PS-00259-2020

1/48  Procedimiento Nº: PS/00259/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes: ANTECEDENTES PRIMERO: D. A.A.A., con NIF ***NIF.1 (en lo sucesivo, el reclamante), interpone reclamación ante la Agencia Española de Protección de Datos (AEPD) con fecha 06/04/2020. La reclamación se dirige contra BANKIA, S.A., con NIF A14010342 (en lo sucesivo, la reclamada). El motivo en el que basa su reclamación es la recepción de publicidad comercial que la reclamada le envió a través de correo postal después de que se hubiera opuesto al tratamiento de sus datos con fines publicitarios y de que la reclamada, de quien él es cliente, le respondiera que atendía su derecho y procedía a adoptar las medidas necesarias para su cumplimiento. Aporta con su reclamación estos documentos: a. El que contiene la comunicación comercial (anexo 2), integrado a su vez por dos documentos. En el primero de ellos, en su parte inferior derecha, figuran los datos personales del reclamante -nombre, dos apellidos y dirección postal completa- y debajo un código de barras. La posición en la que están situados en el documento los datos personales coincide con la que ocupa la ventana de un tipo de sobres que se utiliza habitualmente en el correo postal y que permite ver los datos del destinatario que figuran impresos dentro del sobre. En la esquina superior derecha del documento figura el anagrama de la reclamada con su nombre. En la esquina inferior derecha la indicación “11.02.2020”. En el cuerpo del documento consta esta leyenda: “Cuesta mucho encontrar la casa de tus sueños. Por eso, TE QUITAMOS LAS COMISIONES DE TU NUEVA HIPOTECA. Sólo por tener tu nómina domiciliada y nada más. Te quitamos las comisiones de:” Seguidamente, en dos columnas paralelas, figura: “APERTURA”; “AMORTIZACIÓN ANTICIPADA”; “CANCELACIÓN ANTICIPADA”; “GASTOS DE CORREO”. Inmediatamente debajo se indica: “Para que soñar cueste menos. *Consulta condiciones en oficinas Bankia o bankia.es”. El segundo documento que integra el anexo 2 del escrito de reclamación es idéntico al primero con esta particularidad: los datos personales del destinatario no coinciden con los del reclamante -la dirección postal es la misma pero no el nombre y apellidos, en este caso B.B.B.- ni tampoco la fecha del envío, en este caso el 24/02/2020. a. La carta, de fecha 28/11/2018, que la reclamada envió al reclamante en la que acusa recibo de su solicitud de no recibir información de carácter comercial o publicidad de la entidad y de que sus datos no fueran comunicados a otras entidades, participadas del grupo Bankia o colaboradores con finalidad comercial (anexo 1). En ella, la reclamada informa al reclamante que ha atendido su solicitud y ha procedido a adoptar las medidas necesarias para su cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/48 Se reproduce el siguiente fragmento de la carta enviada al reclamante en respuesta a su petición de no recibir información comercial: “En relación con su solicitud por la que usted [el reclamante], con D.N.I. [ el del reclamante], nos comunica su deseo de no recibir información de carácter comercial o publicitario de esta Entidad, así como que sus datos no sean comunicados a otras entidades o participadas del grupo Bankia o colaboradores, le informamos que hemos atendido cumplidamente su solicitud y hemos procedido a adoptar las medidas necesarias para su cumplimiento.” (El subrayado es nuestro) El reclamante aportó también a la AEPD junto con la carta de respuesta que recibió de la reclamada un documento de siete hojas con el anagrama de la entidad que lleva por rúbrica “Tratamiento de Datos Personales” “Información sobre las condiciones para el tratamiento de datos personales (actualizado)”. En el documento figuran en primer término, bajo la rúbrica “Datos de identificación del Cliente”, los datos personales del reclamante. Más adelante consta que “Los datos personales solicitados por [la reclamada] serán tratados de acuerdo con la siguiente información básica de protección de datos.” El “Informe básico sobre protección de datos” se estructura en varios apartados dedicados al “Responsable”; “Finalidades”; “Legitimación”; “Destinatarios”; “Derechos” e “Información adicional”. En el apartado “Finalidades” menciona, entre otras, el “Envío de campañas comerciales, comunicación de ofertas de productos, servicios y promociones tanto de la [reclamada] como de terceros”. En el apartado “Legitimación” se mencionan “la ejecución del contrato, el cumplimiento de una obligación legal, consentimiento del interesado y el interés legítimo”. Más adelante existe un apartado denominado “Envío de comunicaciones comerciales personalizadas”. El punto 1.1. se refiere a “comunicaciones comerciales personalizadas a través de cualquier canal (...) sobre productos, servicios, promociones [...] en base a su perfil, elaborado a partir de sus datos personales, los productos que tiene contratados, así como a partir de las operaciones, movimientos, transacciones asociadas a sus productos” y se desdobla en los puntos 1.1.1, 1.1.2 y 1.1.3. En todos ellos consta como opción “No”. SEGUNDO: A la vista de los hechos expuestos en la reclamación, la Subdirección General de Inspección de Datos, de conformidad con lo previsto en el artículo 65 de la Ley Orgánica 3/2018, de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD), a fin de valorar la admisibilidad de la reclamación, en el marco del expediente E/3708/2020 y mediante escrito firmado el 03/06/2020, da traslado de la reclamación a la reclamada para que en el plazo de un mes facilite una explicación de los hechos denunciados, detalle las medidas adoptadas para evitar que en el futuro se sigan produciendo situaciones similares y proceda a comunicar su decisión al reclamante. El escrito se notificó a la reclamada electrónicamente. El certificado emitido por el Servicio de Notificaciones Electrónicas y de Dirección Electrónica Habilitada de la FNMT-RCM (en adelante, FNMT), que obra en el expediente, deja constancia de la puesta a disposición en la sede electrónica el 03/06/2020 y de la aceptación de la notificación el 06/06/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/48 La reclamada responde a la solicitud informativa el 03/07/2020 y remite un informe con las actuaciones efectuadas por la oficina del delegado de protección de datos (DPD). Expone, en primer término, que se ha verificado que el reclamante no formuló ante la reclamada -ni ante su oficina gestora, ni ante el SAC ni ante el DPD- ninguna reclamación por el motivo en el que basa la reclamación presentada ante la AEPD. En segundo término, afirma que el reclamante ejerció “el derecho de oposición” a la recepción de comunicaciones comerciales de la reclamada en fecha 04/11/2018, mediante correo electrónico dirigido a la dirección protecciondatos@bankia.com, siendo tramitada y contestada la solicitud el 21/11/2018 en escrito que coincide con el que el reclamante adjuntó como anexo 1 a su reclamación. Indica también que el reclamante ha alegado que el 11/02/2020 “recibió una comunicación” sobre la hipoteca sin comisiones y que ha aportado una copia de dicha comunicación. A propósito de la naturaleza de la “comunicación” que la reclamada envió al reclamante y a la licitud del tratamiento de datos efectuado, hace estas consideraciones: -“Como puede apreciarse de los propios documentos aportados por el Sr. [reclamante], a lo que se refiere el reclamante con “comunicación” es al envío de la carátula de correspondencia que la entidad utiliza para el envío de información por correspondencia física a los clientes sobre sus productos (extractos, movimientos, comisiones…), que como se puede observar de las dos carátulas aportadas es igual en su grafismo para todos los clientes con la única diferencia de que recoge los datos de correspondencia específicos de cada cliente.” - “No se trata, pues de una comunicación comercial personalizada ni dirigida al reclamante por su perfil sino de una carátula genérica y común para todos los clientes, similar a los carteles que se encuentran expuestos en las oficinas o sus fachadas, y general para todos los clientes que reciben su correspondencia físicamente en formato papel.” - “Y por tanto, ha de entenderse que se trata de un envío amparado en el interés legítimo de [¿?] tal y como se informa en la política de privacidad de la entidad, al estar referido con carácter general a productos o servicios comercializados por la entidad y similares a los productos contratados por sus clientes (productos financieros).” (El subrayado es de nuestro) La reclamada concluye con esta afirmación: “no se ha dirigido al reclamante ninguna comunicación comercial personalizada al haber ejercitado el mismo su derecho de oposición a recibir este tipo de comunicaciones comerciales”. (El subrayado es nuestro) La reclamada remite a la AEPD con su respuesta una copia de la carta que envió al reclamante comunicándole la decisión adoptada a la vista de los hechos relatados en su reclamación. La Directora de la AEPD, de conformidad con lo previsto en el artículo 65 de la LOPDGDD, con fecha 13/07/2020 acuerda admitir a trámite la presente reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/48 El acuerdo de admisión a trámite se notificó al reclamante por correo postal el mismo día de su firma y consta recibido el 21/07/2020. TERCERO: Con fecha 07/10/2020 la Directora de la AEPD acuerda la apertura de un procedimiento sancionador a la reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1.

