artículo 22 del RGPD, toda vez que no producirían efectos jurídicos en los destinatarios de la publicidad que hubiera sido remitida ni podría considerarse que dicha remisión afecte significativamente de modo similar a los clientes. 4. De la existencia de una base jurídica para el tratamiento de los datos de los clientes de BBVA. A) Licitud de los tratamientos de datos realizados sobre la base del interés legítimo prevalente. Como se ha indicado, esta cuestión tiene que ver con los tratamientos que se realizan con la finalidad de “Conocerte mejor y personalizar tu experiencia” (finalidad 2), que en ningún momento se refiere al envío de comunicaciones comerciales que BBVA basa en el consentimiento del interesado. Aquellos tratamientos consisten únicamente en el análisis del comportamiento de los clientes en relación con los canales, productos y servicios ofertados por BBVA para obtener indicadores que le permitirán ajustar adecuadamente su modelo de negocio, desarrollar y mejorar su cartera de productos y servicios, ajustándolos a las preferencias de los clientes, así como la calidad de los servicios. Sólo si cuenta con el consentimiento del interesado, podrá aplicar el resultado de ese tratamiento para la remisión de comunicaciones comerciales a los clientes (finalidad 3). No existe, por tanto, confusión alguna entre ambos tratamientos A este respecto, la Agencia concluye que la base jurídica del artículo 6.1
11. f)del RGPD no es aplicable a estos tratamientos considerando que no se exponen claramente los intereses legítimos de BBVA (a partir de una definición incompleta del interés legítimo contenida en el glosario), no se informa de la evaluación de la prevalencia del interés legítimo y porque la cláusula explicita las expectativas razonables de los interesados que BBVA aprecia que concurren en los mismos. Considera BBVA que ninguno de esos argumentos permite alcanzar la conclusión pretendida por la Agencia debido a que el interés legítimo no fundamenta, como se ha dicho, el envío de comunicaciones comerciales. Además, la información ampliada detalla el interés legítimo de BBVA (atender mejor las expectativas del cliente e incrementar su grado de satisfacción, desarrollar y mejorar la calidad de sus productos y servicios, así como realizar estadísticas, encuestas o estudios de mercado); la AEPD no ha probado que no se haya realizado la prueba de ponderación y la norma no exige que esta información se traslade a los interesados. BBVA considera que no debe ser de conocimiento público. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 17/146 Por otra parte, entiende contradictorio que se objete la ausencia de la ponderación y se considere, al tiempo, excesivo que BBVA explicite qué entiende que los clientes esperan de su entidad financiera, cuál es su expectativa razonable, elemento capital para determinar la prevalencia del interés legítimo de un responsable del tratamiento. En base a ello, entiende la Agencia que dicha expectativa es inducida por BBVA y que los clientes no esperan razonablemente que se utilicen sus datos para mejorar los productos y servicios y mejorar la experiencia del cliente. A este respecto, en un estudio realizado en 2018 por BBVA entre sus nuevos clientes, consultados sobre lo que esperan de la entidad, las primeras respuestas fueron, por este orden, la obtención de un trato personalizado, en buen servicio en la oficina, herramientas y productos sorprendentes o la oferta de productos de ahorro o inversión adaptados (según el documento aportado por BBVA, este resultado corresponde a la pregunta “¿Qué aspectos son para usted más importantes y qué espera recibir de BBVA en esta nueva relación?”). Así, la referencia efectuada en la Política de Privacidad a la expectativa razonable responde al resultado del análisis efectuado por la propia entidad. Entender que la expectativa razonable ha de permanecer oculta, que al ponerla de manifiesto en la cláusula informativa pierde su carácter de expectativa, es contrario a la lógica y perjudica la obligación de garantizar la mayor claridad de la información. En relación con las afirmaciones de la Agencia sobre la posibilidad de que la utilización de los datos con la finalidad de conocer mejor al cliente puede conllevar un análisis exhaustivo sobre el mismo, que se funda en la posible utilización de datos ajenos a los productos contratados, recabados del uso de productos, servicios y canales de BBVA; entiende la entidad que se trata de meras conjeturas que no responden a la realidad de los tratamientos llevados a cabo. BBVA no realiza estos tratamientos, tal y como se expone en la información relacionada con un proyecto de BBVA, denominado “Customer Data Cube”, en el que se indican los datos que se utilizan en el marco de las finalidades basadas en el interés legítimo para realizar modelos predictivos sobre las propensiones de los clientes a determinados productos o recomendaciones, que no guardan relación con la identificación de emisores de las ordenes de cargo o abono ni se tratan de forma agregada, y solo se diferencia si se trata de “recibos básicos” o “recibos no básicos”. Ninguno de esos datos incluye información que no se refiera al comportamiento del cliente en relación con los productos financieros comercializados por BBVA y únicamente se incluye como dato adicional el riesgo referido al cliente, obtenido de la CIRBE. Según el detalle que consta en el documento “Customer Data Cube”, BBVA utiliza las variables que se indican a continuación, las cuales se calculan sobre un período de tiempo determinado, sobre la evolución en un período (porcentaje por diferencia entre períodos de tiempo) o sobre los saldos a una fecha determinada (último día del mes). Además de las variables que identifican al cliente y las sociodemográficas (edad, clasificación nacional de ocupaciones, sección censal, sexo, indicador de empleo, se toman en consideración las variables siguientes (se citan algunos ejemplos): . De vinculación y negocio generales (antigüedad del clientes, categoría, importe y evolución de pasivo y activo…) . Variables de activo: . Saldos, tenencia y antigüedad (importe, evolución, media trimestral, porcentaje amortizado, último vencimiento en préstamo consumo o hipotecario). . Cirbe (riesgo, porcentaje de avales, cartera o leasing; riesgo a largo, a corto; riesgo directo o C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 18/146 indirecto…). . De recursos (importe, evolución y media trimestral en plan de pensiones, fondos, renta variable o fija, seguros de ahorro…). . De transaccionalidad . Tarjetas (importes y media trimestral con tarjeta de crédito o débito en comercios, cajeros…). . Ingresos (importe, tenencia o número de meses de nómina, pensión…). . Cuentas (media mensual, evolución de los líquidos, descubiertos…). . Recibos (importe total en un año de recibos básicos y no básicos, número de recibos en un año, recibos devueltos, media mensual…). . De seguros (prima, tenencia, número de meses de seguro de hogar, vida…). . Empresas (importe, evolución y media de avales; de cartera; cesión de nóminas; comercio exterior; factoring; leasing; pagos certificados; renting…). . Digitalización e interacción del cliente . General (bbvanet; banca_mvl, multicanal) . Uso de canales (días en los que hay eventos de contratación, operación o consulta, según canal -incluido oficina y telefónico). Así, el tratamiento analizado se encuentra vinculado al interés legítimo y permite a BBVA optimizar el modelo de negocio; mejorar la calidad de los productos y servicios ofertados; perfeccionar la gestión interna y la relación personalizada con el cliente; determinar la propensión de los clientes a un determinado producto las preferencias en cuanto a canales a través de los que se relacionan y los colectivos a los que pueden ofrecerse determinados productos (a éstos no se remiten comunicaciones comerciales salvo que hubiesen otorgado su consentimiento conforme a la finalidad 3). En este sentido, considera lógica la existencia de una expectativa razonable de los clientes sobre el tratamiento de sus datos para diseñar productos que pueden redundar en su interés. Además, para ello no se tratan datos de terceros vinculados con el cliente en las transacciones que realiza. Únicamente los datos referidos al comportamiento en relación con los productos y canales, los cuales cumplen el principio de idoneidad y de necesidad. Esta conclusión coincide con el criterio sustentado por la AEPD en su informe 195/2017, emitido a instancia de la Asociación Española de Banca. En el apartado VII analiza la prevalencia del interés legítimo de las entidades financieras para el análisis de los movimientos transaccionales y/o capacidad de ahorro del cliente, para realizar observaciones y ofrecer recomendaciones sobre productos y servicios. Y el mismo informe también se refiere al tratamiento de la totalidad de las transacciones a fin de poder realizar un perfilado más detallado que permita concretar con precisión los productos que deben ofrecerse. Y contempla la adopción de garantías adicionales, como detallar de forma más minuciosa el tratamiento que va a llevarse a cabo, y particularmente, el hecho de que los datos transaccionales van a ser empleados para la elaboración de perfiles y ofrecer al interesado la posibilidad de oponerse específicamente a este tratamiento. Por ello, entiende que la Agencia estaría actuando contra sus propios actos y vulnerando el principio de confianza legítima. Finalmente, sobre esta cuestión, señala que la Agencia conjetura sobre los tratamientos que BBVA estaría realizando, sin disponer de prueba que lo acredite. B) De la licitud de los tratamientos realizados por BBVA sobre la base del consentimiento de sus clientes y la conformidad de dicho consentimiento con las normas de protección de datos.
