PS-00176-2024

1/26  Expediente N.º: EXP202400742 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de junio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SOCIEDAD CONJUNTA PARA LA EMISIÓN Y GESTIÓN DE MEDIOS DE PAGO EFC SA (en adelante, Iberia Cards). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 18 de febrero de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202400742 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 13 de noviembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SOCIEDAD CONJUNTA PARA LA EMISIÓN Y GESTIÓN DE MEDIOS DE PAGO EFC SA con NIF A83289819 (en adelante, la parte reclamada o Iberia Cards). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en fecha 28 de noviembre de 2022, la parte reclamada confirmó la cancelación de sus tarjetas de Iberia Cards, así como la supresión y el bloqueo de sus datos. No obstante, manifiesta que, casi un año después, solicita una nueva Tarjeta y recibe de la parte reclamada respuestas de fecha 31 de octubre y 2 de noviembre de 2023, comunicándole la imposibilidad de aplicar las condiciones de nuevo cliente ante una nueva solicitud de Tarjeta por haber sido cliente con anterioridad de Iberia Cards. Junto a la reclamación aporta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 - Copia del mensaje de correo electrónico, de fecha 28 de noviembre de 2022, a través del cual la parte reclamada confirma la supresión y el bloqueo de los datos y en el cual se informa: “(…)”. - Copia del mensaje de correo electrónico de respuesta a la nueva solicitud de alta, de fecha 31 de octubre de 2023, en el que la parte reclamada manifiesta lo siguiente: "Nos ponemos en contacto con usted en relación a su solicitud de tarjeta Iberia y le informamos que, podemos tramitar la misma pero no le será aplicada la promoción para nuevo cliente, tal y como se indica en las condiciones de esta campaña, ya que usted es cliente de tarjetas comercializadas por nuestra entidad...". - Copia del mensaje de correo electrónico de fecha 2 de noviembre de 2023, en el que la parte reclamada manifiesta lo siguiente: "(…)". - Copia del mensaje de correo electrónico de respuesta de la parte reclamada, de fecha 6 de noviembre de 2023, en relación con una consulta sobre el tratamiento de sus datos, confirmando la parte reclamada que: "(…)". SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 17 de enero de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 21 de febrero de 2024 se recibe en esta Agencia escrito de respuesta indicando: “1.- Mi mandante dio puntual cumplimiento a la solicitud de borrado de datos del reclamante cuando le fue solicitado, habiendo confirmado el mismo al cliente, como marca la normativa, con fecha 28 de noviembre de 2022. 2.- A partir de ese momento los datos del reclamante quedaron bloqueados en el sistema, de manera que si el reclamante hubiese, por ejemplo, llamado a nuestro servicio de atención telefónica, ningún operador hubiese tenido acceso a los mismos y por tanto le habrían informado que no consta que fuese cliente. 3.- El reclamante, ya veremos el verdadero propósito de este tipo de acciones, vuelve a solicitar la contratación de nuestra Tarjeta en octubre de 2023, pretendiendo beneficiarse de una promoción de bienvenida que expresamente establece que únicamente aplica a nuevos clientes. Es en ese momento, y nunca antes, cuando la nueva petición el cliente el sistema alerta de la existencia de una relación comercial anterior del cliente con Iberia Cards y que, por tanto, no es posible la contratación de la Tarjeta aplicando promociones de bienvenida que sólo están disponibles para nuevos clientes, algo de lo que, como bien documenta el reclamante, se informa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 debidamente al cliente por si, a la vista de la situación, decidiese no continuar con su solicitud de Tarjeta. 4.-En la comunicación de 28 de noviembre de 2022 en la que nuestra entidad confirma al cliente el bloqueo de sus datos, se establecen expresamente los supuestos en que los datos, pese a estar bloqueados, pueden ser tratados, constando entre dichos supuestos el ejercicio por parte de nuestra Compañía de aquellos derechos derivados de dicho contrato de Tarjeta. Pues bien, esto es precisamente lo que ha hecho nuestra Compañía, ejercer un derecho que tiene derivado de la existencia del contrato de Tarjeta anterior, consistente en no aplicar una promoción de bienvenida específicamente diseñada para nuevos clientes, y no para clientes que lo hubieran sido con anterioridad, en este caso, además, en un periodo anterior al año. Se adjunta al presente escrito copia del certificado de envío del email al cliente de la presente contestación”. TERCERO: Con fecha 13 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad Sociedad Conjunta para la emisión y gestión de medios de pago EFC SA es una empresa constituida en el año 2022, y con un volumen de negocios de 2.200.000 euros en el año 2022. QUINTO: Con fecha 19 de junio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.

1. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación de plazo y con fecha 10 de julio de 2024, presentó escrito de alegaciones en el que, en síntesis, manifestaba: <<PRIMERA –En primer lugar, esta parte quiere destacar el contexto en el que IBERIA CARDS actúa como responsable del tratamiento de los datos personales objeto de este Expediente y que no es otro que la contratación y emisión de la ***PRODUCTO.1. La solicitud de la nueva tarjeta (que sería igual a la cancelada) se realiza en menos de 12 meses desde la cancelación de la misma (y por consiguiente, el cliente no puede gozar de los beneficios asociados a clientes nuevos – ventajas de avios de bienvenida y la exención del pago de la cuota de emisión por la tarjeta- debido al poco tiempo transcurrido entre la cancelación y la solicitud de la nueva tarjeta). Por otro lado, el motivo de cancelación de la Tarjeta que subyace de la lectura de los hechos es clara: conseguir en menos de 12 meses, una nueva tarjeta con las mismas condiciones a la tarjeta cancelada, pero gozando de las ventajas que conlleva la promoción de nuevos clientes (entre otras, la exención del pago anual por la emisión de la tarjeta solicitada como la obtención de la promoción de bienvenida para nuevos clientes consistentes en la obtención de un número importante de Avios, equivalentes prácticamente a un vuelo nacional con Iberia). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 En virtud de lo anterior, a continuación desglosamos los antecedentes de hecho más relevantes cronológicamente ordenados: A) Contratación inicial de la Tarjeta por el Reclamante Con fecha 3 de noviembre de 2021, el Reclamante formalizó de manera electrónica, a través de la página web de Iberia Cards, la contratación de la una ***PRODUCTO.1, a su nombre con numeración “***REFERENCIA.1” (“Tarjeta Principal”). Además, el Reclamante contrató expresamente la emisión de una tarjeta adicional, asociada a su cuenta y a su Tarjeta Principal, a nombre de B.B.B., emitiéndose la tarjeta con numeración “***REFERENCIA.2” (“Tarjeta Adicional”), tratándose por tanto de un único contrato con dos Tarjetas asociadas, una principal y una adicional, respondiendo la principal de todos los gastos realizados tanto con dicha tarjeta como con la adicional. De este modo, IBERIA CARDS adquiere la condición de responsable del tratamiento, en virtud de la ejecución del contrato de la Tarjeta Iberia ICON, tanto de los datos del Reclamante (titular de la Tarjeta Principal) como de B.B.B., como titular de la Tarjeta Asociada a su cuenta. Por su parte, el Reclamante como titular de la cuenta y de la Tarjeta Principal puede acceder a los movimientos y datos personales de B.B.B. relativos a la tarjeta adicional, en virtud tanto del artículo 6.1. b), para la ejecución del contrato, como del artículo 6.1.
2. f)o interés legítimo, al imputarse los movimientos de la tarjeta a su cuenta bancaria y ser responsable de asumir los costes y obligaciones derivados tanto de la Tarjeta principal como de la Tarjeta adicional. B) Cancelación de la Tarjeta Principal y, en consecuencia, automática cancelación de la Tarjeta Asociada Con fecha 20 de noviembre de 2022, el Reclamante solicitó la cancelación de la Tarjeta Principal y, por ende, implícitamente de la Tarjeta Asociada, así como la supresión de sus datos por dejar de ser cliente del IBERIA CARDS. Con fecha 28 de noviembre de 2022, IBERIA CARDS le envía confirmación de la cancelación de las Tarjetas y la ejecución de su derecho de protección de datos de supresión, pasando a bloquear los datos, conforme a los plazos de conservación tanto legales como a los efectos de responder a posibles acciones legales o resulten necesarios para el ejercicio de los derechos que corresponda a las partes. En su contestación, remitida mediante correo electrónico en misma fecha, IBERIA CARDS confirma al Reclamante la cancelación de su Tarjeta y la supresión de sus datos personales. Sin embargo, informa de manera detallada acerca de la obligación de conservar los mismos -debidamente bloqueados- por los plazos de prescripción establecidos en la normativa aplicable, con el fin de atender posibles reclamaciones o responsabilidades derivadas de la relación mantenida con el Reclamante. Cabe señalar que, con carácter adicional a esta comunicación, no constan otras comunicaciones mantenidas entre IBERIA CARS y el Reclamante hasta la fecha de solicitud de una nueva Tarjeta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 Con ello, y si bien no es una cuestión controvertida en este procedimiento, se puede comprobar que IBERIA CARDS dio respuesta, en tiempo y forma, a la solicitud de ejercicio de derecho presentada por el Reclamante, procediendo a la cancelación inmediata de la Tarjeta y al bloqueo de sus datos personales de conformidad con la normativa de aplicación, informando asimismo de los motivos que impiden, a fecha de su petición, proceder a la completa supresión de los datos personales. C) Solicitud de nueva Tarjeta e imposibilidad de aplicar al Reclamante las ventajas asociadas a los nuevos clientes, dado que había cancelado el mismo producto, la Tarjeta Principal, en un plazo inferior a 12 meses 13. En fecha 31 de octubre de 2023, esto es, en un periodo de tiempo inferior a 12 meses desde la cancelación de la Tarjeta (i.e. apenas 11 meses después), a través del canal TPE (Tarjeta Personal de Empresa) del colectivo Airbus, con quien Iberia Cards mantiene un acuerdo para que los empleados de dicha Compañía puedan contratar las Tarjetas, el Reclamante solicitó una nueva tarjeta. Este tipo de solicitudes a través de la empresa, se tramitan a través de la intranet de la empresa y el cliente accede a través de un link habilitado para los empleados de la empresa. El Reclamante aceptó las Condiciones Generales de Contratación y firmó la solicitud. Los datos cumplimentados llegaron al Back Office de Iberia Cards, que tramitó dicha solicitud. En fecha de 31 de octubre, IBERIA CARD responde al Reclamante mediante correo electrónico sin incluir datos personales, ni acompañando documentación identificativa. A continuación, se reproduce el contenido completo del mensaje: “Nos ponemos en contacto con usted en relación a su solicitud de tarjeta Iberia y le informamos que, podemos tramitar la misma pero no le será aplicada la promoción para nuevo cliente, tal y como se indica en las condiciones de esta campaña, ya que usted es cliente de tarjetas comercializadas por nuestra entidad. En caso de continuar con la gestión de nueva contratación, supondría