← España

PS-00253-2024

1/16  Expediente Nº: EXP202305408 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (en adelante, BBVA), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202305408 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 10 de marzo de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, junto con su mujer, solicitó a la parte reclamada información en relación con un préstamo hipotecario. Manifiesta que la parte reclamada, sin su consentimiento, ha firmado (haciéndose pasar por la parte reclamante) un documento denominado "Política de Protección de Datos Personales y Declaración de Actividad Económica", ocurriendo lo mismo con su mujer, no reconociendo ninguno las firmas manuscritas que obran en los citados documentos. Manifiesta que acudió a una sucursal de la parte reclamada exponiendo lo sucedido, indicando que deberían haber contactado con el cliente para que se personase en la oficina y firmase la documentación correspondiente, pero que el empleado que le atendió le indicó que es algo que suelen hacer con normalidad "para agilizar los trámites". Junto a la reclamación aporta copia de la documentación controvertida, de fecha (…), en la que constan los datos personales de la parte reclamante, así como también C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 figuran tres casillas marcadas relativas a la otorgación del consentimiento para el tratamiento de sus datos personales con fines comerciales por parte de la entidad reclamada y empresas colaboradoras, así como para la elaboración de perfiles. En dicho documento consta una firma manuscrita. Asimismo, aporta otro documento relativo a su mujer, en idénticas condiciones. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 2/05/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 3/05/2023 se recibió en esta Agencia escrito solicitando información y manifestando lo siguiente: “Que en fecha 02/05/2023 se ha notificado a mi representada “Traslado de reclamación y solicitud de información” en relación con el número de expediente EXP202305408. II. De la documentación que se acompaña con la reclamación no es posible que mi representada pueda identificar al reclamante, y responder al requerimiento, debido a que los documentos Anexo 1 y 2 no contienen información. Se acompaña para acreditar lo anterior el documento número 1 “Traslado de reclamación y Solicitud de información”. III. Por los motivos anteriores solicitamos a esta Agencia que nos dé traslado nuevamente del Expediente de referencia, con los documentos que permitan a mi representada identificar al reclamante y sobre los que se sustente la reclamación presentada.” Con fecha 9/06/2023 esta Agencia trasladó escrito manifestando que se consideraba que no procedía el acceso a la copia de los documentos solicitados dado que ya se le remitió lo necesario para que pueda dar respuesta al traslado, requiriéndole nuevamente para que, en el plazo establecido desde la recepción del escrito de solicitud de información de esta Agencia, notificado el 2 de mayo de 2023, facilitara toda la información requerida en el mismo TERCERO: Con fecha 10 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 16/06/2023 se recibió en esta Agencia escrito de respuesta indicando que la información enviada es insuficiente por estar la información ilegible y que no pueden responder el requerimiento, en concreto manifiesta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 “Que el 28/04/2023 mi representada comunicó a la AEPD que en el traslado recibido no se incluían los datos del reclamante para su identificación y que los anexos 1 y 2 que se acompañaban no contenían información, solicitando un nuevo traslado de la reclamación y nuevo plazo. III. Que el 13/06/2023 nos han dado traslado de la comunicación con referencia EXP202305408 y asunto “Solicitud copia de expediente” indicando que no procede el acceso a la copia de los documentos solicitados dado que ya se le remitió lo necesario para que pueda dar respuesta al traslado.” Se realiza nuevamente traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 28/07/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 27/09/2023 se recibió en esta Agencia escrito de respuesta indicando entre otras cosas, lo siguiente: “se le comunicó por escrito al A.A.A. la decisión acordada por mi representada con respecto a la reclamación presentada ante esta Agencia, tal y como se acredita en el Documento nº1 que se aporta. En la misma se le comunica que se ha procedido a poner en conocimiento de los responsables implicados los hechos relatados por el reclamante en aras de que se adopten las medidas necesarias para corregir situaciones como las trasladadas por A.A.A.. Del mismo modo, para su constancia, se le informa de que, en la actualidad, no existen posiciones activas en la entidad ni a su nombre ni al de su esposa. La referida comunicación se envió por correo postal a la dirección que consta en el traslado de reclamación que nos ha hecho llegar esta Agencia, esto es, ***DIRECCIÓN.1. En consecuencia, mi representada ha cumplido con todas las imposiciones legales previstas en el RGPD en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, dando respuesta a la solicitud de efectuada por el A.A.A.. Del mismo modo, y como consta en la respuesta dada por el SAC al efecto, se han puesto en conocimiento del departamento correspondiente los hechos trasladados por el reclamante en aras de tomar las medidas oportunas para que, en el futuro, no se produzcan situaciones similares. En virtud de todo lo anterior, SOLICITO A ESTA AGENCIA que tenga por contestada la solicitud efectuada, dentro del procedimiento al margen referenciado y, en todo caso, BBVA queda a disposición de esta Agencia con el fin de aclarar, ampliar o explicar la información facilitada.