1/13 Procedimiento Nº PS/00085/2015 RESOLUCIÓN: R/01086/2015 En el procedimiento sancionador PS/00085/2015, instruido por la Agencia Española de Protección de Datos a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., vista la denuncia presentada por DÑA. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 12/03/2014, tuvo entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante), de denuncia contra la entidad Banco Bilbao Vizcaya Argentaria, S.A. (en lo sucesivo BBVA) por unos hechos ocurridos el día 03/03/2014 con motivo del cambio de presidencia en la Comunidad de Propietarios a la que pertenece, señalando que la entidad bancaria exigió, sin alternativa, que la denunciante facilitara su número de teléfono móvil para formalizar el reconocimiento de nuevas firmas. Añade que, según la información entregada por la entidad, contenida en el documento “Tratamiento de datos personales y declaración de actividad económica”, BBVA solicita autorización para utilizar los datos con otras finalidades. La denunciante solicita que sus datos se destinen únicamente a los asuntos relativos a su Comunidad de Propietarios, sin ningún tratamiento con fines publicitarios. Además de un formulario de queja suscrito por la denunciante en fecha 03/03/2014, al que acompaña otro de la misma fecha con el detalle de los hechos antes reseñados, con su denuncia aportó copia del documento al que se refiere la misma, de fecha 03/03/2014, cumplimentado con los datos personales de la denunciante, en el que se contienen las siguientes indicaciones en materia de protección de datos personales: “III. TRATAMIENTO DE DATOS PERSONALES 1.1 El lnterviniente autoriza que sus datos personales, incluidos los derivados de operaciones que pueda haber realizado y/o realice en el futuro a través del Banco, se incorporen a ficheros de éste para las siguientes finalidades:
- a)La gestión de las relaciones contractuales y la prestación de servicios bancarios y/o financieros derivados de dichas relaciones.
- b)El control y valoración automatizada o no de riesgos, impagos e incidencias derivadas de las citadas relaciones contractuales.
- c)Para cualesquiera otras finalidades no incompatibles con cualquiera de las previstas en este apartado. 1.2 Asimismo el Interviniente autoriza que sus datos personales se incorporen a ficheros del Banco para las siguientes finalidades:
- a)La elaboración de perfiles de cliente con fines comerciales, a efectos de ofrecer productos o servicios bancarios o de terceros, y de análisis de riesgos para futuras operaciones.
- b)La remisión, a través de cualquier medio, incluso por correo electrónico u otro medio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 comunicación electrónica equivalente, de cualesquiera informaciones sobre productos o servicios bancarios o de terceros.
- c)La realización y gestión de los contactos comerciales que mantenga y/o pueda mantener en el futuro con el banco y/o de elaboración de informes comerciales y realización de encuestas.
- d)La inclusión en programas de fidelización y en sorteos de efectivo y/o de cualesquiera productos y servicios promovidos parcial o totalmente por el Banco, incluida la remisión de información detallada sobre dichos programas y sorteos y su resultado.
- e)Para cualesquiera otras finalidades no incompatibles con cualquiera de las previstas en este apartado. 1.3. Los datos de cualquier relación contractual, incluidos los obtenidos de acuerdo con lo previsto en los apartados anteriores, podrán ser utilizados por el Banco una vez finalizada la misma durante el plazo de veinticuatro meses para las finalidades previstas en el apartado 1.2 anterior, siempre y cuando el interviniente mantenga alguna otra relación contractual con el Banco. Extinguidas todas las relaciones contractuales con el Banco dichos datos sólo se podrán utilizar durante el plazo citado para la finalidad prevista en la letra
- b)del citado apartado 1.2. 1.4. Si el lnterviniente tuviera riesgos con el Banco, se comunicarán junto con sus datos personales, incluida, en su caso, la condición de empresario individual, a la Central de Información de Riesgos del Banco de España. Asimismo, si solicita una operación de riesgo, el Banco podrá obtener información de los datos que figuren registrados en dicha Central. 1.5. Asimismo se informa al Interviniente que en caso de tener deudas ciertas, vencidas, exigibles e impagadas con el Banco, a cuyo pago haya sido requerido previamente por el Banco, y respecto de las cuales no se haya entablado reclamación judicial o arbitral los datos referidos a dichas deudas podrán ser comunicados por el Banco a ficheros de terceros relativos al cumplimiento o incumplimiento de obligaciones dinerarias, siempre que no hayan transcurrido seis años desde la fecha de vencimiento de la deuda u obligación impagada. 1.6. El lnterviniente consiente y autoriza al Banco a comunicar sus datos de identificación y comunicación a las entidades del Grupo BBVA en España para su utilización con la finalidad del apartado 1.2. b). 1.7. Las entidades de crédito y demás proveedores de servicios de pago, así como los sistemas de pago y prestadores de servicios tecnológicos relacionados a los que se transmitan los datos para llevar a cabo las transacciones realizadas al amparo del presente contrato pueden estar obligados por la legislación del Estado donde operen, o por Acuerdos concluidos por éste, a facilitar información sobre estas transacciones a las autoridades u organismos oficiales de otros países, situados tanto dentro como fuera de la Unión Europea, en el marco de la lucha contra la financiación del terrorismo y formas graves de delincuencia organizada y la prevención del blanqueo de capitales. 