la eliminación de la campaña de bienvenida. Le rogamos confirme a la mayor brevedad posible, si desea que continuemos con la tramitación de su solicitud con estas condiciones o, si por el contrario, desea que procedamos a la anulación de la misma. Estamos a su disposición, para cualquier duda o consulta, en nuestro Centro de Atención al cliente en el ***TELÉFONO.1, donde le atenderán las 24 horas del día. Reciba un cordial saludo.” Al contrario de lo que esta AEPD ha interpretado, lo que evidencia el contenido de este correo es que el sistema ha detectado que el Reclamante había sido cliente de esa misma tarjeta en un periodo anterior, en todo caso inferior a 12 meses, y se ha accedido únicamente a los datos identificativos y a la existencia de un contrato de tarjeta previo cancelado con anterioridad al transcurso de 12 meses. Todo ello, como se acredita más adelante, al estar IBERIA CARDS debidamente legitimado para este tratamiento específico conforme a los términos contractuales acordados (artículo 6.1c) RGPD), obligaciones de diligencia legales (artículo 6.1b) RGPD y el interés legítimo (artículo 6.1f) RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 Es decir, la recepción de una nueva solicitud o detección de coincidencia con un cliente reciente no implica el tratamiento de datos de las demás categorías de datos que puedan estar guardados y bloqueados, salvo los que son necesariamente necesarios para determinar que no se trata de un cliente nuevo. Tras la comunicación remitida por IBERIA CARDS, el Reclamante solicitó en misma fecha, 31 de octubre de 2023, información detallada acerca de las Tarjetas contratadas a su nombre. Esta petición solo puede ser interpretada como el ejercicio de un derecho de acceso a sus datos personales. IBERIA CARDS, a fin de dar respuesta al derecho de acceso ejercitado por el Reclamante, facilitó mediante correo electrónico, en fecha 2 de noviembre de 2023, la información solicitada, esto es: (
3. i)la identificación del número de la Tarjeta Principal y el número de la Tarjeta Asociada, que formaba parte del contrato que impedía la nueva contratación en condiciones de nuevo cliente (
4. ii)junto con la fecha del contrato y (iii) la identificación de los cotitulares del contrato único de medios de pago (al tratarse de una tarjeta asociada cuyos movimientos y obligaciones recaen en el Reclamante como Titular Principal). De esta forma, IBERIA CARDS dio respuesta, en tiempo y forma, a la petición formulada por el Reclamante. Lo anterior, sin perjuicio del estado de bloqueo en el cual se encontraban los datos personales y a los que se accedió para responder a este ejercicio de derechos de protección de datos. De hecho, esta AEPD ha defendido en diversas ocasiones que el bloqueo de los datos no exime al responsable -IBERIA CARDS- de atender y dar respuesta al ejercicio de derechos formulado por los interesados.1 1 Resolución AEPD R/00665/2021: “Los datos bloqueados quedarán a disposición de los Tribunales, el Ministerio Fiscal u otras Administraciones públicas competentes, en particular las autoridades de protección de datos, para las exigencias de posibles responsabilidades derivadas del tratamiento y por el plazo de prescripción de estas. Por ello, se debe atender El Reclamante fue debidamente informado de los plazos de conservación de los datos y de las ventajas únicamente aplicables a los clientes nuevos (i.e. avios tanto en la oferta, como en los términos y condiciones y en la política de privacidad en ambos casos: al contratar la Tarjeta Principal como al solicitar la nueva Tarjeta (…) proporcionados se conservarán mientras se mantenga la relación contractual y, cuando acepte recibir información comercial, podrán ser utilizados –aun después de finalizada la relación contractual– durante el plazo de 12 meses, para ofrecerle por cualquier medio, incluida la vía electrónica, productos y servicios de Iberia Cards relacionados con el sector financiero, así como en caso de que la solicitud/Contrato fuera denegada o no llegara a formalizarse por cualquier motivo, durante el mismo plazo y con iguales finalidades a las expuestas, así como para estudiar futuras solicitudes. Finalizado el Contrato, sus datos permanecerán bloqueados en nuestra base de datos hasta la finalización de los plazos de prescripción de las posibles acciones legales. Esto implica que únicamente se accederá a sus datos para su puesta a disposición de las Administraciones Públicas, Jueces y Tribunales, o el Ministerio Fiscal en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 contestación a los requerimientos legalmente efectuados por los mismos, así como para, en su caso, el ejercicio por parte de Iberia Cards de los derechos que le correspondan en virtud del Contrato de Tarjeta, durante los plazos legales de prescripción de las correspondientes acciones. Transcurridos los plazos anteriores, se suprimirán completamente sus datos de carácter personal.” SEGUNDA – Legitimación de las diferentes actividades del tratamiento llevadas a cabo por IBERIA CARDS en la interacción con el Reclamante Tal y como se ha mencionado, la ***PRODUCTO.1, se caracteriza por permitir a sus clientes beneficiarse de Avios de bienvenida y la exención del pago de la cuota de emisión. Beneficios de los que el Reclamante fue beneficiario durante su relación con IBERIA CARDS. la solicitud de acceso conforme a lo establecido en el artículo 15 del RGPD y facilitar a la parte reclamante los datos que fueron objeto del tratamiento, la finalidad de este, el origen y si se comunicaron a terceros.” Resolución AEPD R/00484/2020: “A este respecto, cabe señalar que, cuando se ejercitan el derecho de acceso y supresión, procede atender ambos derechos, no cabe aceptar que, con la realización de la supresión de los datos personales, amparándose en la normativa, se pretenda dejar sin respuesta a otro derecho ejercitado." Resolución AEPD R/00532/2020: “A este respecto cabe señalar que, los datos personales sometidos a la modalidad del bloqueo no permite su tratamiento, pero no implica que no se puedan poner a disposición del afectado los datos que el responsable dispuso y trató mientras perduró la relación contractual, por si de ello, puedan surgir responsabilidades derivadas de su tratamiento o por considerar que es más garantista poder facilitar los datos personales que se encuentran bloqueados para conocimiento de los interesados.” El Reclamante claramente solicitó una nueva Tarjeta apenas 11 meses después de cancelar la Tarjeta Principal (incluyendo la cancelación de la Tarjeta Asociada), aun conociendo y habiendo consentido que dichas ventajas solo constituyen promociones para clientes que efectivamente sean nuevos (lo que no sería su caso que ya las disfrutó hace menos de un año). Para determinar la base legal de legitimación válida que ampara las actividades de tratamientos realizadas por IBERIA CARDS, es necesario, además, tener en cuenta las categorías de datos personales tratados en el marco de una tarjeta de crédito: (