12. a)Sobre el poder de control del afectado sobre sus datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 19/146 El cliente, desde el mismo momento en que gestiona su alta y mientras mantiene la relación, dispone de un poder y un control absoluto sobre el tratamiento de sus datos, por cuanto se le ofrece la posibilidad de optar y elegir sus preferencias en relación con las operaciones de tratamiento que se llevan a cabo, en cualquier momento y a través de los distintos canales puestos a su disposición presenciales y digitales. Este poder de control es lo que pretende garantizar la normativa y así se ha pronunciado la AEPD. En su reciente documento “Control del usuario en la personalización de anuncios en Android”, al referirse al deber de proporcionar al usuario un control real sobre sus datos personales, y en el documento “Guía sobre el uso de las cookies” cuando afirma “… la necesidad de implantar un sistema en el que el usuario sea plenamente consciente de la utilización de aquellos dispositivos y de la finalidad de su utilización, siendo en definitiva conocedores del destino de sus datos y las incidencias que este sistema implica en su privacidad”. Este resultado es el que se obtiene con los procesos y medios habilitados por BBVA, ajustados a lo dispuesto en el artículo 7.2 del RGPD, en los que el interesado tiene absoluta libertad de elección y control sobre sus datos, se presentan las distintas opciones para los distintos tratamientos y finalidades de forma separada, no remite a documentos que no sean fácilmente accesibles y utiliza una estructura granular a la hora de suministrar la información, promovida por el legislador, la AEPD y el GT29 en sus “Directrices sobre el consentimiento en el sentido del Reglamento (UE) 216/679” en su versión revisada de 10/04/2018. Se respetan, igualmente, las previsiones del Considerando 32, que admite muchas y distintas fórmulas para obtener el consentimiento, en la medida en que quede claro que el interesado acepta la propuesta de tratamiento de sus datos, separadamente para las distintas actividades de tratamiento realizadas con el mismo o mismos fines; así como la prohibición contenida en el artículo 7.4 del RGPD, referida a la supeditación de la ejecución de un contrato a que el afectado consienta el tratamiento de sus datos con finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual; y la referencia del Considerando 43 cuando afirma que “se presume que el consentimiento no se ha dado libremente… cuando el cumplimiento de un contrato, incluida la prestación de un servicio, sea dependiente del consentimiento, aun cuando este no sea necesario para dicho cumplimiento” o a la autorización por separado de las distintas operaciones de tratamientos de datos personales. No existe en el Acuerdo de Inicio ningún reproche a estas cuestiones capitales, de modo que solo parece discutirse la forma en que se ha obtenido el consentimiento.
13. b)Sobre la obtención del consentimiento mediante la realización de una acción afirmativa de los clientes. El GT29, en relación con el carácter inequívoco del consentimiento, se refiere a una acción por parte del afectado que revele un comportamiento, una manifestación de voluntad o, como se dice en el RGPD, “una clara acción afirmativa”, lo que supone que el interesado debe haber actuado de forma deliberada. Por su parte, la “Guía del RGPD para Responsables del Tratamiento” de la AEPD se refiere a una manifestación del interesado o una clara acción afirmativa. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 20/146 A este respecto, señala BBVA que ha optado por esta clara acción afirmativa: . A través de cualquiera de los canales dispuestos, BBVA habilita la firma de la “Declaración de Actividad Económica y Política de Protección de Datos”, que ofrece al interesado las distintas opciones en relación con las finalidades adicionales a la gestión de la relación contractual. La suscripción de este documento es una clara acción afirmativa, que se lleva a cabo con pleno conocimiento del alcance y consecuencias que conlleva (los propios reclamantes han gestionado efectivamente sus preferencias). Además, a través de la aplicación, el interesado tiene a su disposición un procedimiento sencillo para gestionar en todo momento sus preferencias (reclamante 2). . El proceso de alta, a través de canales digitales y presenciales indicados, cumple los requisitos expresados en la “Guía del RGPD para responsables del tratamiento” de la AEPD, que recuerda que el consentimiento “puede ser inequívoco y otorgarse de forma implícita cuando se deduzca de una acción del interesado”. Es más, el Acuerdo de Inicio incurre en contradicción dado que la AEPD, en relación con el reclamante 2, ha considerado válido el proceso en el que el cliente ha marcado alguna de las casillas habilitadas para la prestación del consentimiento, pero no cuando no ha marcado esas casillas y autoriza con su firma el tratamiento de sus datos personales para las finalidades que se ponen a su disposición. La firma ológrafa o digital del documento es una clara acción afirmativa que se lleva a cabo con pleno conocimiento de su alcance, considerando el contenido claro de esas casillas y que, por su posicionamiento, son claramente visibles y directamente accesibles. En el ámbito de la gestión de las cookies o tecnologías similares, la autoridad de control ha admitido como gestiones afirmativas actuaciones tales como navegar en una sección distinta del sitio web que las utilizaría, cerrar el aviso de privacidad de la primera capa o pulsar sobre algún contenido del servicio que se ofrece en la web. En este ámbito, el Documento 02/2013 del GT29 señala que “asegurarse de que el comportamiento activo esté cerca de la ubicación donde se presenta la información es esencial para estar seguro de que el usuario debe remitir la acción a la información solicitada”. La “Guía sobre el uso de las cookies” de la Agencia admite como válido un enlace o botón para administrar preferencias junto con la posibilidad de “aceptar” o “rechazar”, o admite “la pulsación de teclas concretas” como acción afirmativa. De la misma forma, la no marcación de las casillas y la posterior suscripción del precitado documento comportan un “movimiento físico” que puede considerarse como una acción afirmativa clara con arreglo al RGPD, con la que el interesado logra el control sobre sus datos personales. Es más, en el régimen del consentimiento explícito, que refuerza el consentimiento “ordinario” en atención a los tratamientos y datos sometidos al mismo, las Directrices sobre el consentimiento del GT29 admiten como consentimientos explícitos válidos formulas o procesos menos exigentes que el implementado por BBVA. Así, en una declaración escrita, estas Directrices citan un supuesto que podría asimilarse, en el que admite un “si” o un “no” (ejemplo 17: “Un responsable del tratamiento puede obtener también consentimiento explícito de una persona que visita su sitio web ofreciendo una pantalla de consentimiento explícito que contenga casillas de Sí y No, siempre que el texto indique claramente…”). También se cita como ejemplo, en el contexto digital o en línea, aquel en que un interesado puede emitir la declaración requerida rellenando un impreso electrónico, enviando u correo electrónico, cargando un documento escaneado con si firma o utilizando una forma electrónica. . El consentimiento habilitado por BBVA no puede considerarse un consentimiento por omisión o por inacción al existir en todo caso una conducta activa del interesado: en soporte papel inserta la firma en el mismo lugar o teniendo a la vista las opciones que se