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Los hechos son de 10 de enero de 2023, y la parte reclamante manifiesta en su reclamación de 10 de marzo haber acudido a la sucursal de la reclamada para exponer la falsedad en las firmas. La parte reclamada responde en al traslado el 27 de septiembre, donde manifiesta haber atendido la reclamación mediante el envío de escrito a la parte reclamante, cuya fecha es 26 de septiembre. La parte reclamada no responde al resto de información solicitada por esta AEPD en el traslado. En los registros del RAT proporcionado por la parte reclamada se mencionan, como medidas organizativas de seguridad, los documentos “Política General de Privacidad y Protección de Datos de la Entidad” y “Norma Corporativa sobre bloqueo y borrado de datos”. En el segundo requerimiento por parte de esta Agencia, se solicita a la parte reclamada información sobre la conservación de documentos con datos personales: “Documento de BBVA en que se describa la política de conservación de los mismos, o en su defecto descripción de la misma”, y “Plazo de conservación establecido para cada tipo de documento, o para cada categoría de los datos personales que aparecen en los documentos, de los que aparecen en el conjunto documental de los afectados aportado por BBVA el pasado 30 de enero.” La parte reclamada no aporta documentos; como respuesta manifiesta: “[…] en la Política de protección de datos personales de clientes se informa que los datos personales se conservarán durante la vigencia de la relación contractual o mientras resulten necesarios para la finalidad concreta de cada tratamiento. Adicionalmente a ello y, una vez que la relación contractual se ha extinguido, los datos serán conservados (

  1. i)para dar cumplimiento a las obligaciones legales que incumben a la Entidad, como son el cumplimiento de los plazos de conservación establecidos por el legislador que deberán observarse en relación con supuestos o materias concretas (ej. prevención del blanqueo de capitales) y (
  2. ii)durante los plazos de prescripción legal a los efectos exclusivos de formulación y defensa de reclamaciones o acciones legales, permitiendo ejercer el derecho a la tutela judicial efectiva. Por último, destacar que, para el buen fin de las medidas técnicas y organizativas definidas, se han implantado los siguientes controles: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Una vez al año, Cumplimiento Normativo revisará las autorizaciones otorgadas para el acceso a datos bloqueados y asegurará que han cumplido el proceso de verificación previa previsto. Revisión anual de las normas y procedimientos a fin de comprobar si siguen siendo aplicables en todos sus términos o si necesitan de alguna modificación o adaptación. Las normas y procedimientos se encuentran publicados y a disposición de todos los empleados en la intranet. Controles periódicos para asegurar el cumplimiento del procedimiento de bloqueo. El control de bloqueo de los datos de clientes está implantado en los sistemas y se ejecuta automáticamente. Adicionalmente, con carácter anual, se verifica el adecuado funcionamiento.” Firma de los documentos: La parte reclamante manifestó que la reclamada le remitió los documentos de protección de datos, no haberlos firmado, y no reconoce como propias las firmas que aparecen en los mismos. En los documentos aportados con la reclamación, “POLÍTICA DE PROTECCIÓN DE DATOS PERSONALES Y DECLARACIÓN DE ACTIVIDAD ECONÓMICA”, con los datos de la parte reclamante y su cónyuge, aparecen las opciones de consentimiento de la página 5 señaladas, las rúbricas en la página 40, así como la expresión “ATENCION PRESENCIAL OFICINA” en la certificación de firma al pie de la página 42. La parte reclamada manifiesta: “En primer lugar, debemos tener en cuenta que, en la actualidad, no es posible firmar la LOPD (documento presentado en la reclamación) de manera manuscrita en las oficinas comerciales debiéndose firmar en la correspondiente tableta. Por tanto, a la hora de recabar la firma de un cliente se seleccionará en primer lugar la opción de firma DIFERIDA. Cabe destacar que únicamente se permite la opción de diferir la firma para la documentación precontractual, contractual y la documentación personal obligatoria. Del mismo modo la firma a distancia es únicamente para Personas Físicas. Al diferir una firma se generan una serie de notificaciones por email tanto al cliente como al gestor […] Una vez el documento se haya firmado a través de firma a distancia, se archivará de forma automática en la Biblioteca Digital del cliente (Biblioteca de Contratos) con la huella digital incrustada al final del documento con la información referente al canal, la fecha y la hora en la que se ha realizado la firma por parte del cliente, como en el caso que nos ocupa que toda la documentación firmada por los reclamantes, así como aportada por los mismos se encuentra en su Biblioteca de Contratos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 Del mismo modo existen otros modos de firmar la LOPD siendo, por ejemplo, a través de la Web bbva.es, la APP de BBVA, teléfono móvil, etc. La relación contractual con los reclamantes es extensa en el tiempo y existen multitud de documentos suscritos por su persona que evidencian que, salvo el caso que nos ocupa, BBVA siempre ha obrado con la máxima diligencia y respeto de la normativa en materia de protección de datos. En el caso que nos ocupa, hecho aislado