5. i)datos identificativos, (
6. ii)datos contractuales, (iii) datos de contacto, (
7. iv)datos sobre movimientos y obligaciones asociadas al uso de la tarjeta, (
8. iv)cualesquiera otros datos y metadata recabados para prestar el servicio de tarjeta de crédito adecuadamente. A) El “cotejo” puntual de los datos identificativos del Reclamante y los datos del contrato de tarjeta de crédito cancelado hace menos de 11 meses. De acuerdo con el Acuerdo de Incoación, puede dar la impresión de que los datos del Reclamante se encontraban visibles en la base de datos activa de clientes. Sin embargo, como en la Alegación Cuarta se explica, los datos correspondientes a las tarjetas de crédito canceladas se encuentran bloqueados en el Back-End del sistema y no en el Front de la base de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 Cuestión distinta es que, al introducir la solicitud de una nueva tarjeta, el sistema permita detectar al titular como cliente reciente y la existencia de un contrato de tarjeta de crédito cancelada recientemente. Ello es así, no solo a los efectos de poder permitir aplicar o no las ventajas correspondientes a un nuevo cliente (condiciones aceptadas expresamente por el Reclamante), sino también como medida de seguridad implementada a fin de evitar fraudes y otros incidentes relacionados con los datos de las tarjetas de crédito. De conformidad con la oferta y los términos y condiciones aceptados por el Reclamante cuando suscribió su contrato de tarjeta de crédito inicial, el sistema puede durante 12 meses cotejar la existencia del cliente y de un contrato reciente. La base legal que legitima este puntual y limitado tratamiento de datos es el cumplimiento de obligaciones pre-contractuales y contractuales (artículo 6.1
9. b)RGPD), así como para dar cumplimiento a las obligaciones legales de diligencia como medio de pago para evitar situaciones fraudulentas y cumplir con las estrictas normas de blanqueo de capitales (artículo 6.1
10. c)RGPD), así como el interés legítimo (artículo 6.1
11. f)RGPD). Por otro lado, el hecho de hacer esta comprobación legítima para sus intereses (artículo 6.1
12. f)RGPD) no significa que se impida al titular de los datos acceder a una nueva tarjeta, si del resultado del “cotejo” aparece que es un cliente reciente, sino que la única consecuencia para éste es no poder acceder a las ventajas establecidas para nuevos clientes por haber transcurrido únicamente 11 meses desde que canceló la tarjeta. Asimismo, como resulta acreditado en el Expediente, IBERIA CARDS informó, de forma totalmente transparente, antes del envío de la solicitud de la nueva tarjeta del resultado de la coincidencia y de la imposibilidad de disfrutar de dichas ventajas como cliente nuevo. Por tanto, el sistema permite que el usuario, en este caso, el Reclamante, una vez es advertido que no podrá disfrutar de las ventajas de Avios y de la exención del pago de emisión de la tarjeta, es libre de continuar o no con la solicitud de la nueva tarjeta. Por último, el consentimiento por el que el Reclamante aceptó la política de privacidad, incluyendo los plazos de conservación al contratar la Tarjeta Principal y la Tarjeta Asociada, delimita su expectativa razonable de privacidad. No es necesario “refrescar” dicho consentimiento para hacer esa comprobación previa de los datos identificativos y de correspondencia al tratarse de un contrato reciente (en este caso, de menos de 12 meses). B) El tratamiento consistente en el acceso a la información identificativa del titular y del contrato previo (incluyendo los datos de la cotitular), se realiza tras el ejercicio de un derecho de acceso del Reclamante. Esta AEPD ha reiterado en numerosas ocasiones que el ejercicio de los derechos de protección de datos, incluido el derecho de acceso, no requiere un formalismo expreso, sino la voluntad inequívoca del solicitante de estar requiriendo el acceso a la información que está siendo objeto de tratamiento o, incluso que está bloqueada y conservada conforme a los plazos de prescripción de las acciones legales para salvaguardar los derechos de defensa y legítimos del responsable del tratamiento. Tal y como establece el artículo 17 RGPD como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 excepción al derecho de supresión se encuentra el supuesto en el que el tratamiento es necesario para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o en el caso del cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable) y cuando el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones. En el presente caso, tras la petición expresa del Reclamante ejerciendo su derecho de acceso a los datos que habían sido bloqueados tras la cancelación de la Tarjeta Principal y de la Tarjeta Asociada y el ejercicio del derecho de supresión, IBERIA CARDS actuó legítimamente. Por un lado, IBERIA CARDS cumplió con sus obligaciones de atender el ejercicio de los derechos de protección de datos del Reclamante y, por otro, a fin de ejercer su derecho de defensa ante posibles reclamaciones por parte del Reclamante, contestó al mismo siguiendo sus instrucciones. Todo ello, IBERIA CARDS lo llevó a cabo aplicando los principios de minimización de datos y sólo fue objeto del tratamiento la información identificativa y contractual correspondiente al contrato de tarjeta de crédito que había sido suscrito hace menos de un año y, posteriormente, cancelado. Por último respecto a los datos de la persona que era la Titular de la Tarjeta Asociada, como ya ha sido expuesto, IBERIA CARDS ha cumplido con sus obligaciones de información conforme a lo requerido por la normativa de aplicación y se encuentra legitimada para el tratamiento -incluido el bloqueo- de los datos personales del Reclamante y de los del titular de la Tarjeta Adicional emitida a petición de este, siendo la base de legitimación de dicho tratamiento el cumplimiento de las obligaciones legales (artículo 6.1.
13. c)RGPD) asumidas por IBERIA CARDS -en calidad de entidad de crédito-, la ejecución del contrato formalizado con el Reclamante (artículo 6.1.