ofrecen; en el C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 21/146 canal digital, en muchas ocasiones el afectado habrá accedido, navegado por las distintas pantallas habilitadas para gestionar su consentimiento, habiendo optado, o no, por rechazar determinados tratamientos. En este último caso, el proceso comporta la realización de dos acciones: En primer lugar, el afectado dispone de un documento interactivo incluido como hiperenlace en el texto que acompaña a una casilla (“he leído y acepto el tratamiento de datos personales”), cuya marcación es bloqueante para poder continuar con el proceso de alta; el reiterado documento que se utiliza en este canal está configurado en dos capas: una primera que incorpora las casillas objeto de discusión, y una segunda capa con información ampliada; En segundo lugar, tras la recogida de datos personales, el interesado vuelve a tener disponible el documento con el resultado de la acción afirmativa de forma que, de estar conforme, debe proceder a su firma. Por tanto, no hay inactividad o “silencio” que se interprete como un acto de aquiescencia o aceptación, hay una concreta actividad o, cuando menos, la opción de llevarla a cabo. BBVA, ni ningún otro responsable, no puede materialmente asegurar que la firma del cliente tiene lugar después de la lectura pausada de la política de privacidad. No obstante, a fin de garantizar que dicha acción tenga lugar, facilita reiterados e insistentes mensajes recordando esa necesidad, de modo que el interesado es responsable de sus decisiones. Y no puede el responsable completar o sustituir la autonomía de la voluntad del afectado. Tampoco tiene lugar un consentimiento presunto pues no se produce una declaración o acto positivo que suponga la aceptación de la política de privacidad en toda su extensión. El interesado conoce dicha política y opta por elegir sus preferencias ya sea marcando las casillas, ya sea suscribiendo dicha política de privacidad sin marcarlas. No hay inacción, por las mismas razones y tampoco se trata de un supuesto de casillas premarcadas, la continuidad de un servicio o funcionalidad como consecuencia del silencio o la obtención de un consentimiento en el contexto de la aceptación de un contrato o de los términos y condiciones de un servicio. Es más, la suscripción del documento es necesaria para darse de alta como cliente de BBVA, lo que comporta la necesidad de que los clientes accedan a los documentos, opten por cualquiera de las alternativas que se ofrecen y suscriban el documento, manifestando su acuerdo o desacuerdo con las concretas operaciones de tratamiento sometidas a su consentimiento. C) Del consentimiento solicitado por BBVA como reforzamiento del derecho de los clientes en tratamientos que podían estar basados en el interés legítimo prevalente de la entidad. El tratamiento de los datos para la mayoría de finalidades respecto de las que se recaba el consentimiento de los clientes podía haberse fundado por BBVA en la concurrencia del interés legítimo prevalente de BBVA, de modo que la entidad, al recabar el consentimiento de los interesados ha adoptado medidas reforzadas de responsabilidad activa. Se refiere la entidad a las finalidades 3 y 5 de la Política de Privacidad (ofrecer productos y servicios personalizados de BBVA, del Grupo BBVA y de otros; y para mejorar la calidad de los productos y servicios). A este respecto, recuerda el informe 195/2017 de la AEPD, citado en el apartado A) del presente punto 4, cuyos apartados VII y VIII son aplicables al supuesto ahora analizado, referido los tratamientos que una entidad financiera puede amparar en el interés legítimo en relación con finalidades que, a juicio de BBVA, encajan con las enumeradas como 3 y 5 de la información básica contenida en la cláusula informativa. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 22/146 A la vista de lo expuesto en ese informe, cabe concluir que la AEPD considera que, en determinados supuestos y bajo determinadas circunstancias, el tratamiento de datos con la finalidad de conocer las preferencias del cliente y su comportamiento en relación con los productos, así como para el establecimiento de perfiles que permitan la remisión de comunicaciones comerciales personalizadas, se encontraría amparado en el artículo 6.1.
14. f)del RGPD, lo que excluiría la necesidad de que los clientes prestasen su consentimiento. Así, la entidad ha reforzado el poder de disposición de los interesados sobre sus datos personales, permitiendo expresar su negativa u oposición al tratamiento desde el mismo momento de la recogida de sus datos, sin tener que hacer uso del derecho de oposición en un momento posterior. Además, el ejercicio de este derecho debe justificarse en algunos supuestos (“motivos relacionados con su situación particular”), mientras que en la opción ofrecida el cliente se funda en su única y exclusiva voluntad. Por ello, de seguirse el razonamiento del acuerdo de inicio, la AEPD estaría considerando más lesivo solicitar el consentimiento cuando no resulta exigible que informar sobre los tratamientos que la entidad responsable pretende basar en el interés legítimo prevalente. En base a todo lo expuesto en el presente punto 4 de las alegaciones de BBVA, esta entidad concluye que el tratamiento llevado a cabo para la finalidad 2 se encuentra plenamente fundado en el interés legítimo; los realizados para las finalidades 3, 4 y 5 se fundan en el consentimiento otorgado por los interesados con todas las exigencias establecidas; y que en el caso de las finalidades 3 y 5 esa solicitud del consentimiento constituye una medida reforzada de responsabilidad activa adoptada por BBVA. DÉCIMO: Mediante escrito de 02/07/2020, notificado a BBVA el día 6 del mismo mes, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios las reclamaciones interpuestas y su documentación anexa, así como los documentos y declaraciones obtenidos por la Subdirección General de Inspección de Datos en relación con dichas reclamaciones en el trámite de solicitud informativa previa a la admisión a trámite. Asimismo, se tuvieron por presentadas las alegaciones al acuerdo de inicio formuladas por BBVA y la documentación que a ellas acompaña. Por otra parte, se acordó requerir a la entidad BBVA para que en un plazo de diez días hábiles aportase la información y/o documentación siguiente:
15. a)Copia del registro de todas las actividades de tratamiento de datos personales efectuadas bajo la responsabilidad de BBVA a las que se hace mención en el formulario de recogida de datos personales denominado “Declaración de actividad económica y política de protección de datos personales”, en su versión inicial, junto con cualquier adición, modificación o exclusión en el contenido del mismo.
16. b)Copia de la/s evaluación/es del impacto en la protección de datos personales relativa/s a cualquier tipo de operaciones de tratamiento de datos personales efectuadas bajo la responsabilidad de BBVA, de las mencionadas en el formulario “Declaración de actividad económica y política de protección de datos personales”, que entrañen un alto riesgo para los derechos y libertades de las personas físicas, en su versión inicial y, en su caso, con el detalle de las modificaciones o actualizaciones que pudieran haberse realizado. Asimismo, de haberse producido un cambio del riesgo que representen las operaciones de tratamiento y de haberse estimado necesario, se solicitó el resultado del examen que BBVA haya podido realizar C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 23/146 para determinar si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos (artículo 35.11 del RGPD).