1. f)del Reglamento (UE) 2016/679, de 27 de abril, del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), tipificada en el artículo 83.5.
2. a)del RGPD. CUARTO: Notificado el acuerdo de inicio, la reclamada, mediante escrito presentado el 19/10/2020, solicita que, conforme al artículo 53.1.
3. a)de la LPACAP, se le facilite una copia de los documentos que integran el expediente administrativo, y que, de conformidad con el artículo 32.1 de la citada LPACAP, se amplíe en cinco días el plazo inicialmente otorgado para formular alegaciones. QUINTO: En escrito de fecha 23/10/2020 se acuerda ampliar el plazo para formular alegaciones por el máximo permitido legalmente y se remite a la reclamada la copia del expediente electrónico. Ese escrito, junto con la copia del expediente, se notificó a la reclamada por medios electrónicos siendo la fecha de puesta a disposición el 23/10/2020 y la fecha de aceptación el 26/10/2020. Así consta en el documento “Confirmación de la recepción de la notificación” de la aplicación Carpeta Ciudadana. SEXTO: En fecha 03/11/2020 la reclamada presenta sus alegaciones al acuerdo de apertura del procedimiento sancionador en las que solicita que se declare la nulidad de pleno Derecho del procedimiento por los motivos que detalla en la alegación primera de su escrito. Subsidiariamente, solicita que se acuerde el archivo del procedimiento por inexistencia de infracción de la normativa de protección de datos de carácter personal. Y, con carácter subsidiario respecto a las anteriores pretensiones, que se acuerde apercibir a la reclamada (artículo 58.2.b, RGPD) o, en su defecto, se reduzca significativamente la cuantía de la multa prevista en el acuerdo de apertura del procedimiento, en atención a lo señalado en su alegación cuarta. En defensa de sus respectivas pretensiones aduce los argumentos siguientes: La alegación primera de su escrito lleva por rúbrica “De la indefensión producida a [la reclamada] como consecuencia de la fijación del importe de la sanción en el acuerdo de inicio”. En síntesis, expone que el acuerdo de apertura se encuentra viciado de nulidad por la indefensión que le genera el que se haya fijado el importe de la sanción en el acuerdo de inicio, en lugar de expresar solo los límites de la posible sanción; porque no se han motivado las agravantes y porque a través del acuerdo de inicio se hace una valoración de su culpabilidad sin que haya tenido ocasión de pronunciase al respecto. Añade que el acuerdo de inicio excede del contenido previsto en el artículo 68 de la LOPDGDD y que, al haber fijado el órgano decisor el importe de la sanción en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/48 acuerdo de apertura del procedimiento se compromete la imparcialidad del órgano instructor, lo que determina en su opinión una “clara ruptura del principio de separación de la fase instructora y de sanción”. Afirma que las reglas del artículo 85 de la LPACAP no son aplicables al presente caso sino a los supuestos en los que la norma sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que se ha hecho en el acuerdo de inicio no respeta su tenor literal, según el cual la cuantía de la sanción pecuniaria podrá determinarse “iniciado el procedimiento sancionador”, En la alegación segunda, “De las circunstancias concurrentes en el presente caso”, la reclamada hace una relación de los hechos del expediente. En particular relaciona los siguientes: -En fecha 04/11/2018 el reclamante dirige a la reclamada una comunicación electrónica en la que ejercita el derecho de oposición y solicita que no se “utilicen para comunicaciones comerciales de ningún tipo” los datos relativos a su correo electrónico, número de teléfono y correo postal. - El 21/11/2018 la reclamada responde a la solicitud de ejercicio del derecho de oposición y le informa de que en relación con “su deseo de no recibir información de carácter comercial o publicitario de esta Entidad, así como que sus datos no sean comunicados a otras entidades o participadas del grupo Bankia o colaboradores con finalidad comercial”, se ha “atendido cumplidamente su solicitud y [ha] procedido a adoptar las medidas necesarias para su cumplimiento”. (El subrayado es nuestro) -El 11/02/2020 el reclamante recibe una carta a su nombre de la reclamada “en cuya carátula se hace referencia a determinados productos de crédito ofrecidos por [la reclamada]” - Consta entre la documentación aportada por el reclamante “otra carta”, de fecha 24/02/2020, dirigida a una persona que no es el reclamante, “con similar grafismo en la carátula del sobre [...]”. - El 03/06/2020 la AEPD le solicita que informe acerca de la reclamación presentada. Señala que la AEPD no le remitió la reclamación sino exclusivamente los documentos anexos a ella. La reclamada responde el 03/07/2020. La alegación tercera del escrito de alegaciones lleva por rúbrica “De la inexistencia de infracción alguna del artículo 6.1. del RGPD” y en ella expone los argumentos centrales de su defensa. Señala que la AEPD le atribuye una infracción del artículo 6.1.f del RGPD “por haber procedido, a su juicio, a un tratamiento de datos con fines de marketing sin contar con base jurídica suficiente para ello, al no poder amparar el tratamiento en el interés legítimo” de la entidad” (El subrayado es nuestro) A continuación, advierte que tal imputación parte de un error de la AEPD. Así, afirma que el acuerdo de apertura incurre en un error al confundir la “existencia de publicidad de [la reclamada] en la carátula incluida en el sobre que dirige al reclamante” con “la realización de un tratamiento con fines de marketing directo”. Reitera la misma idea en el curso de su alegación tercera. Dice, por ejemplo, que la AEPD confunde el “marketing directo” con “el tratamiento de datos con fines de marketing directo”, “siendo así que se trata de dos realidades completamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/48 diferenciadas” O que “La AEPD incurre en una evidente contradicción al confundir [...] la existencia de publicidad con la realización de un tratamiento de datos con esa finalidad”, para precisar a continuación que, únicamente en este segundo supuesto, serían aplicables las normas reguladoras del derecho fundamental a la protección de datos de carácter personal y la AEPD podría ejercer los poderes que como autoridad de control tiene encomendados. La reclamada dice que “la remisión de dicho sobre con la publicidad inserta” no es el “resultado de un tratamiento de datos con finalidades publicitarias. Del mismo modo, no sería posible considerar que nos encontraríamos ante un tratamiento de datos con tales fines en caso de que en la carátula del sobre únicamente hubiera aparecido el nombre comercial de mi representada, aun cuando la AEPD, forzando el concepto contenido en el Acuerdo de Inicio pudiera llegar a considerar la mera representación de ese logotipo como publicidad.” Para la reclamada los datos personales del reclamante se trataron, exclusivamente, con la finalidad de informarle sobre los productos que tenía contratados con ella. Indica al respecto que el único tratamiento que ha llevado a cabo en relación con los datos personales del reclamante “ha sido la impresión, en la misma carátula del sobre remitido a la totalidad de sus clientes, de los datos del Reclamante, con la única y exclusiva finalidad de remitir al mismo información acerca del estado de los productos y servicios contratados por el mismo con [la entidad reclamada]”. Añade también: “Como puede comprobarse, [la reclamada] distingue claramente los tratamientos de datos necesarios para el mantenimiento de la relación contractual que le vincula con el cliente, entre los que se encuentra la remisión de la documentación relacionada con la evolución de los productos y servicios contratados (por ejemplo, un extracto de cuenta, la situación de un producto de ahorro o crédito contratado, etc.), amparado claramente en el artículo 6.1