1.8. El responsable del tratamiento es el Banco con domicilio social en Pl. San Nicolás, 4, 48005 Bilbao. El Interviniente podrá ejercitar gratuitamente los derechos de acceso, rectificación, cancelación y oposición en cualquiera de sus oficinas. 1.9. Específicamente el Banco informa al Interviniente que en el momento de cualquier contratación con el Banco o con posterioridad a la misma y en cualquiera de sus oficinas, puede manifestar su negativa al tratamiento por el Banco de sus datos personales para cualquiera de las finalidades indicadas en el apartado 1.2 de la presente cláusula. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 1.10. De forma concreta los datos personales del Interviniente quedan sujetos además a cualquier regulación que relativa a la cesión de dichos datos por el Banco a otras entidades o viceversa, consten en todos aquellos documentos contractuales que tenga suscritos o suscriba en el futuro con el Banco. 2. RÉGIMEN ESPECÍFICO PARA SOLICITUDES DE ACTIVO Adicionalmente al Régimen General establecido en el apartado 1 anterior, en el caso de que el interviniente solicitase al Banco operaciones de riesgo (las Solicitudes) los datos personales del mismo que figuren en los registros del Banco, los aportados en el presente documento y los que se hagan constar en la Solicitud, incluida cualquier otra documentación o datos aportados relacionados con la misma, serán conservados por el Banco, para una mejor tramitación de la Solicitud y evitar la duplicidad de gestiones ante la posibilidad de nuevos planteamientos, durante un plazo de seis meses, transcurrido el cual si la operación no llega a formalizarse serán destruidos/cancelados por el Banco. Se excepciona el supuesto de que la Solicitud hubiese sido denegada por el Banco, en cuyo caso tanto la propia Solicitud, como los datos que se hayan hecho constar en la misma y en este documento, serán conservados por el Banco durante seis años, en cumplimiento de la normativa vigente. Asimismo el Interviniente autoriza al Banco para el desbloqueo de los datos de carácter personal referidos a operaciones ya canceladas, incluidos los relativos a la evolución de los pagos de dichas operaciones, para su utilización por el Banco a los solos efectos de gestionar Solicitud. IV. DIGITALIZACIÓN DE DOCUMENTOS. A) RÉGIMEN GENERAL 1. El lnterviniente autoriza al Banco para que mediante dispositivos que digitalicen la escritura capture la firma del Interviniente en el presente documento de, así como en cualesquiera otros presentados por el Banco que suscriba el Interviniente con ocasión de las relaciones que mantiene o pueda mantener con BBVA, incluidos los documentos necesarios para la contratación de productos y servicios. A los efectos de esta cláusula se entiende por digitalización de la escritura la utilización de dispositivos que transforman la morfología de la firma en una imagen codificada en formato electrónico. La captura de la firma mediante tales dispositivos tendrá como finalidad su utilización por el Banco para la comprobación de las firmas obrantes en cualquier documento de orden, disposición de dinero o de cualquier otra índole, referido a cualquier contrato de productos y servicios que pueda tener contratados o que contrate en el futuro con el Banco, en los que figure o pueda figurar como titular, representante, autorizado a disponer o en cualquier otro concepto; y para la identificación del Interviniente cuando sea preciso, a criterio del Banco, en la gestión y desarrollo de las relaciones comerciales y/o contractuales. En consecuencia, el lnterviniente acepta que la firma en los citados documentos podrá ser recogida mediante cualquier dispositivo de digitalización de escritura, otorgándole a la firma así recogida el mismo valor que a la firma manuscrita recogida en papel. 2. La firma capturada por el Banco con el procedimiento previsto en ésta cláusula se configura como elemento esencial para la prestación de los servicios o funcionalidades contractuales que impliquen la previa comprobación de firmas o la identificación del lnterviniente en la gestión y desarrollo de las relaciones comerciales o contractuales, por lo que la revocación de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 autorización y/o aceptación previstas en el anterior apartado 1 facultará al Banco para poder cancelar anticipadamente los contratos en que se hubieren estipulado los servicios y funcionalidades que exijan la citada comprobación de firmas o la identificación del Interviniente. 3. La firma estampada en los documentos referidos en el anterior apartado 1, incluida su firma digitalizada y los propios documentos reseñados en el citado apartado, quedan sujetos, además de a lo establecido anteriormente, al tratamiento de datos personales pactado por el lnterviniente con el Banco. 4. El lnterviniente no está obligado a otorgar al Banco la autorización establecida en el anterior apartado 1. Mediante la cumplimentación de la siguiente casilla con una “X” puede manifestar la no autorización. En caso de no cumplimentación se entenderá concedida dicha autorización. Si no concede la autorización los anteriores apartados 1 a 3 no le serán de aplicación. ()”. TERCERO: Con fecha 13/02/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BBVA, por la presunta infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 11.3 de la misma norma y los artículos 15 y 45.1.