14. b)RGPD) y el interés legítimo (artículo 6.1
15. f)RGPD). TERCERA – Ausencia de buena fe contractual por parte del Reclamante. De conformidad con la descripción de los hechos de este procedimiento, se deduce un quebrantamiento de la buena fe contractual por parte del Reclamante al cancelar su contrato de tarjeta de crédito y, seguidamente en un corto periodo de tiempo, la solicitud de nuevas Tarjetas con idénticas características. Como ya fue anteriormente apuntado, las Tarjetas ofrecen ventajas de Avios de bienvenida y la exención del pago de la cuota de emisión de la tarjeta de crédito. para nuevos clientes de IBERIA CARDS. Estas ventajas finalizan una vez transcurrido el primer año de contrato. Como resultado, es habitual encontrar clientes que, antes de cumplir los primeros 12 meses de contrato -momento en el cual comienza el cobro de las cuotas de mantenimiento-, comunican su deseo de dar de baja su Tarjeta. IBERIA CARS procede en estos casos a cancelar sin dilación indebida su contrato, sin requerir al cliente información adicional acerca de los motivos que han conducido a tal decisión. Sin embargo, y con el único fin de beneficiarse nuevamente de estas ventajas o campañas especiales para “nuevo clientes”, estos clientes solicitan posteriormente, y en la mayoría de las ocasiones dentro del plazo de 12 meses siguientes desde la cancelación inicial, la emisión de una nueva Tarjeta, reiterándose seguidamente la misma operativa de “alta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 y baja” antes descrita. Como consecuencia, se produce un claro perjuicio para la actividad y negocio de IBERIA CARDS, así como un incumplimiento de la buena fe contractual (artículo 7 Código Civil) por parte de los clientes en sus reiteradas solicitudes de Tarjeta. Por ello, viéndose en la necesidad de velar por el buen curso del negocio, así como en respeto de los derechos e intereses del resto de clientes que, a diferencia de aquéllos, sí permanecen en IBERIA CARDS de manera leal, honesta y con buena fe, IBERIA CARDS ha establecido internamente el procedimiento que permite cotejar si el solicitante suscribió de forma reciente un contrato de tarjeta de iguales características, lo que le impediría al solicitante beneficiarse de la condición de “nuevo cliente”. En ningún caso los datos personales del cliente son tratados por IBERIA CARDS para fines distintos o ulteriores, ni resultan visibles para el personal que no cuente con los permisos debidamente autorizados. CUARTA – Procedimiento de bloqueo implementado por IBERIA CARDS. Tal y como se ha expuesto a lo largo de este escrito, IBERIA CARDS ha adoptado internamente una serie de medidas a fin de garantizar el cumplimiento de la normativa y la efectiva supresión de aquellos datos personales que, una vez cumplida la finalidad para la cual fueron recabados y transcurridos los plazos legales establecidos, ya no resulten necesarios para el desarrollo de la actividad de IBERIA CARDS. Así, es de interés para esta parte informar a la AEPD acerca del procedimiento de supresión y bloqueo que IBERIA CARDS tiene implementado a estos efectos. Este procedimiento y sus características técnicas, se expone a continuación de manera sucinta el proceso de baja y bloqueo implementado por IBERIA CARS desde la solicitud de baja del interesado, hasta su completa supresión: (
16. i)Una vez el cliente comunica su deseo de baja, IBERIA CARDS da respuesta a su petición, en tiempo y forma, informándole de la cancelación de su Tarjeta y del bloqueo de sus datos personales. En caso de no quedar acreditada la identidad del solicitante, IBERIA CARDS puede requerir aportar documentación adicional en aras de verificar la identidad del solicitante y así, proceder a la efectiva atención de su petición y ejercicio de derecho. (
17. ii)Tramitada la baja del cliente, se procede internamente al bloqueo de sus datos personales y de la información asociada a su contrato. Desde ese momento, los datos bloqueados solo resultan accesibles para el subdirector de operaciones de la Compañía, que actúa como Administrador, y es la única persona que cuenta con permisos suficientes en IBERIA CARDS para, en caso de ser necesario, acceder al contenido de esta información. (iii) Los datos del cliente dado de baja dejan de estar visibles automáticamente en las plataformas y aplicativos utilizados por los comerciales y/o personal de IBERIA CARDS en su actividad diaria. Así, mediante instrucciones lógicas efectuadas durante el proceso de bloqueo, los datos personales asociados a dicho cliente pasan a estar alojados y gestionados únicamente en el entorno “Back-End” de dichas aplicaciones. Es decir, cesa su visualización en la interfaz o “Front End” por parte del personal de IBERIA CARDS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 (
18. iv)Es importante recordar que en ningún caso se muestran en el “Front End” de estas aplicaciones datos personales de estos clientes, ni mínimos datos de contacto (ej. siglas, nombre, etc.) o una referencia de su contrato a efectos de indicar que dicho cliente ha sido de baja. Es decir, desde el punto de vista de la operativa diaria, dicho cliente deja de aparecer en las bases de datos de IBERIA CARDS. (
19. v)Si se recibe una nueva solicitud por parte del cliente que consta bloqueado -cuyo contrato es reciente, el sistema realiza el cotejo de forma automática y emite un aviso a través de la plataforma que informa acerca de esta circunstancia. Con carácter general, el periodo por el cual los datos deben estar bloqueados se determina atendiendo a los plazos de prescripción establecidos en la normativa aplicable y que, en caso de IBERIA CARDS dada sus obligaciones en materia de prevención del blanqueo de capitales y financiación del terrorismo, pueden extenderse hasta 10 años tras la finalización de la relación con el cliente. Sin embargo, como ya ha sido señalado, tanto en aplicación de las condiciones precontractuales y contractuales aceptadas por los clientes (art. 6.1 b), como de las obligaciones legales de diligencia para evitar fraudes y otros incidentes dado el sector regulado de medio de pago (art. 6.1c) como también, la existencia de un interés legítimo (art. 6.1.