4. b)del RGPD, y el envío de comunicaciones comerciales de productos o servicios propios o de terceros, amparado, cuando se lleva a cabo por medios postales en el interés legítimo de la Entidad (artículo 6.1
5. f)del RGPD).” (Folios 11 y 12 del escrito) “Es decir, [la reclamada] no realizó tratamiento alguno de los datos del interesado con la finalidad de remitirle información acerca de sus productos, sino únicamente con la de facilitarle la información relacionada con los contratados por aquél, sin que el hecho de que la carátula del sobre en que se remitía la información implique tratamiento alguno de sus datos con la finalidad pretendida por la AEPD. Y es que, en este sentido, no niega [la reclamada] que la información incluida en la carátula pueda ser considerada publicidad a los efectos previstos en las normas que menciona el Acuerdo de Inicio, lo que no puede considerarse es que el hecho de que esa información se incluya en la carátula implique un tratamiento de datos con fines de marketing directo, que es lo que se imputa a mi mandante.” (Folio 12 del escrito de alegaciones) (El subrayado es nuestro) La reclamada expone que es plenamente consciente del alcance del derecho contemplado en el artículo 21.2 del RGPD y de que supone un contrapeso a la aplicación de la regla del interés legítimo para el tratamiento de datos con fines de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/48 mercadotecnia directa, pero estima que ese precepto no resulta de aplicación al presente asunto toda vez que no se ha producido el referido tratamiento. Afirma, “frente a lo invocado por la AEPD en su Acuerdo de Inicio, que la misma no ha llevado a cabo un tratamiento de datos del Reclamante cuya “razón de ser”, “objetivo” o “intención última” consista en la realización de actividades de marketing directo. Dice que “ha procedido al tratamiento de los datos del Reclamante con la única y exclusiva finalidad de remitir al mismo la información relacionada con la evolución y situación de los productos y servicios contratados por aquél, al amparo exclusivo de lo dispuesto en el artículo 6.1
6. b)del RGPD, por ser necesaria esa comunicación para la adecuada gestión y desarrollo de la relación contractual que vincula a [la reclamada] con sus clientes. Y es que, como se anticipó, el hecho de que el sobre en que se remita esta información puede implicar la existencia de publicidad, común por otra parte a la totalidad de los clientes de [la reclamada], pero no un tratamiento de los datos de esos clientes con el “objetivo”, “razón de ser” o “intención última” de realizar acciones de marketing directo.” (El subrayado es nuestro) El documento sobre política de privacidad que la reclamada ha aportado con sus alegaciones al acuerdo de inicio, informa en el apartado destinado a las “condiciones de privacidad” en relación con los datos personales de sus clientes que, sin perjuicio de las condiciones especiales que se establezcan en relación con cada producto contratado por aquéllos, se tratarán para seis finalidades determinadas y específicas, a saber: “1. Atender, gestionar y contestar las consultas, preguntas y solicitudes realizadas por los usuarios a través de los canales de atención o comunicación habilitados por Bankia (Legitimación del tratamiento: consentimiento del usuario). 2. Mantener, cumplir y controlar la relación contractual y precontractual entre los usuarios y Bankia (Legitimación del tratamiento: Ejecución de un contrato). 3. Mejorar las páginas o herramientas web propiedad de Bankia, así como sus productos y servicios, con tal de ofrecer una mejor calidad y servicio al usuario, desarrollar nuevos productos/servicios o mejorar los procesos internos de la entidad (Legitimación del tratamiento: Consentimiento del usuario (cookies) e Interés legítimo). 4. Enviar comunicaciones comerciales sobre productos y servicios, propios o de terceros (Legitimación del tratamiento: Consentimiento del usuario). 5. Realizar estudios con fines estadísticos que puedan ser de interés para Bankia o terceros (Legitimación del tratamiento: Interés legítimo). 6. Cumplir con las obligaciones legales de Bankia (Legitimación del tratamiento: Cumplimiento de una obligación legal).” (El subrayado es nuestro) La alegación cuarta del escrito de alegaciones versa sobre las circunstancias apreciadas por la AEPD para la cuantificación de la sanción. La reclamada aduce que la AEPD ha vulnerado el principio de proporcionalidad en la determinación de la sanción, toda vez que la cuantía de la multa administrativa fijada en el acuerdo de inicio “no se ajusta a la valoración de las atenuantes y agravantes que el propio acuerdo toma en consideración.” A ese respecto explica que el acuerdo de inicio apreció la concurrencia de dos agravantes y una atenuante y fijó una sanción de multa de 50.000 euros cuando, dice C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/48 esa es la cuantía que habitualmente impone la AEPD como sanción por vulneración del artículo 6.1 RGPD en los casos que “no merezcan un reproche sancionador especialmente elevado” y cuando, a diferencia de lo que acontece en este caso, las resoluciones en las que se impone una multa de tal cuantía suelen apreciar la concurrencia de múltiples agravantes y no suelen apreciar la concurrencia de ninguna atenuante. La reclamada hace una comparación entre las circunstancias modificativas de la responsabilidad que la AEPD apreció en la resolución dictada en el PS/00076/2020, seguido también contra ella, y las que constan en el acuerdo de apertura del procedimiento, y advierte dos diferencias: Que en la resolución del PS/00076/2020 no se tomó en consideración la circunstancia, que sí se aprecia en este caso como agravante, de la vinculación de la actividad que la entidad realiza con el tratamiento de datos de carácter personal. Que en la citada resolución se matizaba que la falta de diligencia de la reclamada era “significativa”, lo cual, explica, no se indica en el presente caso. Adelantamos ya que, como puede constatarse con la lectura del acuerdo de inicio del expediente, se utilizó la expresión “La grave falta de diligencia [...]”. Argumenta también que, dado que en este caso se ha apreciado la concurrencia de una atenuante, resulta llamativo que la sanción sea la misma -50.000 euros- que en el PS/0076/2020. Consideraciones que en su opinión son exponente de la invocada vulneración del principio de proporcionalidad. SÉPTIMO: El acuerdo de inicio del procedimiento, en el punto 3 de la parte dispositiva, acordó “INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación anexa, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase previa a la admisión a trámite de la reclamación.” Mediante diligencia de la instructora de fecha 14/06/2021 se dejó constancia a efectos de prueba de que, en virtud de lo acordado por la Directora de la AEPD en el acuerdo de apertura del procedimiento, quedaron incorporados a éste la reclamación presentada y su documentación adjunta, así como la documentación generada y obtenida por la Subdirección General de Inspección de Datos en el marco del E/03708/2020, en el trámite de solicitud informativa previa a la admisión a trámite de la reclamación. OCTAVO: La propuesta de resolución se firma por la instructora del procedimiento en fecha 16/06/2021 y en esa misma fecha se notifica electrónicamente poniéndose a disposición de la reclamada. La notificación fue aceptada el 15/06/2021. Ambos extremos quedan acreditados a través del certificado de la FNMT que obra en el expediente. La propuesta de resolución se formuló en los siguientes términos: <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a BANKIA, S.A., con NIF A14010342, por una infracción del artículo 6.1.
7. f)del RGPD, tipificada en el artículo 83.5.a del RGPD, con multa administrativa de 50.000€ (cincuenta mil euros) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/48 SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se ordene a BANKIA, S.A., con NIF A14010342, por una infracción del artículo 6.1.