17. c)Copia de los documentos en los que conste la evaluación realizada por la entidad BBVA sobre la prevalencia o no de los intereses y derechos fundamentales de los interesados frente a los intereses de BBVA en relación con las operaciones de tratamiento de datos personales efectuadas bajo la responsabilidad de BBVA, de las mencionadas en el formulario “Declaración de actividad económica y política de protección de datos personales”, con las que se pretenda la satisfacción de intereses legítimos perseguidos por la propia entidad BBVA o por un tercero.
18. d)Copia del informe en el que se recogen los resultados del estudio de opinión realizado entre los meses de enero y febrero de 2018 entre nuevos clientes, al que BBVA se refiere en la página 44 de su escrito de alegaciones y el Documento 9 adjunto a dicho escrito. En atención a lo solicitado por BBVA, el plazo concedido fue ampliado en cinco días hábiles. Una vez rebasado el plazo total concedido, con fecha 03/08/2020, se recibió escrito de respuesta al que BBVA acompañó la documentación siguiente: A) Evaluación de impacto en la protección de datos personales de los tratamientos relacionados con la realización de perfilados comerciales. En este documento se indica lo siguiente: “La tecnología es la palanca de cambio para redefinir la propuesta de valor centrada en las necesidades reales de los clientes y ofrecerles una experiencia sencilla, agradable y acorde con sus intereses, sin disminuir la seguridad. En banca minorista el principal cambio está en la manera en la que los clientes acceden a los servicios financieros en el futuro. En canales de acceso, el móvil es fundamental y seguirá creciendo. En este punto, BBVA se replantea la experiencia del usuario, siendo fundamental la confianza de los clientes, para poder ofrecerle productos y servicios “personalizados” en base a sus preferencias, y ayudarle así a tomar decisiones de forma inteligente. Los datos son la base de la economía digital, y el Banco continúa avanzando en la implantación de las distintas recomendaciones y sugerencias del defensor del cliente relativas a la adecuación de los productos al perfil de los clientes y en la necesidad de la información transparente, clara y responsable. En este contexto se enmarcan los tratamientos de datos que se van a analizar en el presente documento, cuya base de legitimación es el interés legítimo de BBVA. No obstante, y para una mejor comprensión, hemos dividido los tratamientos de perfilado de cliente en cuatro módulos: . Tratamientos de datos personales para módulos de propensión y uso de canales. . Tratamientos de datos personales para hechos relevantes. . Tratamientos de datos personales para analítica de negocio, carterización y encuestas. . Tratamientos de datos personales para el módulo “ofrecimientos” e insighst. A continuación se analizan los cuatro módulos mencionados. I.- Descripción del tratamiento para módulos de propensión y uso de canales C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 24/146 Descripción Los datos personales se tratan para el diseño de módulos analíticos de propensión a la contratación de productos y servicios por parte de los clientes de BBVA. Asimismo, se analiza el uso de canales de comunicación con BBVA por parte del cliente, para determinar sus preferencias. Categorías de datos . Identificativos y de contacto: principalmente para validaciones y uso de direcciones para realizar deducciones o inferencias tales como, p. e. estimar que una persona que vive en una zona cara tiene más probabilidades de tener recursos económicos. . Económicos y de solvencia patrimonial, en particular datos de productos y servicios contratados e información derivada de ellos. . Datos transaccionales. . Datos sociodemográficos. . Datos incluidos en los servicios de agregación e iniciación de pagos. . Datos de comunicaciones. . Datos recogidos sobre el uso de canales”. Tanto en el modelo de propensión a la contratación de productos y servicios, como en el relativo a las preferencias de canales, en el apartado “Intervinientes involucrados” se refiere a “titulares activos”; en “Destrucción” se indica “24 meses (profundidad del tratamiento)” y “Datos personales usados en el modelo 10 años x Ley de Prevención de Blanqueo de Capitales”. En el apartado “Descripción sistemática de las operaciones y finalidades de tratamiento” correspondiente a estos tratamientos para módulos de propensión y uso de canales se indica: “Procedimiento para cumplir el deber de información: Se encuentra en el documento de política de protección de datos personales, que es un documento independiente a cualquier contrato, y de obligada firma por el interesado en el momento de hacerse cliente…”. “Procedimiento para la solicitud del consentimiento: No aplica. La base de legitimación es el interés legítimo”. “Procedimiento para el ejercicio de derechos: Se explican todos los canales para el ejercicio de derechos… en el documento de política de protección de datos personales… Este documento está publicado en su versión más reciente en la página web de BBVA… Además, en cualquier oficina (sucursal) de BBVA se puede solicitar su ejercicio”. Apartado “Beneficios para los interesados”: “Estos tratamientos benefician al interesado en cuanto permiten a BBVA ofrecerle mejor servicio desde el conocimiento del cliente en particular, pudiendo proponer diferentes modelos de gestión (un gestor remoto, un gestor presencial o gestores especializados) así como ofrecer al cliente soluciones personalizadas que le ayuden a gestionar mejor sus finanzas”. Apartado “Beneficios para la entidad en general”: “. BBVA puede entender con estos tratamientos qué producto o servicio puede encajar mejor a cada cliente, anticipándose a las necesidades de éste, siendo esta información muy valiosa para la planificación del Banco. . Se trata de una personalización de la tendencia de cada cliente hacia la posible contratación de un determinado producto o servicio, por lo que el Banco se acerca al comportamiento potencial del cliente, y esto le ayuda a entenderlo mejor. . Por otro lado, conocer mejor las preferencias de uso de canales permite a la entidad poder mejorar aquellos que tienen más éxito, mejorar su calidad y plantearse nuevos canales o el cierre de alguno existente”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 25/146 “II.- Descripción del tratamiento para hechos relevantes Descripción Se realiza un análisis comportamental de la actividad de las cuentas y tarjetas de cliente, teniendo en cuenta factores tales como movimientos categorizados por BBVA, frecuencia, periodicidad y recurrencia, lo que nos permite anticiparnos y predecir movimientos y saldos del cliente, con impacto potencial en sus finanzas. Esto se conoce como generación de "hechos relevantes", información muy relevante para el cliente y gracias a este análisis podemos informar a cada uno en particular de los suyos, permitiéndole actuar y tomar decisiones en beneficio de su economía y a su debido tiempo. Categorías de datos . Identificativos y de contacto. . Económicos y de solvencia patrimonial (datos de BBVA sin acudir a fuentes externas) . Datos transaccionales. . CIRBE . Ficheros de solvencia patrimonial y de crédito. Análisis del Tratamiento Contexto (…) Con objeto de atender mejor sus expectativas, y como consecuencia de ello, mejorar su satisfacción con el servicio de BBVA, para fidelizarlo y que deposite en nosotros su confianza, el área de DATA en el Banco trabaja en distintos proyectos. En este contexto interno nace este análisis comportamental que permite la generación de hechos relevantes, ofreciendo una gran "personalización" de las finanzas de cada cliente, adelantándonos a sus posibles necesidades financieras para comunicárselo, y ayudarle así a tomar decisiones de forma más inteligente”. “los hechos relevantes que se generan se pueden comunicar en dos modos diferentes: . Vía mensaje de tipo Push en la aplicación móvil del cliente, o . En un espacio de la aplicación móvil”. En el apartado “Intervinientes