y puntual, una vez se tuvo conocimiento de lo ocurrido se procedió por parte de BBVA a investigar los hechos. De lo investigado se desprende que el gestor de la oficina no respetó el procedimiento de firma de documentos por parte de los clientes a pesar de que BBVA tiene establecidos los debidos procesos de obtención de firma de clientes y los empleados conocen a la perfección dichos procesos.” La parte reclamada aporta junto a su respuesta al requerimiento, en fecha 25/01/2024 un vídeo, que proporciona indicaciones para sus empleados sobre la necesidad de no marcar previamente las casillas de consentimiento de los documentos, y de supervisar los lugares de firma por parte de los clientes. De lo aportado se recorta el siguiente fragmento: (…) Requerida nuevamente información en fecha 13/03/2024 la parte reclamada en su respuesta de fecha 18/04/2024, repite las manifestaciones ya realizadas y aporta junto a su respuesta dos vídeos idénticos al ya aportado en su anterior respuesta al primer requerimiento. Aporta también otro vídeo, que contiene indicaciones sobre la necesidad de no proporcionar información de los clientes a terceros no autorizados, y otro video, en el que se incide sobre lo ya mencionado, y del que se recorta el siguiente fragmento: (…) La parte reclamada manifiesta a su vez en su respuesta del 18/04/2024 sobre la difusión de sus comunicaciones: “Respecto del documento que recoge el procedimiento que deben seguir los empleados en relación con la firma de documentos por parte de los clientes, esta representación ya aportó como documento nº 6 del escrito presentado en fecha 25/01/2024, el video explicativo del citado procedimiento que se hizo llegar en su momento a todos los empleados para su conocimiento y aplicación a través de la comunicación interna HOY. No obstante, esta representación aporta de nuevo el citado vídeo en el que se recoge el procedimiento como documento nº 1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Respecto de la acreditación de conocimiento del citado procedimiento por parte de los empleados, la comunicación HOY que recogía el citado video, fue enviada a Banca Comercial con un total de 12.617 destinatarios y a Servicios Centrales de la Entidad, con un total de 2.602 destinatarios.” La parte reclamada manifiesta así mismo en su respuesta de 18/04/2024: “[…] la medida principal adoptada por BBVA respecto de los hechos que aquí nos ocupan fue la de poner en conocimiento del departamento de Auditoría Interna de la Entidad los mismos para llevar a cabo una investigación interna. […] los resultados de la investigación se elevaron al Comité de Disciplina de la Entidad para su decisión […]” “ […] El departamento de Auditoría Interna de la Entidad tiene como función, entre otras, contribuir a que el Grupo BBVA cumpla con sus objetivos aportando aseguramiento objetivo, asesoría y conocimiento basado en riesgos para evaluar y mejorar la gestión de los riesgos. Entre los principales cometidos de dicha función encontramos proporcionar verificación y aseguramiento independiente de que las unidades y actividades del Grupo BBVA […] cumplen las políticas, normas y procedimientos internos definidos y la normativa externa aplicable.” “En definitiva, BBVA cuenta con un departamento especializado en (
  3. i)detectar posibles actuaciones contrarias a los procedimientos internos definidos o a la normativa externa exigible y (
  4. ii)en investigar actuaciones de dicha índole que se pongan en su conocimiento a los efectos de que las personas implicadas cesen en las mismas y que sus actuaciones causen el menor impacto negativo a los clientes de la Entidad.” “Para ello, BBVA cuenta con diversas medidas consistentes en, por ejemplo:” “Envíos a toda la red de oficinas de fichas de advertencia de malas prácticas. Por ejemplo, la generada en el mes de marzo de 2024 indicaba la importancia del correcto uso de los datos de carácter personal. Dichas fichas de advertencia generan información a los empleados sobre cómo deben atender a los clientes en determinados casos concretos, las consecuencias que puede provocar no atender dichas advertencias, así como diversos consejos y recordatorios relativos a la atención al cliente.” (…) “Para el mes de mayo del presente año está previsto el envío de la correspondiente ficha de advertencia recordando a todos los empleados la necesidad de disponer de la documentación de los clientes debidamente firmada.” “Catas de calidad de firma sobre documentos firmados en tableta por la red de oficinas. Se realizan actualmente una media de 750 revisiones cada mes para identificar la consistencia de la firma con el contraste de la firma digitalizada en los sistemas de BBVA.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 “Visitas a oficinas. Cada año se visitan en torno a 1.000 oficinas de las 1.848 existentes. Se realizan diversas comprobaciones en las mismas y dentro de esa visita se resalta la importancia de la ortodoxia a la hora de desempeñar el puesto de trabajo incluyendo la relevancia, entre otros, de los documentos LOPD.” QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A. es una (…) constituida en el año 1.900, y con un volumen de negocios de (…) euros y (…) empleados, en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales toda vez que la parte reclamada realiza, el tratamiento de datos personales del reclamante tales como: nombre y apellidos y número del documento nacional de identidad, dirección, fecha de nacimiento, estado civil, nivel de estudios, ingresos. Así mismo, la parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: “responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, sólo junto con otros, determine los fines y medios del tratamiento. III Obligación incumplida. Licitud del tratamiento El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 En relación con la licitud del tratamiento de datos de carácter personal, el artículo 6.1 del RGPD, establece lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  11. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el presente caso, consta en el expediente un documento, aportado junto con la reclamación, el que contiene los datos personales del reclamante junto con una firma manuscrita que éste no reconoce como suya. En dicho documento se encontraban marcadas tres casillas relativas a la otorgación del consentimiento para el tratamiento de los datos personales del reclamante con fines comerciales por parte de la entidad reclamada y empresas colaboradoras, así como para la elaboración de perfiles. Presentada la reclamación, la parte reclamada manifestó, tras haber investigado los hechos, que “el gestor de la sucursal bancaria no respetó el procedimiento de firma de documentos por parte de los clientes”. La parte reclamada parece reconocer así los hechos y, por lo tanto, la presunta ausencia de base de legitimación para el tratamiento de datos personales del reclamante., Por ello, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que hubo un tratamiento de datos sin base de legitimación , ya que se estaban relacionando datos personales correctos de la parte reclamante con una firma que no es la suya; así mismo, se encontraban marcadas las casillas del consentimiento para el tratamiento de sus datos personales con fines comerciales por parte de la entidad reclamada y empresas colaboradoras, así como para la elaboración de perfiles, hechos que podrían ser constitutivos de una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 infracción, imputable a la parte reclamada por vulneración del principio de licitud previsto en el artículo 6.1 del RGPD. IV Tipificación y calificación de la infracción Los hechos conocidos podrían ser constitutivos de una infracción tipificada en el artículo 83.5
  12. a)del RGPD, que estipula lo siguiente: 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  13. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1. de la LOPDGDD, que califica de muy grave la siguiente conducta: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  14. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” V Propuesta de sanción A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por la gravedad que supone la suplantación de identidad al haber firmado personal de la parte reclamada documentos a nombre de la parte reclamante. Como agravante: - Toda infracción anterior cometida por el responsable o el encargado del tratamiento (apartado e): La entidad ha sido sancionada anteriormente por otras infracciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 RGPD, LOPDGDD. Solo en el último año, constan las relacionadas con los PS/00677/2022, PS/00147/2023, PS/00456/2022, y PS/00115/2023. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravante: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): la parte reclamada, para el desarrollo de su actividad, realiza un elevado volumen de tratamientos de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 200.000,00 euros. VI Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  15. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF A48265169, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
  16. a)del RGPD. SEGUNDO: NOMBRAR como instructora a B.B.B. y, como secretaria, a C.C.C., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  17. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, por la supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  18. a)de dicha norma, multa administrativa de cuantía 200.000,00 euros, sin perjuicio de lo que resulte de la instrucción. Sin perjuicio de lo que resulte de la instrucción, a los efectos previstos en el art. 64.2
  19. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder por los hechos que motivan la incoación del procedimiento y su posible calificación sería de multa administrativa. No obstante, de acuerdo con el art. 83.7 del RGPD, y lo dispuesto por el art. 77.2 de la LOPDGDD, por la categoría del sujeto presuntamente responsable de la infracción, dicha sanción se sustituiría por la declaración de la infracción. QUINTO: NOTIFICAR el presente acuerdo a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF A48265169, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  20. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 160.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 160.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 120.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (160.000,00 euros o 120.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-050724 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 17 de diciembre de 2024, BBVA ha procedido al pago de la sanción en la cuantía de 120.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 reducciones, la sanción quedaría establecida en 120.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, BBVA ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 200.000,00 euros. Tras haber procedido BANCO BILBAO VIZCAYA ARGENTARIA, S.A. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 120.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202305408, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  21. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 936-200325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.