8. f)del RGPD, tipificada en el artículo 83.5.a del RGPD, que adopte, en el plazo máximo de un mes, las medidas necesarias para ajustar sus operaciones de tratamiento a las disposiciones del RGPD; de tal manera que ponga fin al tratamiento de datos personales con fines de marketing directo respecto de aquellos clientes que se hubieran opuesto al tratamiento de sus datos con tal finalidad.>> NOVENO: En fecha 25/06/2021 tiene entrada en el registro de la AEPD un escrito de CAIXABANK, S.A., en el que comunica la subrogación, en el presente procedimiento sancionador, en la posición jurídica de BANKIA, S.A., en virtud de la fusión por absorción acordada entre ella, como sociedad absorbente, y BANKIA, S.A., en calidad de sociedad absorbida. En el mismo escrito solicita que se amplíe, por el máximo permitido legalmente, 5 días, el plazo otorgado inicialmente para formular alegaciones a la propuesta de resolución. El escrito remitido por la reclamada estuvo accesible en la aplicación informática el lunes 28/06/2021, último día del plazo inicialmente otorgado para presentar alegaciones a la propuesta de resolución. En escrito de esa misma fecha dirigido a la reclamada se deniega la solicitud de ampliación del plazo de alegaciones. DÉCIMO: La reclamada -antes BANKIA, S.A., ahora CAIXABANK, S.A.- presenta sus alegaciones a la propuesta de resolución el 28/06/2021. Solicita en ellas que se declare la nulidad de pleno Derecho del procedimiento sancionador por los motivos que describe en su alegación primera. Subsidiariamente, solicita que se proceda al archivo del procedimiento “al no constituir la conducta de BANKIA (actualmente CAIXABANK) infracción alguna de la normativa de protección de datos personales.” Y, subsidiariamente respecto a las anteriores peticiones, que se le aperciba conforme al artículo 58.2.
9. b)del RGPD, o, en su defecto, se reduzca significativamente la cuantía de la sanción de multa administrativa en atención a los argumentos expuestos en su alegación cuarta. Aduce en defensa de sus respectivas pretensiones los siguientes razonamientos: -Con carácter preliminar, además de constatar que en fecha 14/06/2021 se le notificó la propuesta de resolución, reitera las manifestaciones hechas en su escrito de alegaciones al acuerdo de inicio, presentadas el 03/11/2020, “toda vez que, a nuestro parecer, el contenido de la Propuesta de Resolución no rebate en modo alguno lo señalado en las citadas alegaciones”. -La alegación primera lleva por rúbrica “Sobre la fijación del importe de la sanción en el acuerdo de inicio.” Esta alegación es, en esencia, idéntica a la formulada en el escrito de alegaciones al acuerdo de inicio del procedimiento. En ella reitera la “manifiesta indefensión” que se le ha generado como consecuencia de que la AEPD haya fijado el importe de la sanción en el acuerdo de apertura del expediente. La indefensión que afirma haber sufrido se sustenta, a su juicio, en que la AEPD “ha procedido a la valoración del grado de culpabilidad de mi mandante y de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/48 circunstancias que afectan a aquél, [...] in audita parte, sin que mi mandante haya tenido la posibilidad de efectuar alegación alguna o efectuar la más mínima prueba en defensa de su derecho, quedando así gravemente perjudicado su derecho a la defensa” y en que tal valoración se efectuó por el órgano competente para resolver, lo que supone una intromisión del órgano sancionador en la actuación inspectora y “una dilución entre las fases de instrucción y resolución del presente procedimiento sancionador, con el consiguiente perjuicio para mi mandante.” La reclamada sostiene que la “manifiesta indefensión” sufrida se produce al “prescindirse de las garantías otorgadas por la normativa reguladora del procedimiento sancionador” y la quiebra del “derecho a la tutela judicial efectiva”, todo lo cual provoca un vicio de nulidad absoluta del artículo 47.1.
10. a)de la LPACAP al haberse lesionado los derechos y libertades susceptibles de amparo constitucional Pasa seguidamente a hacer los siguientes comentarios que pone en relación con algunas de las manifestaciones contenidas en la propuesta de resolución: Afirma que la propuesta señala “que la evaluación in audita parte de las circunstancias concurrentes en el caso y, en consecuencia, la determinación por el órgano competente para sancionar del importe de la sanción procedente con anterioridad a la instrucción del asunto derivaban directa e inmediatamente de lo establecido en el artículo 64 de la Ley 39/2015 [...],si bien, a continuación, se incurre en una manifiesta contradicción, al indicarse, como se hace en la Resolución, que la actuación de la AEPD “va más allá” de lo previsto en la norma.” Que “la AEPD señala en la Propuesta que la fijación del importe de la sanción que procedería imponer al encartado es una exigencia de lo dispuesto en la Ley, pero al mismo tiempo considera que no lo es, dado que parece indicar que, de una forma completamente graciable y beneficiosa para el encartado, la AEPD ha decidido “ir más allá” de lo establecido en la norma, otorgando una suerte de beneficio al administrado, aun cuando ello sea a costa de menoscabar los derechos consagrados en el artículo 24 de la Constitución.” Asimismo, partiendo de la particular interpretación que la reclamada viene haciendo del artículo 85 de la LPACAP, afirma que “la literalidad de la norma” no supone una habilitación al órgano sancionador para prejuzgar el caso, proponiendo ab initio el importe de la sanción, “dado que con ello se quebrantan los más elementales principios del procedimiento sancionador”. Insiste en que el artículo 85.1 de la LPACAP “no exige una previa determinación de la sanción, pues se refiere a la “imposición de la sanción que proceda”; que la norma es aplicable, en todo caso, “iniciado el procedimiento”. Añade que el artículo 85.3. prevé que las reducciones deberán adoptarse sobre la sanción “propuesta”, de lo que concluye que es preciso que se haya determinado cuál es ese importe en el seno del procedimiento, previa audiencia del administrado, pues el acuerdo de inicio “no es el lugar idóneo para “proponer” la imposición de una sanción”. Tomando como punto de partida las consideraciones que se hicieron en la propuesta de resolución acerca de cuál pudiera ser la circunstancia del artículo 47.1. de la LPACAP en la que la reclamada pretendía fundamentar la nulidad del procedimiento que invocaba, realiza los siguientes comentarios que, por su importancia -toda vez que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/48 difieren sustancialmente de lo que esta Agencia expuso en la propuesta de resolución-, merecen ser reproducidos: “[...] de lo expuesto se desprende que el legislador no ha apreciado respecto del procedimiento administrativo sancionador la necesaria separación de las fases de instrucción y de resolución y la necesaria intervención en las mismas de dos órganos distintos, sin que ni el órgano sancionador pueda intervenir ni “dirigir”, como ha sucedido en este caso, la actuación independiente del órgano instructor. “Y para mayor sorpresa la Propuesta de Resolución no sólo considera que el citado principio de separación de las fases de instrucción y resolución no es predicable al procedimiento sancionador, contradiciendo así lo establecido expresamente en la LPACAP y recordado por reiteradísima jurisprudencia del Tribunal Constitucional (por todas en la STC 9/2018, de 5 de febrero), sino que además afirma sin ningún reparo que el principio “a tenor del cual quien instruye no resuelve, no es aplicable al procedimiento administrativo”, sobre la base de una supuesta jurisprudencia constitucional que en nada guarda relación con semejante conclusión.” A propósito de las SSTC precitadas dice: “Sin ánimo de extendernos en este punto, basta hacer una mera referencia a la jurisprudencia invocada para determinar sin el más mínimo atisbo de duda, su absoluta irrelevancia: “En efecto, la STC 175/2005 que invoca la Propuesta ni siquiera guarda relación alguna con el derecho fundamental consagrado en el artículo 24 de la Constitución, sino con el principio de igualdad consagrado en su artículo 14.” “Por su