involucrados” se refiere a “titulares activos”; en “Uso/tratamiento” se indica “Análisis comportamental para generación de hechos relevantes. Presentación al cliente”; en “Destrucción” se indica “24 meses (profundidad del tratamiento)” y “Datos personales usados en el modelo 10 años x Ley de Prevención de Blanqueo de Capitales”. En el apartado “Descripción sistemática de las operaciones y finalidades de tratamiento” se incluye la misma información sobre procedimiento para cumplir el deber de información, procedimiento para la solicitud del consentimiento y procedimiento para el ejercicio de derechos ya indicada en relación con los tratamientos para módulos de propensión y uso de canales. “Beneficios para los interesados Se trata de realizar análisis sobre las finanzas del cliente orientados a ayudarle con situaciones financieras que le hayan podido pasar desapercibidas, y que podrían tener un impacto en su economía, como podría ser la predicción de un pago que pueda generar un descubierto en su cuenta. También se le podría comunicar un ahorro más alto de lo habitual en sus finanzas, para que sepa que cuenta con más recursos de lo normal. Beneficios para la Entidad en General C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 26/146 El Banco amplía y mejora su cartera de productos, con un claro foco en ofrecer lo que el cliente necesita y en hacerlo con calidad”. “III.- Descripción del tratamiento para analítica de negocio y encuestas Descripción Con objeto de atender mejor las expectativas de los clientes e incrementar su grado de satisfacción, lo que redunda en la mejora de la calidad de productos y servicios, BBVA realiza tratamientos de datos para el análisis de su negocio, lo que le permite tomar decisiones para el fin indicado. Esto implica perfilar al cliente, para conocer mejor nuestra cartera, identificando nichos de clientes con un perfil financiero determinado que puedan ser de mayor o menor interés para la entidad. Se trata de una segmentación por bolsas de valor para BBVA o, internamente, "carterización". Así, cada nicho tiene distintos objetivos y necesidades respecto de sus finanzas, y este conocimiento permite tomar decisiones al negocio. Esto se complementa con la realización de estadísticas, encuestas y en algunos casos, estudios de mercado. Categorías de datos . ldentificativos y de contacto: principalmente para validaciones y uso de direcciones para realizar deducciones o inferencias tales como, p.e. estimar que una persona que vive en una zona cara tiene más probabilidad de tener recursos económicos. . Económicos y de solvencia patrimonial, en particular datos de productos y servicios contratados e información derivada de ellos (datos internos de BBVA). . Datos transaccionales. . Datos sociodemográficos. . Datos recogidos sobre el uso de canales. . Datos de agregación e iniciación de pagos. . Datos de comunicaciones. . Datos sobre ti (uso canales, tus productos y servicios)”. En relación con el “tratamiento de analítica del negocio para satisfacer al cliente y mejora de la calidad de los servicios”, en el subapartado “Intervinientes involucrados” se refiere a “titulares”; en “Uso/tratamiento” se indica “Analítica de seguimiento de negocio”; en “Destrucción” se indica “24 meses (profundidad del tratamiento)” y “Datos personales 10 años x Ley de Prevención de Blanqueo de Capitales”. En relación con el “tratamiento de encuestas para atender las expectativas de los clientes y mejorar su satisfacción con BBVA”, en el subapartado “Intervinientes involucrados” se refiere a “titulares”; en “Uso/tratamiento” se indica “Encuestas para mejorarla satisfacción del cliente”; en “Destrucción” se indica “24 meses (profundidad del tratamiento)” y “Datos personales 10 años x Ley de Prevención de Blanqueo de Capitales”. En el apartado “Descripción sistemática de las operaciones y finalidades de tratamiento” se incluye la misma información sobre procedimiento para cumplir el deber de información, procedimiento para la solicitud del consentimiento y procedimiento para el ejercicio de derechos ya indicada en relación con los tratamientos para módulos de propensión y uso de canales. “Beneficios para los interesados La analítica de negocio y las encuestas están orientadas a tener un mejor conocimiento del perfil del cliente, lo que nos permite mejorar la cartera de productos e incrementar la calidad de los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 27/146 servicios. Esto redunda en una mayor satisfacción de los clientes con BBVA. Beneficios para la Entidad en General La entidad fideliza a los clientes, se gana su confianza con productos que interesan más y son de mejor calidad”. IV.- Descripción del tratamiento para el módulo "Ofrecimientos" (modo reactivo y modo proactivo) e lnsights “Descripción En el Contact Center se realizan acciones comerciales con los clientes que llaman para preguntar por sus dudas o inquietudes. Dichas acciones se llevan a cabo durante la llamada del cliente, siempre después de atender la cuestión por la que éste ha contactado. . Modo reactivo: cuando es el cliente quien muestra interés en otro u otros productos o servicios, y pregunta al agente. Éste entra en el módulo "ofrecimientos" de la plataforma Nácar, que contiene la base de datos de clientes, y que funciona en modo online. Este módulo carga en ese momento y en función del perfil de ese cliente en particular, después de pasar filtros por la marca Robinson, los productos y servicios que podrían ser de interés para ese cliente, por el perfilado que le hace. . Modo proactivo: el agente entra en el módulo "ofrecimientos" de Nácar, que pasa filtros por la marca Robinson, y le presenta en pantalla la información que ha cargado en función del perfilado de ese cliente, sobre los productos y servicios que podrían ser de interés para dicho cliente. En este caso, es el agente quien se los ofrece al cliente proactivamente. No obstante, en este análisis se excluye la posible actividad comercial posterior, limitándose al tratamiento de datos personales para el perfilado que en el módulo "ofrecimientos" se realiza. Categorías de datos Tanto en el modo reactivo como el proactivo, el módulo "Ofrecimientos" trata las mismas categorías de datos personales, que son las siguientes: . Datos identificativos. . Datos económicos y de solvencia patrimonial (información de BBVA, sin acudir a fuentes externas), datos de productos y servicios contratados. . Datos transaccionales. . Datos sociodemográficos. . Datos uso de canales”. En relación con el “tratamiento para ofrecimiento de productos y servicios en contac center a clientes” se indica: . “Intervinientes involucrados”: “Clientes Contac center”; . “Uso/tratamiento”: <<El agente del proveedor entra en la ficha de cliente, “llama” al módulo “ofrecimientos” y si no es Robinson de manera reactiva o proactiva le ofrece alguno de los productos o servicios que le muestra la pantalla. Si el cliente decide contratar, el agente accederá al proceso de contratación correspondiente”; . “Destrucción” se indica “24 meses (profundidad del tratamiento)” y “Datos personales 10 años x Ley de Prevención de Blanqueo de Capitales”. En el apartado “Descripción sistemática de las operaciones y finalidades de tratamiento” se incluye la misma información sobre procedimiento para cumplir el deber de información y procedimiento para el ejercicio de derechos ya indicada en relación con los tratamientos para módulos de propensión y uso de canales. Sobre el “procedimiento para la solicitud del consentimiento” se indica “No aplica. No es objeto de análisis de este documento la posible C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 28/146 actividad comercial y el tratamiento de datos personales que conlleva y que requiere consentimiento”. “Beneficios para los interesados Los clientes que estén interesados en contratar un servicio o producto no tienen que esperar a que el agente valore sus necesidades y preferencias, porque el perfilado ya lo ha hecho, facilitando la contratación, ya que se puede realizar durante la