20. f)RGPD) de IBERIA CARDS de permitir, siempre que se cuenten con las medidas de restricción y bloqueo adecuadas, la comunicación lógica entre sus sistemas para detectar la coincidencia de solicitudes procedentes de un mismo cliente en un plazo razonable reciente que cuenta con una base legal de legitimación válida. Este periodo, tras ser valorado y ponderado internamente, se ha considerado adecuado a estos efectos y, en especial, para salvaguardar, por un lado, los intereses de IBERIA CARDS enunciados y, por otro, evitar perjuicios a los interesados que podrían causar una conservación prolongada y/o no debidamente bloqueada de sus datos. En consecuencia, es de interés de esta parte resaltar que el procedimiento descrito permite a IBERIA CARDS, no solo atender las solicitudes de ejercicio de derechos de los interesados y cumplir con las obligaciones a las que se encuentra sujeto conforme la normativa aplicable, si no también garantizar el buen funcionamiento de su actividad y el cumplimento de las obligaciones contractuales formalizadas con los clientes. Todo ello, atendiendo a sus obligaciones a las que, como responsable del tratamiento, en relación con el tratamiento de los datos personales de sus clientes. En virtud de todo lo expuesto, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS:  Que, tenga por formuladas las presentes alegaciones en el procedimiento de referencia, admita los documentos adjuntos al presente escrito, y tras los trámites legales oportunos, tenga por cumplido en tiempo y forma el trámite de alegaciones.  Que, conforme a lo manifestado y acreditado en el presente escrito, dicte resolución por la que acuerde, el archivo de este procedimiento, a todos los efectos legales, y de por acreditadas las manifestaciones de este escrito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 OTROSÍ DIGO que el Acuerdo de Inicio contiene información sensible correspondiente a los sistemas de información y procesos internos de IBERIA CARDS, así como información comercial sensible, por lo que de conformidad con el deber de secreto de la administración y con el fin de evitar el conocimiento por parte de terceros de datos que puedan desvelar la estrategia y funcionamiento interno de esta parte, así como poner en grave peligro su posición competitiva, SOLICITO que, con anterioridad a la publicación de cualquier resolución de terminación del expediente sancionador arriba referenciado, la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS facilite a esta parte un plazo para revisar la resolución antes de su publicación, presentar las alegaciones necesarias para solicitar la confidencialidad de los datos e información que sean confidenciales, así como aportar, en su caso, una propuesta de versión no confidencial de dicha resolución.>> SEXTO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – Consta en las manifestaciones efectuadas por la parte reclamada al presente acuerdo de inicio de fecha 10 de julio de 2024, que en fecha 3 de noviembre de 2021, el reclamante formalizó de manera electrónica, a través de la página web de Iberia Cards, la contratación de la ***PRODUCTO.1, a su nombre con numeración “***REFERENCIA.1” (“Tarjeta Principal”). Además, el Reclamante contrató expresamente la emisión de una tarjeta adicional, asociada a su cuenta y a su Tarjeta Principal, a nombre de B.B.B., emitiéndose la tarjeta con numeración “***REFERENCIA.2” (“Tarjeta Adicional”), tratándose por tanto de un único contrato con dos Tarjetas asociadas, una principal y una adicional, respondiendo la principal de todos los gastos realizados tanto con dicha tarjeta como con la adicional. SEGUNDO. - Consta en las manifestaciones efectuadas por la parte reclamada al presente acuerdo de inicio de fecha 10 de julio de 20, que en fecha 20 de noviembre de 2022, el reclamante solicitó la cancelación de las Tarjetas de Iberia Cards, así como la supresión de sus datos por dejar de ser cliente del Iberia Cards, según las manifestaciones efectuadas por la parte reclamada al presente acuerdo de inicio de fecha 10 de julio de 2024. Con fecha 20 de noviembre de 2022, el Reclamante solicitó la cancelación de la Tarjeta Principal y, por ende, implícitamente de la Tarjeta Asociada, así como la supresión de sus datos por dejar de ser cliente del IBERIA CARDS. TERCERO. - El día 28 de noviembre de 2022, Iberia Cards confirmó a la parte reclamante la supresión y el bloqueo de los datos mediante correo electrónico y en el cual se informa: “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 CUARTO. – La parte reclamante solicita, con fecha 31 de octubre de 2023, darse nuevamente de alta y el mismo día Iberia Cards responde a la nueva solicitud del reclamante: "(…)". Queda acreditado igualmente que en esta misma fecha, el reclamante solicitó a Iberia Cards información de las Tarjetas contratadas. QUINTO. - Consta acreditado que, en el correo electrónico de fecha 2 de noviembre de 2023, la parte reclamada comunicó lo siguiente al reclamante: "(…)". SEXTO. – Queda acreditado que, en el correo electrónico de respuesta de la parte reclamada, de fecha 6 de noviembre de 2023, en relación con una consulta sobre el tratamiento de sus datos, confirmando la parte reclamada que: "(…)". SÉPTIMO. – Ha quedado acreditado que, en el documento de protección de datos de Iberia Cards, publicado en la web consta la siguiente información: <<III. Plazos o criterios de conservación de los datos: Los datos personales proporcionados se conservarán mientras se mantenga la relación contractual y, cuando acepte recibir información comercial, podrán ser utilizados –aun después de finalizada la relación contractual– durante el plazo de 12 meses, para ofrecerle por cualquier medio, incluida la vía electrónica, productos y servicios de Iberia Cards relacionados con el sector financiero, así como en caso de que la solicitud/Contrato fuera denegada o no llegara a formalizarse por cualquier motivo, durante el mismo plazo y con iguales finalidades a las expuestas, así como para estudiar futuras solicitudes. Finalizado el Contrato, sus datos permanecerán bloqueados en nuestra base de datos hasta la finalización de los plazos de prescripción de las posibles acciones legales. Esto implica que únicamente se accederá a sus datos para su puesta a disposición de las Administraciones Públicas, Jueces y Tribunales, o el Ministerio Fiscal en contestación a los requerimientos legalmente efectuados por los mismos, así como para, en su caso, el ejercicio por parte de Iberia Cards de los derechos que le correspondan en virtud del Contrato de Tarjeta, durante los plazos legales de prescripción de las correspondientes acciones. Transcurridos los plazos anteriores, se suprimirán completamente sus datos de carácter personal>>. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas Debemos empezar recordando que el artículo 4 del RGPD define, en sus apartados 1 y 2, los términos “dato personal” y “tratamiento” de la siguiente manera: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo, limitación, supresión o destrucción; En el presente caso, se tratan los datos después de la supresión y bloqueo para conocer el contrato que tenía antes de la supresión la parte reclamante y negarle la promoción por alta nueva constituiría un tratamiento de datos personales conforme a lo dispuesto en el citado artículo y, por tanto, un tratamiento de datos personales sujeto a las disposiciones del RGPD. III Contestación a las alegaciones presentadas En repuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: PRIMERA ALEGACION RELATO DE LOS HECHOS Después de enumerar como ocurrieron los hechos, señala la parte reclamada que la recepción de una nueva solicitud o detección de coincidencia con un cliente reciente no implica el tratamiento de datos de las demás categorías de datos que puedan estar guardados y bloqueados, salvo los que son necesariamente necesarios para determinar que no se trata de un cliente nuevo. En el caso que nos ocupa. Iberia Cards habría tratado los datos de la parte reclamante mediante su supresión y al haber sido suprimido los datos, estos se bloquean y no pueden ser utilizados salvo para los supuestos especificados en el artículo 32 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 LOPDGDD. Sin embargo queda acreditado que Iberia Cards en su contestación, de fecha 31 de octubre de 2023, al reclamante al darse de alta nuevamente le indican que “(…)". De aquí, que la parte reclamada trató los datos del reclamante para otros fines distintos a los previstos por la normativa. En consecuencia, se trataron los datos después de la supresión y bloqueo de los mismos para conocer el contrato que tenía la parte reclamante antes de la solicitud de supresión y en base a los mismos negarle la promoción por alta nueva. Por lo tanto, esta alegación no puede ser estimada. SEGUNDA – Legitimación de las diferentes actividades del tratamiento llevadas a cabo por IBERIA CARDS en la interacción con el Reclamante Manifiesta la parte reclamada que en el presente caso, tras la petición expresa del reclamante ejerciendo su derecho de acceso a los datos que habían sido bloqueados tras la cancelación de la tarjeta principal y de la tarjeta asociada y el ejercicio del derecho de supresión, IBERIA CARDS actuó legítimamente. Por un lado, IBERIA CARDS cumplió con sus obligaciones de atender el ejercicio de los derechos de protección de datos del reclamante y, por otro, a fin de ejercer su derecho de defensa ante posibles reclamaciones por parte del reclamante, contestó al mismo siguiendo sus instrucciones. Pues bien, el bloqueo impide su tratamiento, pero no implica que no se puedan poner a disposición del afectado los datos personales de los que el responsable dispuso y que trató mientras perduró la relación contractual, por si de ello, como sucede en el presente caso, pudieran surgir responsabilidades derivadas de su tratamiento. El artículo 32 de la LOPDGDD, exige al responsable el bloqueo de los mismos, pero si bien dicho bloqueo imposibilita determinadas operaciones de tratamiento no supone automáticamente su borrado físico. El bloqueo tiene el propósito de reservar los datos para evitar su tratamiento activo o visualización, quedando estos a disposición de los Tribunales, el Ministerio Fiscal u otras Administraciones públicas competentes, en particular las autoridades de protección de datos personales, para las exigencias de posibles responsabilidades derivadas del tratamiento y por el plazo de prescripción de estas las mismas. Sin embargo, este precepto no puede interpretarse como una restricción al derecho de acceso del titular, ya que atender dicho acceso no implica un tratamiento de datos en sí, sino el ejercicio del cumplimiento de una obligación que impone la normativa de protección de datos personales. Las limitaciones o restricciones al derecho de acceso se encuentran establecidas en los artículos 12.5, 15.4 y 23 del RGPD, sin que, de acuerdo con las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso adoptada el 28 de marzo de 2023, “existan otras exenciones o excepciones”. Por lo expuesto, se desestima la presente alegación. TERCERA ALEGACIÓN – Ausencia de buena fe contractual por parte del Reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 Señala la parte reclamada que, de conformidad con la descripción de los hechos de este procedimiento, se deduce un quebrantamiento de la buena fe contractual por parte del reclamante al cancelar su contrato de tarjeta de crédito y, seguidamente en un corto periodo de tiempo, la solicitud de nuevas tarjetas con idénticas características y además manifiesta que en ningún caso los datos personales del cliente son tratados por IBERIA CARDS para fines distintos o ulteriores, ni resultan visibles para el personal que no cuente con los permisos debidamente autorizados. A tal respecto, conviene señalar que no es competencia de la presente autoridad valorar la existencia o no de buena fe en la actuación de una determinada operación contractual, sino únicamente determinar, en caso de reclamación, si la conducta comunicada supone la comisión o no de una de las infracciones contempladas por la normativa. En el caso que nos ocupa, la parte reclamada trató los datos del reclamante para otros fines, a pesar de que los mismos estaban suprimidos y que el bloqueo imposibilita determinadas operaciones de tratamiento, lo cual implica un tratamiento ilícito y contrario al RGPD En consecuencia, se desestima la presente alegación. CUARTA – Procedimiento de bloqueo implementado por IBERIA CARDS. En la presente alegación Iberia Cards, señala las medidas que ha adoptado internamente a fin de garantizar el cumplimiento de la normativa y la efectiva supresión de aquellos datos personales que, una vez cumplida la finalidad para la cual fueron recabados y transcurridos los plazos legales establecidos, ya no resulten necesarios para el desarrollo de la actividad de IBERIA CARDS. Además, solicita que con anterioridad a la publicación de cualquier resolución de terminación del expediente sancionador arriba referenciado, la Agencia Española de Protección de Datos facilite a la parte reclamada un plazo para revisar la resolución antes de su publicación, presentar las alegaciones necesarias para solicitar la confidencialidad de los datos e información que sean confidenciales, así como aportar, en su caso, una propuesta de versión no confidencial de dicha resolución. En cuanto a la publicación de las resoluciones, el artículo 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales establece que “La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto.” El artículo 11 del Estatuto de la Agencia Española de Protección de Datos, aprobado por Real Decreto 389/2021, de 1 de junio, dispone lo siguiente: “Artículo 11. Transparencia y publicidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 1. La Agencia Española de Protección de Datos publicará en su página web las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, y las que impongan medidas cautelares. 