parte, la STC 74/2004 sí hace referencia al derecho a la tutela judicial efectiva, pero en cuanto a la no aplicación al procedimiento administrativo del derecho al juez ordinario predeterminado por la Ley, lo que tampoco guarda relación alguna con lo analizado en el presente procedimiento.” -La alegación segunda lleva por rúbrica “De la licitud de la conducta de Bankia (actualmente Caixabank) y la inexistencia de infracción del artículo 6.1 del RGPD”. La reclamada llega a la conclusión, anunciada en el título de este epígrafe, de que en el asunto que nos ocupa no ha existido un tratamiento de datos personales con fines de mercadotecnia directa por lo cual “resulta ocioso acudir al artículo 6.1 del RGPD para valorar si dicho no-tratamiento cuenta con una base jurídica suficiente, y por ende apreciar que se ha producido una vulneración del cualquiera de los apartados de la norma”. En definitiva, la reclamada considera que el tratamiento de datos efectuado se realizó en el marco de la relación contractual que vinculaban a reclamante y reclamada cuya finalidad era facilitarle información relacionada con el estado de los productos contratados, por lo cual sostiene que “el hecho de que la carátula del sobre en que se produce la citada remisión incorpore información referida a productos comercializados por la entidad, sin haber llevado a cabo actividad de tratamiento vinculada a la determinación del contenido de dicho documento no puede en ningún caso implicar la existencia de un tratamiento específico encaminado a la realización de actuaciones de mercadotecnia directa, sino la mera adopción de una decisión empresarial acerca del formato de los sobres dirigidos a los clientes de la entidad”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/48 En el curso de la alegación segunda la reclamada detalla los diversos elementos sobre los que construye su conclusión. Comienza exponiendo que la propuesta de resolución considera que ella “ha llevado a cabo un tratamiento de los datos del Reclamante con fines de mercadotecnia directa” y que, también considera la propuesta que “el mero hecho de la impresión de los datos de contacto del Reclamante en la carátula de un sobre que, en un formato predefinido incorpora información sobre los productos de mi mandante, implica la utilización y tratamiento de los datos con la citada finalidad.” Insiste en que la propuesta considera que, el mero hecho de que la carátula contenga la información sobre el citado producto es suficiente para apreciar la existencia de “un envío personalizado” al reclamante “con la finalidad de fomentar la adquisición del mencionado producto de la entidad”; aunque “[...] no haya supuesto realización de una previa actuación por parte de Bankia para la determinación de si dicha publicidad puede o no corresponderse con las preferencias del interesado”. Afirma también que la “propuesta considera” que el hecho de haberle remitido la carta al reclamante, en la que constan los datos de contacto a los que se dirige “implica la realización de dos tratamientos de datos personales: uno relacionado con el desarrollo de la relación contractual y el otro derivado del puro y simple hecho de que la carátula del sobre incorpora la citada información”. Como contrapunto expone cuál es su posición: que existió y efectuó “un único tratamiento de datos y con la única y exclusiva finalidad de remitir al reclamante los extractos de los productos contratados, tratamiento amparado por tanto en el artículo 6.1.b, del RGPD.” Refrenda esta última afirmación diciendo que bajo ningún concepto podría calificarse de tratamiento de datos del interesado, en los términos en los que lo define el artículo 4.2 del RGPD (precepto que transcribe en su escrito de alegaciones), el hecho de haber incorporado en la carátula del sobre “información acerca de la entidad e incluso de los productos y servicios que comercializa”. A fin de argumentar que no existió un tratamiento de datos con fines de mercadotecnia directa expone lo siguiente: Que, incluso en la hipótesis de que admitiera que “la inclusión en la carátula de un sobre de la información citada pudiera ser considerada mercadotecnia directa” – lo que por otra parte niega rotundamente-, lo que “en ningún modo puede probar ...la AEPD es que se haya llevado a cabo un tratamiento de los datos del interesado relacionado con la finalidad de remitirle publicidad, ni de carácter general ni específica.” (El subrayado es nuestro) Que, como expuso en sus alegaciones al acuerdo de apertura “no niega que la información contenida en la carátula del sobre pueda ser considerada publicidad de la entidad, pero lo que sí niega y reitera es que haya existido un tratamiento de datos con fines de mercadotecnia directa efectuado sin contar con base jurídica para ello como consecuencia del ejercicio por el interesado de su derecho de oposición”. Añade que “La decisión acerca del formato de los sobres en los que una entidad privada incorpore su documentación es una mera decisión empresarial, que en modo alguno puede suponer un tratamiento de datos personales, dado que no implica la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/48 realización de ninguna de las operaciones que se incluyen en el mencionado concepto.” “[...] como también se indicaba en las alegaciones de mi mandante al Acuerdo de Inicio, la inclusión de información acerca de un determinado producto de mi mandante en la carátula del sobre al que se dirige la comunicación mencionada puede considerarse una actividad publicitaria, pero no una acción de mercadotecnia directa [...]” Y dice seguidamente: “Esa acción [de mercadotecnia directa] se produciría si el contenido, que no el “continente” de la comunicación remitida al interesado contuviese información relacionada con un producto de la entidad, pero no en aquellos casos en los que es el sobre, que será accesible por una pluralidad indeterminada de personas a lo largo del proceso de tramitación y remisión de la comunicación contiene dicha información.” “[...] para la AEPD parece que únicamente el destinatario de la comunicación tendrá un efectivo conocimiento del mensaje publicitario contenido en la carátula del sobre remitido, y, en consecuencia, será el único destinatario del citado mensaje, permaneciendo el sobre oculto a los restantes operadores, lo que convierte su remisión en una acción de mercadotecnia directa.” Y añade que, “incluso en el negado supuesto de que se considerase que únicamente el destinatario tendrá acceso al citado mensaje”, ello no supone que se haya efectuado un tratamiento con fines de mercadotecnia directa porque no se habrá llevado a cabo con los datos personales del interesado ninguna de las operaciones de tratamiento a las que se refiere el artículo 4.2 del RGPD.” La reclamada manifiesta asimismo que la AEPD, al haber apreciado una infracción del RGPD en los hechos objeto de la reclamación, ha “ampliado artificialmente sus competencias” “hasta el punto de considerar sometidos a su supervisión” “decisiones empresariales ajenas a todo tratamiento de datos”. También hace mención a la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI) y al concepto de comunicación comercial que la ley ofrece para, seguidamente, plantear un supuesto de hecho: que, en el marco de la actividad regulada por la LSSI, se hubiera incluido un banner en el que se informara de un nuevo producto. Ante lo cual dice lo siguiente: “Pues bien, siguiendo el razonamiento de la AEPD, la mera inclusión de un banner genérico y no dirigido, previa realización de una actividad se segmentación o perfilado, a cada cliente de la entidad supondría un tratamiento de datos de todos y cada uno de los clientes con acceso al área privada con la finalidad de dirigirles una comunicación comercial, consistente en la publicitación del producto mencionado”. “De este modo, cualquier entidad estaría obligada o bien a implementar complejos procesos de delimitación de los clientes en cuya área personal podría incorporarse el mencionado banner o bien a establecer dos o más áreas personales diferencias (con o sin banner) [...]” (El subrayado es nuestro) -Alegación tercera, “Sobre la aplicación de la medida contenida en el artículo 58.2.
11. d)del RGPD”. Manifiesta la reclamada que la medida correctiva propuesta en el dispositivo segundo de la propuesta de resolución “resulta de imposible aplicación, al haberse producido la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/48 extinción de la personalidad de la entidad contra la que se pretende por la AEPD dirigir la medida”. Añade que tal medida “ya no resultaría aplicable”, pues como consecuencia de la desaparición de la persona jurídica (BANKIA) ha cesado en la totalidad de los tratamientos de datos personales. -Alegación cuarta: “Sobre las circunstancias apreciadas por la AEPD en la conducta de BANKIA”. La reclamada denuncia “la irrelevancia que para la AEPD revisten las circunstancias concurrentes en un caso concreto, así como la predeterminación de la sanción por parte de la misma que no resulta de la aplicación de las citadas circunstancias.” Añade que la Agencia, en la determinación del importe de la sanción, procede “con una suerte de automatismo que conduce con carácter general a imponer sanciones de idéntica cuantía en supuestos que no pueden guardar relación entre ellos, siempre que considere que la gravedad del hecho alcanza un umbral predeterminado ...” Respecto a la agravante, apreciada en la propuesta de resolución, del artículo 83.2.
12. a)RGPD, critica que fuera calificada como atenuante en el acuerdo de inicio y que en la propuesta de resolución se produzca tal cambio. Respecto a la circunstancia agravante del artículo 83.2.
13. b)llama la atención sobre el hecho de que la propuesta de resolución se refiera, para sustentar esta circunstancia agravante, a que “cabe presumir que en su actividad es frecuente el tratamiento de datos con fines de mercadotecnia directa y los supuestos en los que los clientes se oponen con esa finalidad”. Afirma que estamos ante una presunción carente de soporte probatorio que vulnera el derecho a la presunción de inocencia. Respecto a la agravante del artículo 83.2.
14. e)RGPD, critica, por una parte, que se aprecie sobre la base de la cita a un único procedimiento sancionador dirigido contra la reclamada y relacionado con unos hechos que no guardan relación con los que son objeto del actual expediente sancionador, con la agravante de que la mención al PS/0076/2020 se haya incluido en la propuesta de resolución a raíz de que lo hubiera citado la reclamada en el ejercicio de su derecho de defensa en su escrito de alegaciones al acuerdo de inicio. Por otra, afirma que la AEPD actúa de modo arbitrario pues, con carácter general, no hace uso en sus resoluciones de esta circunstancia agravante, salvo cuando la entidad haya sido “sancionada de modo reiterado y habitual” y menciona como ejemplo el procedimiento PS/00030/2021. Considera así que, al apreciar esta circunstancia, se genera en el presente caso una situación de perjuicio y discriminación para la entidad, máxime cuando la resolución a la que se alude (PS/00076/2020) en la propuesta de resolución es la única dictada frente a la reclamada desde la entrada en vigor del RGPD. Respecto a la atenuante del artículo 83.2.
15. k)RGDP en relación con el artículo 76.2.
16. e)de la LOPDGDD, la considera irrelevante toda vez que su aplicación no ha conducido a modificar la cuantía de la sanción de multa prevista en la propuesta respecto a la que se fijó en el acuerdo de inicio. Todo lo cual le lleva a reiterar su opinión acerca de la “absoluta arbitrariedad en la valoración de las circunstancias del caso”. Dentro de esta alegación cuarta se dedica un apartado a justificar la procedencia de que no se le imponga una sanción económica (multa administrativa). Comienza su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/48 alegato diciendo que ya en el acuerdo de inicio recordó que la AEPD dispone, a tenor del artículo 58.2 del RGPD, “de una gran pluralidad de potestades distintas a la imposición de una sanción económica”. Critica que la propuesta de resolución, frente a su pretensión de que se imponga un apercibimiento, se haya limitado a transcribir el Considerando 148 del RGPD pues el citado considerando toma en consideración únicamente dos elementos: que nos encontremos ante una infracción leve y que la multa que debería imponerse constituyera una carga desproporcionada para la persona física, por lo cual, dice la reclamada, si bien no es aplicable esta última condición, sí se daría a su juicio la condición de la levedad de la infracción de la que se le responsabiliza. Añade a tal efecto que la levedad a la que el RGPD se refiere nada tiene que ver con la clasificación que la LOPDGDD hace de las infracciones en leves, graves y muy graves – pues esta norma que es posterior al RGDPD-. Así, indica que “Cuando el considerando 148 hace referencia a la gravedad o levedad de la sanción se refiere a los supuestos en los que se ha producido o no un compromiso particularmente relevante para el derecho fundamental a la protección de datos [...]”. Menciona a tal efecto el documento WP253 del Grupo de Trabajo del artículo 29, “Directrices sobre la aplicación y fijación de multas administrativas a efectos del Reglamento 2016/679” del que transcribe lo siguiente: “En el considerando 148 se presenta la noción de «infracciones leves». Dichas infracciones pueden constituir violaciones de una o varias disposiciones del Reglamento citadas en el artículo 83, apartados 4 o 5. No obstante, la evaluación de los criterios previstos en el artículo 83, apartado 2, puede dar lugar a que la autoridad de control estime, por ejemplo, que en las circunstancias concretas del caso la violación no entraña un riesgo importante para los derechos de los interesados y no afecta a la esencia de la obligación en cuestión. En tales casos, la multa puede ser sustituida (aunque no siempre) por un apercibimiento.” (El subrayado es nuestro) Completa su argumentación señalando que en este supuesto “sólo existe una reclamación singular”. “Es decir, sólo una persona de entre quienes se han opuesto al tratamiento de sus datos con fines de mercadotecnia directa ha llegado a la conclusión, que parece compartir esa Agencia, de que la adopción de un formato estándar de carátula del sobre en que se remite la información sobre la evolución de los productos contratados con mi mandante supone un tratamiento adicional de sus datos personales con fines de mercadotecnia directa.” Y que “el perjuicio que pudiera causar esa conducta a los destinatarios de los envíos, reiteramos que únicamente relacionados con la evolución de los productos contratados es sencillamente inexistente”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos se consideran probados en el presente procedimiento los siguientes HECHOS 1. El reclamante, cliente de la reclamada, denuncia que recibió, a través de correo postal, una carta con información sobre sus cuentas que incluía, además, información comercial de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/48 2. El documento con información comercial recibido por el reclamante, del que aporta una copia, lleva en su esquina inferior derecha la fecha “11.02.2020” y tiene estas características: En la parte inferior derecha figuran los datos personales del reclamante -nombre, dos apellidos y dirección postal completa- y debajo un código de barras. La posición en la que los datos personales están situados en ese documento coincide con la que ocupa la ventana o espacio transparente de un tipo de sobres que se utiliza habitualmente en el correo postal y que permite ver los datos del destinatario impresos dentro del sobre. En la esquina superior derecha del documento figura el anagrama de la reclamada con su nombre. En el cuerpo del documento aparece esta leyenda: “Cuesta mucho encontrar la casa de tus sueños. Por eso, TE QUITAMOS LAS COMISIONES DE TU NUEVA HIPOTECA. Sólo por tener tu nómina domiciliada y nada más. Te quitamos las comisiones de:” Seguidamente, en dos columnas paralelas, figura: “APERTURA”; “AMORTIZACIÓN ANTICIPADA”; “CANCELACIÓN ANTICIPADA”; “GASTOS DE CORREO”. Inmediatamente debajo se indica: “Para que soñar cueste menos. *Consulta condiciones en oficinas Bankia o bankia.es”. 