- b)del Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 900 euros a 40.000 euros, de acuerdo con el artículo 45.1 de la misma. CUARTO: Notificado el acuerdo de inicio, BBVA presentó escrito de alegaciones en el que reconoce voluntariamente su responsabilidad y solicita la imposición de una sanción por el importe mínimo previsto. Advierte que los hechos se han producido porque la Comunidad de Propietarios en cuestión mantiene un contrato con una antigüedad de 12 años, que se renueva cada año por la renovación de cargos de la misma, en lugar de haber suscrito un contrato marco, como suele hacerse en tales casos. Se trata de una omisión no voluntaria motivada, probablemente, por las características del cliente, ajena al régimen general de contratación. Añade que se han modificado las cláusulas del tratamiento de datos personales para dar una mayor oportunidad al cliente para oponerse a tratamientos con fines comerciales y de publicidad, así como para la comunicación de datos a empresas asociadas. En su escrito de alegaciones reseña el detalle de esta nueva cláusula, referido a la utilización de datos para acciones comerciales y de publicidad, en la que, según indica, se informa al cliente sobre la posibilidad de oponerse en el momento de contratar de forma gratuita, en cualquiera de las oficinas de la entidad o mediante el envío de un correo electrónico a la dirección que detalla. Por otra parte, manifiesta que se ha introducido la dirección de las empresas asociadas para las finalidades descritas, pudiendo negarse el cliente en la forma indicada. En cuanto a los criterios para la graduación de la multa, señala la concurrencia de los siguientes: grado de intencionalidad, beneficios obtenidos, ausencia de reincidencia, carácter no continuado de la infracción, procedimientos implementados para la recogida de datos y el carácter aislado de los hechos denunciados, ya señalado. BBVA no aportó ninguna documentación en apoyo de sus alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 QUINTO: Con fecha 30/03/2015, se emitió propuesta de resolución en el sentido de que por el Director de la AEPD se sancione a la entidad BBVA con multa de 20.000 euros, por la infracción del artículo 5 de la LOPD, en relación con los artículos 15 y 45 del Reglamento de desarrollo de dicha norma, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, y de conformidad con lo establecido en los apartados 1 y 4 del artículo 45 de la misma. Notificada la citada propuesta, la entidad BBVA presentó escrito en el que solicita la rebaja de la sanción propuesta al importe mínimo establecido para las infracciones leves o, en otro caso, a la mitad de la determinación que se propone. En su escrito, BBVA reitera sus alegaciones anteriores señalando nuevamente que se trata de un hecho puntual relacionado con la Comunidad de Propietarios en cuestión, que no había suscrito el contrato marco habitual, pero que ello no quiere decir que la entidad no haya dispuesto en sus contratos todas las previsiones legales, habiendo incluso modificado las cláusulas del tratamiento de datos personales para dar una mayor facilidad al cliente, ofreciendo la posibilidad de oponerse a la utilización de los datos con fines promocionales. En cuanto a la graduación de la sanción, entiende que han de considerase los criterios establecidos en el artículo 45.4 de la LOPD, en concreto, el grado de intencionalidad, los beneficios obtenidos, la ausencia de reincidencia, el carácter no continuado de la infracción, los procedimientos implantados para la recogida y tratamiento de datos y por tratarse de un contrato de cuenta corriente que en todos los casos habría implicado la firma de un documento marco. Nuevamente, BBVA realiza sus alegaciones sin aportar ningún documento de soporte. HECHOS PROBADOS De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1. Con fecha 03/03/2014, la denunciante suscribió con la entidad BBVA un formulario de recogida de datos personales denominado “Tratamiento de datos personales y declaración de actividad económica”, en el que constan cumplimentados los relativos a nombre, apellidos, DNI, domicilio, estado civil, fecha y lugar de nacimiento, sexo, nacionalidad, teléfono móvil, profesión y entidad para la que trabaja. El apartado III “Tratamiento de datos personales” del Documento contiene la información siguiente: “III. TRATAMIENTO DE DATOS PERSONALES 1.1 El lnterviniente autoriza que sus datos personales, incluidos los derivados de operaciones que pueda haber realizado y/o realice en el futuro a través del Banco, se incorporen a ficheros de éste para las siguientes finalidades:
- a)La gestión de las relaciones contractuales y la prestación de servicios bancarios y/o financieros derivados de dichas relaciones.