2. Sin perjuicio de lo previsto en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, será igualmente objeto de publicación en la página web toda aquella información que la Presidencia considere relevante y que contribuya al mejor cumplimiento de sus funciones.” Por consiguiente, se establece con carácter general la obligación de publicar las resoluciones que dicte esta Agencia, que se realiza en la página web de la AEPD. Publicando la resolución en los términos del art. 50 de la LOPDGDD se consuma el interés general encomendado a la AEPD. Eso sí, siempre debidamente anonimizada y detrayendo de la resolución las cuestiones confidenciales o de secreto intelectual e industrial. Sobre esta cuestión se pronuncia el Auto de la Audiencia Nacional de 13 enero de 2022 en los siguientes términos: “Así las cosas, en el caso de autos, se publica la resolución sancionadora recurrida, al amparo del art. 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que dispone: “La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto. Es decir, el citado precepto obliga a la Agencia Española de Protección de Datos (en adelante AEPD), a hacer públicas sus resoluciones una vez hayan sido notificadas a los interesados. Así las cosas, debe rechazarse la suspensión de la publicación de la resolución sancionadora en la página de la AEPD, al apreciarse un interés público en publicitar las resoluciones de la AEPD en su página web, con el objeto de preservar la transparencia de la actividad de la AEPD y, en definitiva, la tutela del derecho de protección de datos mediante el conocimiento de los criterios de aplicación de la normativa de protección de datos. Cabe recordar, como ha señalado el Auto del Tribunal Supremo, Sala 3ª, de 31 de marzo de 2015 que “la Administración Pública actúa en un régimen de publicidad de sus actos con carácter general y, de modo específico, tanto más cuanto así lo establezcan las normas reguladoras de cada sector del ordenamiento (…)”. IV Obligación incumplida Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
21. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
22. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
23. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
24. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
25. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
26. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
27. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” En el presente caso, resulta acreditado tanto por los correos electrónicos aportados por la parte reclamante, como por las manifestaciones realizadas por la parte reclamada en su escrito de contestación a esta Agencia el día 21 de febrero de 2024, lo siguiente: 1º.- Que el día 28 de noviembre de 2022, mediante correo electrónico por parte de Iberia Cards se confirma a la parte reclamante de la supresión y bloqueo de sus datos. 2º.- Que en el anterior correo electrónico se establece expresamente los supuestos en los que los datos, pese a estar bloqueados, pueden ser tratados, constando entre dichos supuestos el ejercicio por parte de la Entidad de aquellos derechos derivados del contrato de Tarjeta que tuvo suscrito. 3º.- Que la parte reclamada manifiesta en su escrito de contestación a esta Agencia de fecha 21 de febrero de 2024 que lo que ha hecho es ejercer un derecho que tiene derivado de la existencia del contrato de Tarjeta anterior, consistente en no aplicar una promoción de bienvenida específicamente diseñada para nuevos clientes, y no para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 clientes que lo hubieran sido con anterioridad, en este caso, además, en un periodo anterior al año. El artículo 32 de la LOPDGDD, regula el bloqueo de los datos, y dispone lo siguiente: “1. El responsable del tratamiento estará obligado a bloquear los datos cuando proceda su rectificación o supresión. 2. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos. 3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior. 4. Cuando para el cumplimiento de esta obligación, la configuración del sistema de información no permita el bloqueo o se requiera una adaptación que implique un esfuerzo desproporcionado, se procederá a un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no manipulación de los datos durante el mismo. 5. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, dentro del ámbito de sus respectivas competencias, podrán fijar excepciones a la obligación de bloqueo establecida en este artículo, en los supuestos en que, atendida la naturaleza de los datos o el hecho de que se refieran a un número particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera generar un riesgo elevado para los derechos de los afectados, así como en aquellos casos en los que la conservación de los datos bloqueados pudiera implicar un coste desproporcionado para el responsable del tratamiento”. Pues bien, la parte reclamada acredita en su contestación a esta Agencia que trató los datos de la parte reclamante que debían estar bloqueados y, tal y como preceptúa el artículo anteriormente mencionado, una vez que se han bloqueado, no se podrán tratar para ninguna finalidad salvo, la puesta a disposición de los datos a jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular a las autoridades de protección de datos, para la exigencia de responsabilidades. Transcurrido el plazo de prescripción se procederá a su destrucción. Por tanto, se tratan los datos después de supresión y bloqueo para conocer el contrato que tenía antes de la supresión la parte reclamante y negarle la promoción por alta nueva. La documentación obrante en el expediente ofrece indicios evidentes de que la reclamada vulneró el artículo 6 del RGPD, puesto que la citada entidad trato de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26 manera ilícita los datos personales del reclamante, al no constar el consentimiento para el tratamiento de sus datos personales. La Sala de lo Contencioso Administrativo de la Audiencia Nacional, en supuestos similares ha considerado que cuando el titular de los datos niega el consentimiento corresponde la carga de la prueba a quien afirma su existencia debiendo el responsable del tratamiento de datos de terceros recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Así, la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de Derecho Cuarto. En definitiva, hay que señalar que el respeto al principio de licitud de los datos exige que conste acreditado que el titular de los datos consintió en el tratamiento de los datos de carácter personal y desplegar una razonable diligencia imprescindible para acreditar ese extremo. De no actuar así el resultado sería vaciar de contenido el principio de licitud. De conformidad con las evidencias de las que se dispone en este momento procesal y sin perjuicio de lo que resulte de la instrucción del procedimiento, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.
28. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “