1/10 968-150719 Procedimiento Nº: PS/00076/2020 RESOLUCIÓN R/00387/2020 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00076/2020, instruido por la Agencia Española de Protección de Datos a BANKIA, S.A., vista la reclamación presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 8 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANKIA, S.A.. Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 5 de agosto de 2020 se emitió la propuesta de resolución que a continuación se transcribe: << Procedimiento nº: PS/00076/2020 Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 20 de septiembre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANKIA, S.A. con NIF A14010342 (en adelante, el reclamado). Los motivos en que basa la reclamación son sus datos personales permanecían en los ficheros de la entidad pese a haber dejado de ser cliente hace 16 años. El reclamante manifiesta que hace más de 16 años dejó de ser cliente de Caja Madrid, Bankia y por razones personales, ha tenido que hacerse cliente nuevamente para solucionar un tema de una herencia. Al llevar a cabo dicha gestión, en la oficina de BANKIA le han comunicado que sigue siendo cliente, con nº interno ***CLIENTE.1 con datos que figuraban a una dirección de 2002. Para poder solventar, los asuntos que le llevaban a ponerse en contacto nuevamente con BANKIA, ha procedido a modificar los datos relativos a su persona, en una oficina de dicha entidad pero no han sabido explicarle por qué sin tener ningún producto contratado, ni tarjeta de débito/crédito, cuenta corriente, de ahorro o de valores, seguían teniendo sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 Por este motivo, presenta denuncia ante este Organismo porque no comprende cómo es posible que hayan conservado sus datos durante tanto tiempo, sin ser cliente. . SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 5 de noviembre de 2019, fue trasladada a la entidad reclamada la reclamación presentada por el reclamante, para su análisis, así como para que informase a este Organismo sobre si se había puesto en comunicación con el reclamante, y la decisión adoptada al respecto para solventar la situación planteada. La reclamada manifiesta que los datos permanecen bloqueados conforme a la normativa de protección de datos que permite su mantenimiento en esta situación en la que no están accesibles. TERCERO: Con fecha 8 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- b)del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, manifiesta en primer lugar, la indefensión producida como consecuencia de la fijación del importe de la sanción en el acuerdo de inicio, pese a que no ha tenido ocasión en ningún momento de poner de manifiesto ante el citado órgano cuáles pudieran ser las circunstancias que podrían resultar aplicables en el presente caso. En segundo lugar, manifiesta además que ha aprobado, con ocasión de la plena aplicación del RGPD, un documento denominado “Política de conservación de la información de Bankia, S.A.” (en adelante, la “Política”), que tiene como objetivos: la determinación de la normativa interna básica en materia de conservación de la información, el establecimiento de la obligación de conservar la información durante los plazos exigidos en cada caso, determinados en dicho documento, la fijación de las medidas esenciales de conservación de la información para garantizar la seguridad de esta y proporcionar un marco básico de regulación interna que facilite una toma de decisiones adecuada en situaciones relacionadas con la conservación de la información. Esta Política se actualizó y aprobó nuevamente mediante acuerdo del Consejo de Administración de 31 de marzo de 2020, y en ella se determinan los distintos plazos de conservación y bloqueo aplicables a los datos personales de los interesados. En concreto, de conformidad con las disposiciones de la Política, BANKIA procede al bloqueo de los datos personales de sus clientes una vez se cancelan los distintos productos o servicios contratados por aquéllos, mediante la identificación y reserva de sus datos, adoptando medidas técnicas y organizativas para impedir su tratamiento, incluyendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y sólo por el plazo de prescripción de las mismas, lo que resulta plenamente coincidente con lo establecido en el artículo 32 de la LOPDGDD. QUINTO: Con fecha 2 de julio de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, en el expediente E/10272/2019, así como los documentos aportados por el reclamado. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: el reclamante denuncia que sus datos personales han sido conservados por la entidad financiera reclamada pese a haber dejado de ser cliente hace 16 años. SEGUNDO: el 5 de noviembre de 2019, se dio traslado a la entidad reclamada de la reclamación presentada por el reclamante, para su análisis, así como para que informase a este Organismo sobre si se había puesto en comunicación con el reclamante, y la decisión adoptada al respecto para solventar la situación planteada. TERCERO: 20 de diciembre de 2019, la entidad reclamada, no solventa la situación, alegando que los datos permanecen bloqueados conforme a la normativa de protección de datos que permite su mantenimiento en esta situación mientras no están accesibles. CUARTO: el 31 de marzo de 2020, la entidad reclamada ha procedido a la actualización de la Política de conservación de la información de Bankia, S.A. y solventar los hechos objeto de esta reclamación. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” Asimismo, en el artículo 32 de la LOPDGDD, se regula el bloqueo de los datos, estableciéndose lo siguiente: “1. El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión. 2. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior. 4. Cuando para el cumplimiento de esta obligación, la configuración del sistema de información no permita el bloqueo o se requiera una adaptación que implique un esfuerzo desproporcionado, se procederá a un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no manipulación de los datos durante el mismo. 5. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, dentro del ámbito de sus respectivas competencias, podrán fijar excepciones a la obligación de bloqueo establecida en este artículo, en los supuestos en que, atendida la naturaleza de los datos o el hecho de que se refieran a un número particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera generar un riesgo elevado para los derechos de los afectados, así como en aquellos casos en los que la conservación de los datos bloqueados pudiera implicar un coste desproporcionado para el responsable del tratamiento.” III Se considera probado que la entidad reclamada conservaba en sus registros los datos personales del reclamado, pese a haber transcurrido 16 años desde su última relación comercial, ya que disponía de los mismos cuando el reclamante acudió nuevamente a dicha entidad financiera para contratar un nuevo servicio financiero en septiembre de 2019. Por lo tanto, se imputa al reclamado la comisión de una infracción por vulneración del artículo 5.1.