- b)El control y valoración automatizada o no de riesgos, impagos e incidencias derivadas de las citadas relaciones contractuales.
- c)Para cualesquiera otras finalidades no incompatibles con cualquiera de las previstas en este apartado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 1.2 Asimismo el Interviniente autoriza que sus datos personales se incorporen a ficheros del Banco para las siguientes finalidades:
- a)La elaboración de perfiles de cliente con fines comerciales, a efectos de ofrecer productos o servicios bancarios o de terceros, y de análisis de riesgos para futuras operaciones.
- b)La remisión, a través de cualquier medio, incluso por correo electrónico u otro medio de comunicación electrónica equivalente, de cualesquiera informaciones sobre productos o servicios bancarios o de terceros.
- c)La realización y gestión de los contactos comerciales que mantenga y/o pueda mantener en el futuro con el banco y/o de elaboración de informes comerciales y realización de encuestas.
- d)La inclusión en programas de fidelización y en sorteos de efectivo y/o de cualesquiera productos y servicios promovidos parcial o totalmente por el Banco, incluida la remisión de información detallada sobre dichos programas y sorteos y su resultado.
- e)Para cualesquiera otras finalidades no incompatibles con cualquiera de las previstas en este apartado. 1.3. Los datos de cualquier relación contractual, incluidos los obtenidos de acuerdo con lo previsto en los apartados anteriores, podrán ser utilizados por el Banco una vez finalizada la misma durante el plazo de veinticuatro meses para las finalidades previstas en el apartado 1.2 anterior, siempre y cuando el interviniente mantenga alguna otra relación contractual con el Banco. Extinguidas todas las relaciones contractuales con el Banco dichos datos sólo se podrán utilizar durante el plazo citado para la finalidad prevista en la letra
- b)del citado apartado 1.2. (…) 1.6. El lnterviniente consiente y autoriza al Banco a comunicar sus datos de identificación y comunicación a las entidades del Grupo BBVA en España para su utilización con la finalidad del apartado 1.2. b). (…) 1.8. El responsable del tratamiento es el Banco con domicilio social en Pl. San Nicolás, 4, 48005 Bilbao. El Interviniente podrá ejercitar gratuitamente los derechos de acceso, rectificación, cancelación y oposición en cualquiera de sus oficinas. 1.9. Específicamente el Banco informa al Interviniente que en el momento de cualquier contratación con el Banco o con posterioridad a la misma y en cualquiera de sus oficinas, puede manifestar su negativa al tratamiento por el Banco de sus datos personales para cualquiera de las finalidades indicadas en el apartado 1.2 de la presente cláusula. 1.10. De forma concreta los datos personales del Interviniente quedan sujetos además a cualquier regulación que relativa a la cesión de dichos datos por el Banco a otras entidades o viceversa, consten en todos aquellos documentos contractuales que tenga suscritos o suscriba en el futuro con el Banco. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad denunciada BBVA una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad BBVA debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. Sobre esta misma cuestión, con carácter general, el artículo 12.2 del mismo Reglamento establece: “2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. Y el artículo 11.3 de la LOPD señala al respecto: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. En el caso que nos ocupa se ha podido comprobar que la entidad BBVA incumple lo dispuesto en el artículo 5 LOPD, en relación con los artículos 15 y 45.1.
- b)del RD 1720/2007, en la medida en que se ha podido comprobar que el formulario habilitado por la misma para la recogida de datos personales, denominado “Tratamiento de datos personales y declaración de actividad económica”, en el que constan los datos personales del interesado relativos a nombre, apellidos, DNI, domicilio, estado civil, fecha y lugar de nacimiento, sexo, nacionalidad, teléfono móvil, profesión y entidad para la que trabaja, que se incorporarán a los ficheros de dicha entidad, contiene una leyenda informativa en materia de protección de datos de carácter personal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 que no se ajusta a las previsiones normativas reseñadas. El citado documento, en el punto 1.1 de su apartado III “Tratamiento de datos personales” facilita información genérica al señalar que el interviniente autoriza que sus datos se utilicen para “cualesquiera finalidades no incompatibles”, por lo que no cumple con las exigencias establecidas en el citado artículo 5, que obligar a determinar de modo expreso, preciso e in equívoco la finalidad de la recogida de datos. Por otra parte, de acuerdo con la información contenida en aquel documento, la denunciante consiente la utilización de sus datos con fines promocionales, tanto de servicios propios como de otras entidades terceras, a las que podrán cederse los datos, sin identificar todos los sectores de actividad, sin concretar todas las finalidades. En concreto, en dicho formulario se incluye la siguiente leyenda informativa: “Asimismo el Interviniente autoriza que sus datos personales se incorporen a ficheros del Banco para las siguientes finalidades:
- a)La elaboración de perfiles de cliente con fines comerciales, a efectos de ofrecer productos o servicios bancarios o de terceros, y de análisis de riesgos para futuras operaciones.
- b)La remisión, a través de cualquier medio, incluso por correo electrónico u otro medio de comunicación electrónica equivalente, de cualesquiera informaciones sobre productos o servicios bancarios o de terceros.
- c)La realización y gestión de los contactos comerciales que mantenga y/o pueda mantener en el futuro con el banco y/o de elaboración de informes comerciales y realización de encuestas.
- d)La inclusión en programas de fidelización y en sorteos de efectivo y/o de cualesquiera productos y servicios promovidos parcial o totalmente por el Banco, incluida la remisión de información detallada sobre dichos programas y sorteos y su resultado.
- e)Para cualesquiera otras finalidades no incompatibles con cualquiera de las previstas en este apartado. Además, nuevamente emplea fórmulas abiertas e inconcretas al señalar que la misma puede tener por objeto “cualesquiera otras finalidades no incompatibles”. En relación con lo expuesto, el artículo 11.3 de la LOPD establece lo siguiente: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. Y el citado artículo 5.1.
- a)de la LOPD establece que los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco, de los destinatarios de la información. Por otra parte, en relación con la utilización de los datos para fines promocionales, no se ofrece a la denunciante una casilla que pudiera marcar para aponerse al tratamiento de sus datos con esas finalidades y a la cesión de los mismos, u otro procedimiento para que pueda mostrar su negativa en el momento en que se recaban los datos. Se advierte sobre la posibilidad de manifestar la negativa en cualquiera de las oficinas pero no se habilita ningún mecanismo que pueda ser utilizado en el momento de la recogida de datos. En las alegaciones formuladas a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 apertura del procedimiento, BBVA añade la posibilidad de enviar un correo electrónico con este propósito, que no cabe admitir al no poder llevarse a efecto en el momento indicado. En este mismo sentido se pronuncia la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, al señalar la misma lo siguiente: “no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante”. La obligación de ofrecer la posibilidad de oponerse a los tratamientos de cesiones de datos personales antes indicadas se establece para el momento de la recogida de los datos o, en los términos del artículo 15 del Reglamento de desarrollo de la LOPD, “durante el proceso de formación de un contrato”. Por tanto, la indicación sobre la posibilidad de los afectados de remitir un correo electrónico exponiendo su negativa a facilitar sus datos con fines comerciales o publicitarios y las cesiones de datos no resulta suficiente para entender cumplidas las exigencias normativas reseñadas. III El artículo 44.2.
- c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad BBVA ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD, según ha reconocido la propia entidad imputada, por lo que debe considerarse que ha incurrido en la infracción leve descrita. IV El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En relación con los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos, el volumen de negocio o actividad de la entidad imputada y, especialmente, que no ha justificado haber llevado a cabo las regularizaciones oportunas para el cumplimiento de las exigencias establecidas en la normativa reseñada, circunstancias que operan todas ellas como agravantes. Por tanto, no cabe estimar la solicitud de BBVA para que se imponga una sanción por el importe mínimo, aunque si se considera el reconocimiento de la responsabilidad por parte de la misma para imponer una multa en grado medio, por importe de 20.000 euros. En relación con estos criterios, se advierte que la falta de información en los formularios habilitados por la entidad de recogida de datos no permite considerar que sus procedimientos de recogida de datos sean adecuados. Tampoco el grado de intencionalidad alegado, por cuanto no consta que se hayan aplicado las regularizaciones precisas en los documentos que BBVA formaliza con sus clientes. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., por una infracción del artículo 5 de la LOPD, en relación con los artículos 15 y 45 del Reglamento de desarrollo de dicha norma, tipificada como leve en el artículo 44.2.
- c)de dicha norma, una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.1 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A. y a DÑA. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es