1/6 Expediente N.º: EXP202204998 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A., en nombre y representación de D. B.B.B. (en adelante, la parte reclamante) con fecha 26 de septiembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CAIXABANK, S.A. con NIF A08663619 (en adelante, la parte reclamada o CaixaBank). Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que la entidad reclamada, a través de empresas de recobro, le está reclamando el pago de una deuda que quedó anulada por sentencia judicial, y sobre la que CaixaBank le indicó que procedía al cese de las reclamaciones de la misma. Y, aporta la siguiente documentación relevante: Carta de CaixaBank, de fecha 24 de diciembre de 2020, dirigida a dar contestación a la reclamación interpuesta por la parte reclamante, informando de que verificaban la nulidad del contrato, por lo que han dado órdenes para el cese de las reclamaciones de impago que recibía. Captura de pantalla del SMS recibido de la empresa de recobro en nombre de la reclamada, de fecha 23 de julio de 2021, reclamando el pago de la deuda. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 5 de noviembre de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 17 de diciembre de 2021 se recibe en esta Agencia escrito de contestación en el que se limitan a adjuntar copia del contrato de las condiciones particulares de la Libreta Estrella, Cuenta Pensión Club Ahora y contratos relacionados y de la sentencia del Juzgado 1ª Instancia (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 En la Sentencia del Juzgado 1ª Instancia (…) Procedimiento Ordinario 000026X/XXXX demandante el reclamante y demandado CaixabanK de fecha ***FECHA.1. En su Fundamento de Derecho Quinto se dispone la nulidad radical del contrato tarjeta (…) y la consecuencia es que el actor únicamente vendrá obligado a devolver a la parte demandada el capital efectivamente dispuesto descontando toda cantidad que exceda de dicho capital. TERCERO: Con fecha 10 de marzo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 22 de junio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el acuerdo de inicio el 23 de junio de 2022 a la parte reclamada. Con fecha 5 de julio de 2022, solicitó ampliación de plazo y el día 13 del mismo mes y año, tuvo entrada en esta Agencia un escrito de la representación de CAIXABANK, S.A., en el cual alegaba que CaixaBank es totalmente ajena al contrato de tarjeta cuya nulidad es objeto de la sentencia y por lo tanto en ningún caso puede constituirse responsable de la infracción que se imputa, ya que la entidad demandada en el procedimiento por que se declara la nulidad radical del contrato de tarjeta (…) es la entidad CAIXABANK PAYMENTS, E.F.C. E.P., S.A., con NIF A08980153. Siendo CAIXABANK PAYMENTS, E.F.C. E.P., S.A., una entidad mercantil con personalidad jurídica propia y absolutamente distinta de la entidad CAIXABANK, S.A. con NIF A08663619 Por otra parte, aportan como documento número dos, la sentencia, en la que consta la entidad demandada en el procedimiento por que se declara la nulidad radical del contrato de tarjeta (…) es la entidad CAIXABANK PAYMENTS, E.F.C. E.P., S.A., con NIF A08980153. SEXTO: El 19 de julio de 2022 se notificó a CaixaBank la propuesta de resolución formulada en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se ARCHIVE el procedimiento sancionador con número de expediente EXP202204998 abierto la entidad CAIXABANK, S.A. con NIF A08663619 por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD>>. HECHOS PROBADOS PRIMERO: El reclamante manifiesta que CaixaBank, S.A. con NIF A08663619, a través de empresas de recobro, le está reclamando el pago de una deuda que quedó anulada por sentencia judicial, y sobre la que CaixaBank le indicó que procedía al cese de las reclamaciones de la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 SEGUNDO: Se constata en la Sentencia del Juzgado 1ª Instancia (…) Procedimiento Ordinario 000026X/XXXX que la entidad demandada en el procedimiento por que se declara la nulidad radical del contrato de tarjeta (…) es la entidad CAIXABANK PAYMENTS, E.F.C. E.P., S.A., con NIF A08980153 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
- a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” III El artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, sobre la responsabilidad, en su apartado primero: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Por su parte, dispone el artículo 89 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su apartado primero: “El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
- a)La inexistencia de los hechos que pudieran constituir la infracción.
- b)Cuando los hechos no resulten acreditados.
- c)Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa.
- d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad.
- e)Cuando se concluyera, en cualquier momento, que ha prescrito la infracción”. Respecto a lo alegado por la parte reclamada en el presente caso, en que consta en la sentencia que la entidad demandada en el procedimiento por que se declara la nulidad radical del contrato de tarjeta “(…)” es la entidad CAIXABANK PAYMENTS, E.F.C. E.P., S.A., con NIF A08980153 y no la parte reclamada. Pues bien, de la documentación aportada, se desprende que efectivamente la entidad demandada que figura en la sentencia del Juzgado 1.A. Instancia (…). Procedimiento Ordinario 000026X/XXXX, Sentencia 0006X/XXXX promovido por el representante del reclamante no es la parte reclamada sino CAIXABANK PAYMENTS, E.F.C. E.P., S.A., de fecha ***FECHA.1, por lo que no se puede considerar a la entidad CAIXABANK, S.A., como responsable. Resulta obligado, por lo tanto, proceder al archivo de las actuaciones del presente expediente, sin perjuicio que pueda exigirse responsabilidad a la entidad realmente responsable de los hechos. Por ello, y visto lo anterior, por la Directora de la Agencia Española de Protección de Datos. RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador con número de expediente EXP202204998 abierto a la entidad CAIXABANK, S.A. con NIF A08663619 por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad denunciada CAIXABANK, S.A. con NIF A08663619. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es