llamada, y ahorrando tiempo al cliente. Beneficios para la Entidad en General El Banco maximiza su potencial de venta aprovechando la interacción del cliente con BBVA”. En el apartado “Análisis de la necesidad del tratamiento” se indica: “. Legitimación: por interés legítimo. Justificación: ver informe de ponderación del interés legítimo donde se justifican detalladamente”. Por otra parte, en este documento, en relación con todos los módulos expuestos, se identifican, entre otras, las siguientes medidas para la reducción del riesgo: “. Transparencia de los procedimientos: Cláusula de tratamiento de datos personales de clientes vigente. . Ejercicio de derechos: Procedimiento interno de respuesta a ejercicio de derechos; informado en las cláusulas de tratamiento de datos personales. . Ausencia de legitimidad en el tratamiento: Análisis de ponderación sobre interés legítimo para realizar perfilados de riesgos”. B) Evaluación de impacto en la protección de datos personales de los tratamientos relacionados con la realización de perfilados de riesgo. En este documento se analizan tratamientos que responden a modelos regulatorios y aquellos que responden a modelos analíticos. Se omite la reseña de los primeros y se destacan a continuación los aspectos principales de los modelos analíticos: “La entidad debe cumplir con determinadas obligaciones normativas relativas al denominado crédito responsable y de control de riesgo financiero. Ello supone una continua evaluación de la solvencia financiera de sus clientes mediante el tratamiento de los datos personales que más adelante se detallan, y que como resultado asigna un límite de potencial de endeudamiento a cada cliente, en modo dinámico. Con esta finalidad de evaluación continua de la solvencia de sus clientes, BBVA genera y aplica a los mismos sistemas y algoritmos (modelos analíticos) que permiten prever o predecir el cumplimiento del cliente frente a la posible contratación de un producto de activo (normalmente préstamos), definiendo unos parámetros de concesión y puntos de cortes para decidir, en su caso, qué financiación puede ser la idónea para el cliente particular y qué cuantías máximas podría asumir sin ver comprometida su estabilidad financiera. De esta forma, el Banco otorga al consumidor la posibilidad de acceder a financiaciones óptimas en relación a su solvencia particular, redundando todo ello en mejores condiciones crediticias, en un acceso rápido a líneas de financiación y en una particularización o personalización de estas líneas de crédito, minimizando las situaciones de incumplimiento. La aplicación de estos modelos analíticos permite, además, a la entidad mantener unos umbrales de riesgo convenientemente establecidos, lo que evitaría, como ya se indicaba, una posible C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 29/146 desestabilización financiera de la compañía y por ende, potencialmente del sistema financiero español”. “… el despliegue de modelos de riesgo por parte de BBVA redunda en la obtención de una información completa de las circunstancias que concurren en un potencial prestatario, actuando el sistema como herramienta esencial para garantizar el cumplimiento de los principios de crédito responsable impuestos por la… legislación”. “Categorías de datos Las categorías de datos personales tratados para la creación y gestión de modelos de riesgo analíticos son: . Identificativos. . Económicos y de solvencia patrimonial, en particular datos de productos y servicios contratados. . Datos transaccionales. . Datos sociodem ográficos. . Central de Información de Riesgos del Banco de España (CIRBE). . Ficheros de solvencia y crédito”. En relación con el “tratamiento para modelos analíticos” se indica: . “Intervinientes involucrados”: “titulares y garantes”; . “Uso/tratamiento”: “Tratamiento de perfilado predictivo económico de cliente”; . “Destrucción” se indica “Resultado del modelo: mensual”; “Los datos para la elaboración del modelo: 10 años x Ley de Prevención de Blanqueo de Capitales”. En el apartado “Descripción sistemática de las operaciones y finalidades de tratamiento” correspondiente a estos tratamientos para módulos de propensión y uso de canales se indica: “Flujos de datos entre sistemas del modelo analítico: proactivos pasivos y motor de límites proactivos los datos provienen interna e íntegramente de los sistemas de información de BBVA y de solvencia de crédito externos. Procedimiento para cumplir el deber de información: Se encuentra en el documento de política de protección de datos personales, que es un documento independiente a cualquier contrato, y de obligada firma por el interesado en el momento de hacerse cliente…”. “Procedimiento para la solicitud del consentimiento: No aplica. La base de legitimación en los modelos de riesgo analíticos es el interés legítimo”. “Procedimiento para el ejercicio de derechos: Se explican todos los canales para el ejercicio de derechos… en el documento de política de protección de datos personales… Este documento está publicado en su versión más reciente en la página web de BBVA… Además, en cualquier oficina (sucursal) de BBVA se puede solicitar su ejercicio”. “Beneficios para los interesados Modelos Analíticos: el principal resultado es, generalmente, la preconcesión de operaciones de crédito, incluyendo la delimitación del importe y plazo de devolución, lo que facilita la disposición y reduce la documentación necesaria para la tramitación, en caso de que el interesado solicite efectivamente la contratación, lo que redunda en una mayor rapidez y comodidad para el contratante. Beneficios para la Entidad en General . Permite medir y gestionar los riesgos como base de solvencia de la entidad. . Además, asegura el cumplimiento normativo. . Sumado a otras variables, el Banco puede cumplir con su obligación de proporcionar un crédito responsable a sus clientes, en beneficio de la sociedad y del sistema bancario”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 30/146 En el apartado “Análisis de la necesidad del tratamiento. Justificación” se indica: “Modelos de riesgos analíticos: ver informe de ponderación del interés legítimo donde se justifican detalladamente”. Por otra parte, se identifican, entre otras, las siguientes medidas para la reducción del riesgo: “. Transparencia de los tratamientos: Cláusula de tratamiento de datos personales de clientes vigente. . Ejercicio de derechos: Procedimiento interno de respuesta a ejercicio de derechos; informado en las cláusulas de tratamiento de datos personales de los clientes. . Ausencia de legitimidad en el tratamiento: Análisis de ponderación sobre interés legítimo para realizar perfilados de riesgos”. C) Informe de ponderación de la prevalencia del interés legítimo en los tratamientos a los que se refiere la finalidad numerada como 2 en el apartado “¿Para qué finalidades los usaremos?”, contenido en el formulario de recogida de datos personales “Declaración de actividad económica y política de protección de datos personales”. 1. Después de una breve introducción, en la que se hace mención al artículo 6.1