- b)del RGPD, que regula el principio de limitación de la finalidad, estableciendo que los datos personales serán recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines, así mismo se establece también la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. IV En respuesta a las alegaciones presentadas, hay que señalar que la Agencia Española de Protección de Datos, el 5 de noviembre de 2019, dio traslado a la entidad reclamada de la reclamación presentada por el reclamante, para su análisis, así como para que informase a este Organismo sobre si se había puesto en comunicación con el reclamante, y la decisión adoptada al respecto para solventar la situación planteada. Pese a ello, la reclamada manifestó que los datos permanecían bloqueados conforme a la normativa de protección de datos que permite su mantenimiento en esta situación mientras no están accesibles, no solventando el problema ni actualizando su política de conservación de datos, hasta marzo de 2020. En este sentido, hay que señalar que tal y como se ha indicado en el fundamento de derecho II, el artículo 32.2 de la LOPDGDD, establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 “El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos. “ Por lo tanto los datos bloqueados no pueden estar accesibles a los trabajadores de las oficinas de las entidades financieras, y sin embargo así ha sido en este caso, tal y como ha quedado constatado. Cuando se habla de datos bloqueados en el mencionado artículo, se quiere decir que sólo pueden estar accesibles a jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos. Por otro lado, hay que señalar, en relación a sus alegaciones de indefensión, que en el artículo 64 de la ley 39/2015 se establece respecto de los acuerdos de inicio de los procedimientos de naturaleza sancionadora lo siguiente: “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos:
- a)Identificación de la persona o personas presuntamente responsables.
- a)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
- c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
- d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
- e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56.
- f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación no existan elementos suficientes para la calificación inicial de los hechos que motivan la incoación del procedimiento, la citada calificación podrá realizarse en una fase posterior mediante la elaboración de un Pliego de cargos, que deberá ser notificado a los interesados.” Asimismo para poder aplicar el artículo 85 de la ley 39/2015, al que hace alusión el citado artículo 64.2
- d)de dicho texto legal, ante sanciones de carácter pecuniario, el infractor podrá beneficiarse de una reducción del 20 o 40% de la sanción, por reconocimiento de la responsabilidad, por pronto pago, o ambas, por lo que para ello, es imprescindible establecer una cuantía, ya que si no se impone la cuantía de la sanción, no podrían cumplirse las normas procedimentales establecidas en la ley 39/2015. Debe tenerse en cuenta, no obstante, que esto no impide que se finalice el procedimiento con una resolución que establezca una multa diferente a la del acuerdo de inicio, si se aportasen a lo largo del procedimiento pruebas o documentos que acreditasen que la valoración de los hechos objeto de la presente infracción debe ser distinta. Por otro lado, el artículo 72.1.
- a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” V La infracción presuntamente cometida se tipifica en el artículo 83.5
- a)del RGPD, que considera que la vulneración de los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; se sancionarán con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes: En el presente caso estamos ante acción negligente no intencional, pero significativa (artículo 83.2
- b) Se encuentran afectados identificadores personales básicos (nombre, apellidos, domicilio, teléfono), según el artículo 83.2
- g)A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a BANKIA, S.A., con NIF A14010342, por una infracción del artículo 5.1.
- b)del RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 tipificada en el artículo 83.5 del RGPD, en relación con el artículo 72.1
- a)de la LOPDGDD, con una multa de 50.000 € (cincuenta mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida 40.000€ (CUARENTA MIL euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP). B.B.B. INSPECTOR/INSTRUCTOR >> SEGUNDO: En fecha 20 de agosto de 2020, BANKIA, S.A. ha procedido al pago de la sanción en la cuantía de 40.000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I . En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
- d)e
- i)y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 38.4 d),
- g)y
- h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00076/2020, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a BANKIA, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es