19. f)del RGPD y sus Considerandos 47 a 49; al “Dictamen 6/2014, sobre el concepto de interés legítimo del responsable del tratamiento de datos en virtud del artículo 7 de la Directiva”, del Grupo de Trabajo del artículo 29 de la Directiva 95/46/CE, emitido el 09/04/2014; y el Informe 195/17, emitido por el Gabinete Jurídico de la AEPD, de fecha 24/07/2017; se añade lo siguiente: <<Por medio del presente documento (en adelante, el "Informe") se procede a la ponderación del interés legítimo como base jurídica de los tratamientos que se describen a continuación. 2. Descripción de la actividad de tratamiento 2.1. Referencia al reflejo del tratamiento en el Registro de Actividades de Tratamiento (en adelante, "RAT") de BBVA Los tratamientos analizados en el presente informe aparecen recogidos en el RAT de BBVA con las siguientes finalidades del tratamiento: . Asignación límites preconcedidos . Aplicación perfil . Modelos de Propensión . Contact Center - Módulo de ofrecimientos . Hechos Relevantes e insights . Análisis y propuestas de rentabilización de cartera de tarjetas 2.2. Finalidad perseguida por el tratamiento La actividad de tratamiento analizada en el presente Informe tiene como finalidad la configuración por BBVA de modelos analíticos para, a través de modelos de propensión, tener un mejor conocimiento de sus clientes, pudiendo así optimizar su modelo de negocio, ofrecer una atención más personalizada a aquellos y determinar sus preferencias, a fin de mejorar la calidad de los productos y servicios ofertados y realizar las mejores sugerencias acerca de los mismos, que podrían ser posteriormente comunicadas -únicamente a los clientes que así lo hubieran consentido- a través de los distintos medios de interacción con la Entidad. Estas sugerencias pueden no referirse únicamente a productos financieros sino, por ejemplo, a la forma de interactuar con la entidad (e.g. en caso de que el cliente sea usuario habitual de los canales digitales se podría sugerir la no recepción de envíos postales). C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 31/146 De este modo, el mencionado tratamiento tiene como objeto el análisis del comportamiento de los clientes y de su interacción con BBVA en relación con los canales, productos y servicios ofertados por la Entidad, lo que exigirá igualmente conocer su nivel de riesgo financiero. A partir de dicha información, BBVA podrá obtener distintos indicadores que le permitirán ajustar adecuadamente su modelo de negocio, determinando modelos de propensión de sus clientes hacia determinado tipo de productos y servicios o hacia la utilización de distintos canales de interrelación con el Banco, ofreciéndoles un trato más personalizado mediante la aplicación del modelo. Por tanto, la actividad de tratamiento examinada se limita a analizar el comportamiento de los clientes de BBVA, sin llevar a cabo ninguna actividad de tratamiento adicional que implique interrelación con dichos clientes. Como se ha indicado, este tratamiento únicamente supondría el mejor conocimiento del cliente mediante la generación y aplicación del modelo analítico, pero en ningún caso supondrá la realización de comunicaciones comerciales a los clientes. Sólo una vez generados los mencionados modelos y realizado por tanto el tratamiento analizado en el presente informe, BBVA podría realizar un tratamiento de datos, diferenciado de aquél, que consistiría en la remisión de dichas comunicaciones comerciales de los productos y servicios de la Entidad, en su caso. 2.3. Delimitación de los colectivos de afectados y de los datos objeto de tratamiento Los datos personales tratados para la realización de la actividad de tratamiento objeto del presente Informe son los relativos a los clientes de BBVA, entendiendo por tales aquéllos que mantienen con la Entidad un contrato en vigor. En cuanto a los datos sometidos a tratamiento, incluye los referidos a categorías que son previamente objeto de tratamiento por BBVA al amparo del artículo 6.1
20. b)del RGPD, al derivarse de las relaciones contractuales que el cliente ya mantiene con BBVA como consecuencia de la contratación de otros productos o servicios o de su interacción con la Entidad con ocasión del desarrollo de la relación contractual. Estos datos serían los siguientes: i. Datos ldentificativos y de contacto, tales como el nombre, apellidos, fotografía, DNI, pasaporte o NIE, nacionalidad, direcciones postales, direcciones electrónicas, teléfono fijo, teléfono móvil, voz e imagen. ii. Datos económicos y de solvencia patrimonial, tales como ingresos netos mensuales, saldo medio en cuentas, saldo de activo, recibos domiciliados, nómina domiciliada, ingresos y gastos, así como los relacionados con la calificación financiera del cliente. iii. Datos transaccionales de forma categorizada, tales como saldos medios, ingresos medios, número de recibos domiciliados, número de recibos referidos a la prestación de servicios básicos, tipología de movimientos de cuentas y tarjetas. No se incluirían los datos referidos a los textos de los recibos por inferencia desde el detalle de movimientos de cuentas y tarjetas (como por ejemplo, origen, destino, concepto y tercero relacionado con la transacción). iv. Datos sociodemográficos, tales como edad, estado civil, situación familiar, residencia, estudios y ocupación (tipo de contrato, antigüedad en el empleo) o pertenencia a colectivos. v. Datos de productos y servicios contratados, tales como número de contrato, límite asociado a los productos contratados, tipología de productos y servicios contratados, datos de contrato (atributos asociados al contrato), riesgo con BBVA, así como cualquier documentación asociada a cualquiera de estos contratos. vi. Datos de comunicaciones y del uso de los canales que BBVA pone a disposición del cliente para la gestión de los productos y servicios. vii. Datos sobre el uso de los canales digitales de BBVA, viii. Datos resultantes de estadísticas y estudios de mercado llevados a cabo por BBVA. ix. Datos estadísticos sociodemográficos procedentes del Instituto Nacional de Estadística (en adelante, "INE"), obtenidos conforme a lo dispuesto en al artículo 21.1 de la Ley 12/1989, de 9 mayo, reguladora de la Función Estadística Pública (en adelante, "LFEP"). x. Datos obtenidos de la Central de Información de Riesgos del Banco de España (en adelante, C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 32/146 "CIRBE"), regulada por el Capítulo VI de la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero (en adelante, "LMRSF"). xi. Datos obtenidos de ficheros de solvencia patrimonial y crédito, actualmente regulados por el artículo 29 de la Ley Orgánica 15/ 1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Los datos utilizados para la aplicación de los distintos perfiles vendrán referidos a los últimos veinticuatro meses. Los datos no serán comunicados a ningún tercero (ni siquiera a otras empresas del Grupo), permaneciendo en todo caso en los sistemas de BBVA. 2.4. Modo en que se tratarán los datos y posibles transmisiones o comunicaciones de los mismos. BBVA procederá al tratamiento de los datos a los que se ha hecho referencia en el punto anterior con la finalidad de obtener algoritmos cuya configuración se determina mediante el análisis de tres fases sucesivas a fin de garantizar la mejora y ajuste sucesivo del resultado arrojado en relación con los distintos clientes: i. La determinación general de la relación de los clientes tanto con los productos y servicios de BBVA como con sus canales de comunicación (web, App, postal y oficinas), así como su nivel de riesgo financiero (exclusivamente en relación con la posible oferta de créditos preconcedidos), que se establece utilizando modelos de propensión diseñados internamente a partir de distintos modelos matemáticos ejecutados sobre estudios probabilísticos. Para ello se utilizan los datos de los clientes mencionados en el apartado 2.2. ii. El comportamiento digital del usuario, con el que se completan y ajustan las recomendaciones. iii. El resultado se optimiza con la inclusión del valor esperado de la hipotética contratación por cada cliente. De este modo, puede tenerse un conocimiento más amplio acerca de la aceptación de la cartera de productos y servicios de BBVA por sus clientes. Adicionalmente, obtenido el mencionado algoritmo, BBVA procedería a un tratamiento diferenciado, consistente en su aplicación con la finalidad de dirigir a aquellos clientes que hubieran prestado su consentimiento para ello con arreglo a lo establecido en la política de privacidad, y únicamente a este colectivo, ofertas de productos o servicios de BBVA o comercializados por el mismo. Finalmente, el proceso de obtención de los algoritmos es evaluado y validado periódicamente por el propio departamento encargado de la configuración de los modelos, dándose un control exhaustivo sobre los outputs del algoritmo. 3. Descripción del interés legítimo al que responde el tratamiento Con carácter general, el interés legítimo perseguido por el tratamiento consiste en lograr un mejor conocimiento de los clientes y mejorar la cartera de productos y servicios BBVA, mediante modelos analíticos de perfilado. Como ya se ha indicado, los modelos son desarrollados por BBVA y los datos resultantes de su aplicación no son comunicados a ningún tercero, pertenezca o no al Grupo BBVA. En este sentido, la política de privacidad de BBVA y la cláusula informativa facilitada a los clientes señalan que este tratamiento tendrá por objeto "atender mejor (las) expectativas" del cliente e "incrementar (
21. su)grado de satisfacción como cliente al desarrollar y mejorar la calidad de productos y servicios propios o de terceros, así como realizar estadísticas, encuestas o estudios de mercado que puedan resultar de interés". De este modo, a través del mencionado tratamiento se pretende satisfacer el interés legítimo de BBVA consistente en llevar a cabo el estudio de la interacción de los clientes de la Entidad con sus productos y servicios, lo que permitirá determinar: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 33/146 . Cómo optimizar el modelo de negocio del BBVA. . Cómo mejorar la calidad de los productos y servicios ofertados por BBVA. . Cómo perfeccionar la gestión interna y la relación personalizada con el cliente. . Cuál es el modelo de propensión de los clientes hacia un determinado producto o servicio. . Cuáles son sus preferencias en cuanto a los canales a través de los que se relacionan con BBVA. . A qué colectivos de usuarios que hubieran dado su consentimiento para ello podrían ofrecerse determinados productos o servicios específicos de la cartera de BBVA. Debe tenerse en cuenta que el tratamiento analizado puede identificarse con la que fue objeto de análisis por parte de la AEPD en su informe 195/17, dado que el mismo se refiere en su apartado VII a la posible prevalencia del interés legítimo de las entidades financieras para el tratamiento de datos consistente en el "análisis de los movimientos transaccionales y/o capacidad de ahorro del cliente, para realizar observaciones y ofrecer recomendaciones sobre productos y/o servicios de la entidad bancaria en beneficio de una mejor gestión de las finanzas de los clientes", a fin de facilitar al cliente, a partir de dicho análisis información "sobre los productos o servicios que más se ajustasen a su perfil con la finalidad de maximizar el rendimiento que pudiera obtener éste último u ofrecerle los mejores precios en productos o servicios que tuviera contratados o pudiera contratar en el futuro". El citado informe, antes de analizar el supuesto en cuestión, se refiere a otros dos ya analizados con anterioridad, en que reconocía el interés legítimo prevalente para la realización de determinados tratamientos… Por otra parte, en lo que respecta a la determinación del nivel de riesgo del cliente, es preciso poner de manifiesto que el análisis del mismo únicamente se llevará a cabo con la finalidad de conocer cuál puede ser el umbral de crédito del interesado, sin que la información acerca del cumplimiento de sus obligaciones dinerarias sea incluida para el análisis del resto del perfil del cliente. Dicho lo anterior, esta determinación se encuentra directamente vinculada al mejor conocimiento del cliente y al ofrecimiento a aquél de un trato personalizado, que exige necesariamente que BBVA pueda conocer adecuadamente el mencionado nivel de riesgo ante la eventual solicitud por aquél de productos de crédito. Este tratamiento resulta necesario para dar pleno cumplimiento a las obligaciones de cumplimiento de los principios de crédito responsable y de control del riesgo crediticio. Estas obligaciones aparecen ya recogidas en la Ley 2/2011, de 4 de marzo, de Economía Sostenible, cuyo artículo 29.1 establece… El artículo 29.2 de la Ley facultaba al Ministro de Economía y Hacienda para, entre otras previsiones, adoptar en el plazo de seis meses… Esta habilitación se ejerció mediante la aprobación de la Orden EHA/2899/2011, de 28 de octubre, de transparencia y protección del cliente de servicios bancarios, cuyo artículo 18.1 impone a las entidades de crédito, antes de que se celebre cualquier contrato de crédito o préstamo, la obligación de “ evaluar la capacidad del cliente para cumplir con las obligaciones derivadas del mismo, sobre la base de la información suficiente obtenida por medios adecuados a tal fin, entre ellos, la información facilitada por el propio cliente a solicitud de la entidad", para lo que “deberán contar con procedimientos internos específicamente desarrollados para llevar acabo la evaluación de solvencia mencionada en el párrafo anterior. Estos procedimientos serán revisados periódicamente por las propias entidades, que mantendrán registros actualizados de dichas revisiones". El apartado 2 del citado artículo 18 regulaba el alcance de estos procedimientos… Por su parte, las obligaciones derivadas del principio de concesión del crédito responsable por parte de las entidades financieras han sido posteriormente desarrolladas por la normativa reguladora de los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 34/146 contratos de crédito. Así, el artículo 14 de la Ley 16/2011, de 24 de junio, de contratos de crédito al consumo regula la obligación de evaluación de la solvencia del consumidor… Finalmente, el artículo 34.1, párrafo segundo, de la precitada Ley recuerda que "el incumplimiento de las disposiciones relativas a (...) la obligación de evaluar la solvencia del consumidor prevista en el artículo 14, siempre que no tengan carácter ocasional o aislado, se considerarán como infracciones graves, pudiendo ser en su caso consideradas como infracciones muy graves atendiendo a los criterios previstos en el artículo 50 del citado Texto Refundido (de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo 1/2007, de 16 de noviembre)". Lo anteriormente citado y descrito pone de manifiesto que la valoración del riesgo de sus clientes por parte de BBVA redunda en la obtención de una información completa de las circunstancias que concurren en los mismos, actuando el sistema como herramienta esencial para garantizar el cumplimiento de los principios de crédito responsable impuestos por la precitada legislación, de forma que en cualquier relación del Banco con el cliente pueda ser tenida en cuenta esta circunstancia en el trato personalizado con aquél. De todo lo antedicho cabe apreciar la existencia de un interés legítimo de BBVA en la configuración de los modelos analíticos en que consiste el tratamiento. 4. Juicio de idoneidad y necesidad del tratamiento para la satisfacción del interés legítimo Conforme a reiterada jurisprudencia del TC (por todas, STC 207/1996) "para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres siguientes requisitos o condiciones: «si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)". Dado que el juicio de proporcionalidad será el resultante del presente Informe, se analizará ahora la idoneidad y necesidad del tratamiento. 4.1. Idoneidad El tratamiento de los datos de los clientes detallados en el apartado 2.2 de este informe para la generación de modelos analíticos de propensión resulta adecuado, y por tanto idóneo, para el mejor conocimiento de los intereses y preferencias de sus clientes a fin de ofrecerles un trato personalizado y mejorar la calidad de sus productos y servicios. Se garantiza así la mejor gestión comercial de la entidad y la optimización de las políticas de comercialización de dichos productos y servicios. 4.2. Necesidad Del mismo modo, el tratamiento de los citados datos resulta imprescindible para que la Entidad pueda llevar a cabo una gestión adecuada y eficaz de sus recursos, adelantándose a las necesidades de los clientes, que podrán ver atendidas sus necesidades presentes y futuras en relación con productos de activo y de pasivo que puedan ajustarse a sus necesidades y situación financiera. 5. Ponderación del interés legítimo y el cumplimiento del principio de proporcionalidad en el tratamiento de dato