3. En fecha 04/11/2018 el reclamante remitió un correo electrónico dirigido a protecciondedatos@bankia.es, en el que comunicaba a la reclamada su deseo de “no recibir información de carácter comercial o publicitario”. Así lo reconoce la entidad reclamada en sus alegaciones al acuerdo de inicio. La reclamada atendió su solicitud mediante una carta de fecha 21/11/2018 -que obra en el expediente- en la que respondió: “En relación con su solicitud por la que usted [el reclamante], con D.N.I. [el del reclamante], nos comunica su deseo de no recibir información de carácter comercial o publicitario de esta Entidad, así como que sus datos no sean comunicados a otras entidades o participadas del grupo Bankia o colaboradores, le informamos que hemos atendido cumplidamente su solicitud y hemos procedido a adoptar las medidas necesarias para su cumplimiento.” (El subrayado es nuestro) 4. El DPD de la reclamada respondió a la petición informativa de la Subdirección General de Inspección de Datos, previa a la admisión a trámite de la reclamación, que “no se ha dirigido al reclamante ninguna comunicación comercial personalizada al haber ejercitado el mismo su derecho de oposición a recibir este tipo de comunicaciones.” (El subrayado es nuestro) 5. Respecto a la información comercial enviada al reclamante, el DPD respondió a la petición informativa de la Subdirección General de Inspección de Datos que “No se trata, [...] de una comunicación comercial personalizada ni dirigida al reclamante por su perfil sino de una carátula genérica y común para todos los clientes, [...].” 6. Respecto a la base jurídica de ese tratamiento, el DPD respondió a la petición informativa hecha por la Subdirección General de Inspección de Datos: “ha de entenderse que se trata de un envío amparado en el interés legítimo de [¿?] tal y como se informa en la política de privacidad de la entidad, al estar referido con carácter general a productos o servicios comercializados por la entidad y similares a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/48 los productos contratados por sus clientes (productos financieros).” (El subrayado es nuestro) 7.La reclamada ha manifestado en su escrito de alegaciones (folios 11 y 12 del escrito): “Como puede comprobarse, [la reclamada] distingue claramente los tratamientos de datos necesarios para el mantenimiento de la relación contractual que le vincula con el cliente, entre los que se encuentra la remisión de la documentación relacionada con la evolución de los productos y servicios contratados (por ejemplo, un extracto de cuenta, la situación de un producto de ahorro o crédito contratado, etc.), amparado claramente en el artículo 6.1
17. b)del RGPD, y el envío de comunicaciones comerciales de productos o servicios propios o de terceros, amparado, cuando se lleva a cabo por medios postales en el interés legítimo de la Entidad (artículo 6.1
18. f)del RGPD).” (El subrayado es nuestro) 8. La política de privacidad de la reclamada que figura en el documento anexo a las alegaciones al acuerdo de inicio informa de que los datos personales de los clientes se tratarán, sin perjuicio de las condiciones especiales que se establezcan en relación con cada producto contratado por aquéllos, para seis finalidades determinadas y específicas y, para cada una de ellas, precisa cuál es la base jurídica del tratamiento: “1. Atender, gestionar y contestar las consultas, preguntas y solicitudes realizadas por los usuarios a través de los canales de atención o comunicación habilitados por Bankia (Legitimación del tratamiento: consentimiento del usuario). 2. Mantener, cumplir y controlar la relación contractual y precontractual entre los usuarios y Bankia (Legitimación del tratamiento: Ejecución de un contrato). 3. Mejorar las páginas o herramientas web propiedad de Bankia, así como sus productos y servicios, con tal de ofrecer una mejor calidad y servicio al usuario, desarrollar nuevos productos/servicios o mejorar los procesos internos de la entidad (Legitimación del tratamiento: Consentimiento del usuario (cookies) e Interés legítimo). 4. Enviar comunicaciones comerciales sobre productos y servicios, propios o de terceros (Legitimación del tratamiento: Consentimiento del usuario). 5. Realizar estudios con fines estadísticos que puedan ser de interés para Bankia o terceros (Legitimación del tratamiento: Interés legítimo). 6. Cumplir con las obligaciones legales de Bankia (Legitimación del tratamiento: Cumplimiento de una obligación legal).” (El subrayado es nuestro) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 58.2 del RGPD y en los artículos 47 y 48.1 de la LOPDGDD. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/48 Por razones de lógica argumental se examinan con carácter previo las cuestiones que la reclamada ha planteado en sus dos escritos de alegaciones y que son ajenas al fondo del asunto sobre el que versa el procedimiento sancionador que nos ocupa. En sus alegaciones a la propuesta de resolución la reclamada, además de manifestar que “reitera” íntegramente las alegaciones que hizo frente al acuerdo de apertura del procedimiento, incide de nuevo sobre las cuestiones, ajenas al fondo del asunto, que ya planteó en su primer escrito de alegaciones. Esta Agencia reitera, asimismo, lo que manifestó en la propuesta de resolución en respuesta a los alegatos esgrimidos por la reclamada frente al acuerdo de inicio. Respuesta que pasamos a reproducir: <<A juicio de la reclamada el acuerdo de apertura se encuentra viciado de nulidad por la indefensión que le ha generado el hecho de que la AEPD haya fijado en él el importe de la sanción, en lugar de expresar solo los límites de la posible sanción; porque no se han motivado las agravantes y porque a través del acuerdo de inicio se hace una valoración de la culpabilidad de la reclamada sin que haya tenido ocasión de pronunciase al respecto. Añade también que el acuerdo de inicio excede del contenido previsto en el artículo 68 de la LOPDGDD y que, al haber fijado el órgano decisor el importe de la sanción en el acuerdo de apertura del procedimiento, se ha visto comprometida la imparcialidad del órgano instructor, que conoce así, antes de iniciar el procedimiento, el criterio del órgano al que deberá elevar el expediente, lo que determina en su opinión una “clara ruptura del principio de separación de la fase instructora y de sanción”. Entiende la reclamada que las reglas del artículo 85 de la LPACAP no son aplicables al presente caso sino a los supuestos en los que la norma sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que se ha hecho de este precepto en el acuerdo de inicio no respeta su tenor literal, según el cual la cuantía de la sanción pecuniaria podrá determinarse “iniciado el procedimiento sancionador”, por lo que, sostiene la entidad, “se estaría asimilando” “el acto mismo de iniciación con el hecho de que el procedimiento se encuentre iniciado”. Los argumentos que esgrime la reclamada no pueden admitirse. El acuerdo de apertura se ajusta a lo previsto en el artículo 68 de la LOPDGDD, conforme al cual bastará con que concrete los hechos que motivan la apertura, se identifique la persona o entidad contra la que se dirige el procedimiento, la infracción que hubiera podido cometer y su posible sanción. En idéntico sentido se expresa el artículo 64.2 de la LPACAP que refiere cuál es el contenido mínimo del acuerdo de iniciación. Según este precepto, entre otros detalles, deberá contener “los hechos que motivan la incoación del procedimiento, su posible calificación jurídica y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. Por ello, en este caso, no solo se cumplen las exigencias mencionadas en los preceptos citados, sino que se va más allá, ofreciendo razonamientos que justifican la posible calificación jurídica de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/48 hechos y se mencionan las circunstancias que pueden influir en la determinación de la sanción. No puede obviarse que el artículo 85 de la LPACAP - que contempla la posibilidad de aplicar reducciones sobre el importe de la sanción para el caso de que el infractor reconozca su responsabilidad y en caso de pago voluntario de la sanción- obliga a determinar esas reducciones en la notificación del acuerdo de iniciación del procedimiento, lo que implica, necesariamente, que deba fijarse en dicho acuerdo el importe de la sanción correspondiente a los hechos imputados. Extremo que justifica sobradamente que se refieran en él las circunstancias modificativas de la responsabilidad, pues éstas inciden directamente en la determinación de la cuantía de la sanción. En contra de la tesis que defiende la reclamada, el artículo 85 de la LPACAP no prevé tampoco que la cuantía de la sanción se determine una vez iniciado el procedimiento. Más al contrario, es el reconocimiento de la responsabilidad y el pago voluntario de la sanción lo que ha de producirse con posterioridad a ese momento, pero no la fijación de su cuantía. Respecto a la opinión de la reclamada según la cual el artículo 85 LPACAP únicamente podría aplicarse a los supuestos en los que la norma sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que se ha hecho de este precepto en el acuerdo de inicio no respeta su tenor literal, se ha de indicar que la AEPD viene aplicando el artículo 85 LPACAP de igual forma desde la entrada en vigor de la citada ley sin que la Sala de lo Contencioso Administrativo de la Audiencia Nacional, ante la que cabe recurso contencioso administrativo frente a sus resoluciones, se haya pronunciado nunca en línea con el criterio que esa entidad defiende. No puede tampoco admitirse que haber indicado en el acuerdo de inicio las sanciones que pudiesen corresponder a la reclamada por las infracciones imputadas sea determinante de indefensión o suponga una ruptura del principio de separación de las fases de instrucción y resolución, pues esta Agencia se limita a dar cumplimiento con ello a una de las exigencias previstas en las normas reseñadas. A mayor abundamiento, también los artículos 68 de la LOPDGDD y 64.2 de la LPACAP exigen como contenido del acuerdo de apertura que se fije la sanción que pudiera corresponder. Así pues, la pretendida ruptura “del principio de separación de la fase instructora y de sanción” que aduce la reclamada -extremo que esta Agencia niega- sería, de existir, la consecuencia de la correcta aplicación que esta Agencia viene haciendo de un precepto legal, el artículo 85 de la LPACAP. Sobre lo manifestado por la reclamada de que, habiendo fijado el acuerdo de apertura el importe de la sanción y las circunstancias modificativas de la responsabilidad que podrían apreciarse, ella no ha tenido ocasión de pronunciarse, nos limitamos a señalar que el procedimiento administrativo se inicia precisamente con el acuerdo de apertura y es a partir de entonces -no antes- cuando el artículo 53 de la LPACAP reconoce al interesado una serie de derechos, entre ellos el previsto en el artículo 53.1.e). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/48 Por último, por lo que concierne al vicio de nulidad del que, a juicio de la reclamada, adolece el procedimiento como consecuencia de la indefensión que dice haber sufrido cabe indicar lo siguiente: En primer término, la reclamada no especifica en qué apartado del artículo 47.1 de la LPACAP funda la nulidad que invoca. En segundo término, la invocada nulidad del procedimiento en ningún caso podría fundarse en el apartado
19. a)del artículo 47.1. de la LPACAP, en conexión con la supuesta ruptura de la separación entre la fase instructora y la resolutoria a tenor del artículo 24.2 de la C.E. Esto, porque de acuerdo con las SSTC 74/2004 y 175/2005, el principio consagrado en el artículo 24.2 de la C.E. a tenor del cual quien instruye no resuelve, no es aplicable al procedimiento administrativo, de forma que en este ámbito no estamos ante un derecho con rango constitucional. Y finalmente, en tercer lugar, para el caso de que se pretenda fundar la nulidad del procedimiento en el motivo recogido en el apartado
20. e)del artículo 47.1 de la LPACAP parece conveniente traer a colación la STC 78/1999, de 26 de abril, que en su Fundamento Jurídico 2, dice: “Así pues, según reiterada doctrina constitucional que se sintetiza en el fundamento jurídico 3º de la STC 62/1998, "la estimación de un recurso de amparo por la existencia de infracciones de las normas procesales 'no resulta simplemente de la apreciación de la eventual vulneración del derecho por la existencia de un defecto procesal más o menos grave, sino que es necesario acreditar la efectiva concurrencia de un estado de indefensión material o real' (STC 126/1991, fundamento jurídico 5º; STC 290/1993, fundamento jurídico 4º). Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". En atención a lo expuesto, la petición de la reclamada de que se declare la nulidad del procedimiento administrativo sancionador que nos ocupa debe ser rechazada.>> (El subrayado es nuestro) A la vista de las alegaciones a la propuesta de resolución que la reclamada ha presentado es evidente que la respuesta de la AEPD, antes transcrita, no solo no ha despejado las dudas que le suscita la aplicación que este organismo viene haciendo del artículo 85 de la LPACAP desde la entrada en vigor de la citada Ley, sino que ha aprovechado la ocasión para desvirtuar algunos de los argumentos que entonces se expusieron. La pretendida nulidad del procedimiento administrativo que la reclamada invoca -que, según ha tenido a bien precisar en este escrito de alegaciones a la propuesta estaría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/48 amparada en el apartado
21. a)del artículo 47.1 de la LPACAP- deriva a su juicio de la aplicación que la AEPD hace del artículo 85 LPACAP, al haber fijado el importe de la sanción en el acuerdo de apertura. De la extensa exposición que ha dedicado a las cuestiones ajenas al fondo del asunto que nos ocupa - alegación primera del escrito de alegaciones a la propuesta, que se reproduce en lo esencial en el Antecedente décimo de esta resolución- la más llamativa, y que obliga a hacer las necesarias puntualizaciones, es la atribución a la AEPD de afirmaciones que nunca ha hecho e igualmente la atribución a esta Agencia de conclusiones que no cabe extraer de lo manifestado en el escrito de propuesta. Este modo peculiar de ejercer el legítimo y sagrado derecho de defensa conducen a la paradójica situación de que la reclamada dedique gran parte de sus esfuerzos argumentales a rebatir afirmaciones que esta Agencia nunca hizo y a desvirtuar conclusiones a las que la reclamada llega por su cuenta, pues no cabe derivarlas de lo expuesto en la propuesta de resolución siempre, claro está, que el lector no tenga un particular interés en desvirtuar lo que allí está escrito. La reclamada, tomando como punto de partida el examen que hace la propuesta de resolución de las consecuencias de fundar la invocada nulidad del procedimiento en una u otra circunstancia del artículo 47.1 LAPAC -toda vez que la reclamada no especificó en sus alegaciones al acuerdo de inicio cuál era a su entender el vicio de nulidad radical que concurría, limitándose a afirmar que el procedimiento estaba viciado de nulidad- hace los siguientes comentarios que por su importancia merecen ser reproducidas: “[...] de lo expuesto se desprende que el legislador no ha apreciado respecto del procedimiento administrativo sancionador la necesaria separación de las fases de instrucción y de resolución y la necesaria intervención en las mismas de dos órganos distintos, sin que ni el órgano sancionador pueda intervenir ni “dirigir”, como ha sucedido en este caso, la actuación independiente del órgano instructor. “Y para mayor sorpresa la Propuesta de Resolución no sólo considera que el citado principio de separación de las fases de instrucción y resolución no es predicable al procedimiento sancionador, contradiciendo así lo establecido expresamente en la LPACAP y recordado por reiteradísima jurisprudencia del Tribunal Constitucional (por todas en la STC 9/2018, de 5 de febrero), sino que además afirma sin ningún reparo que el principio “a tenor del cual quien instruye no resuelve, no es aplicable al procedimiento administrativo”, sobre la base de una supuesta jurisprudencia constitucional que en nada guarda relación con semejante conclusión.” (El subrayado es nuestro) A propósito de las SSTC precitadas la reclamada añade: “Sin ánimo de extendernos en este punto, basta hacer una mera referencia a la jurisprudencia invocada para determinar sin el más mínimo atisbo de duda, su absoluta irrelevancia:” (El subrayado es nuestro) “En efecto, la STC 175/2005 que invoca la Propuesta ni siquiera guarda relación alguna con el derecho fundamental consagrado en el artículo 24 de la Constitución, sino con el principio de igualdad consagrado en su artículo 14.” “Por su parte, la STC 74/2004 sí hace referencia al derecho a la tutela judicial efectiva, pero en cuanto a la no aplicación al procedimiento administrativo del derecho al juez C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/48 ordinario predeterminado por la Ley, lo que tampoco guarda relación alguna con lo analizado en el presente procedimiento.” Pues bien, estos alegatos hacen imprescindible reproducir de nuevo, aun a riesgo de resultar reiterativos, los siguientes fragmentos de la propuesta de resolución: “Por último, por lo que concierne al vicio de nulidad del que, a juicio de la reclamada, adolece el procedimiento como consecuencia de la indefensión que dice haber sufrido cabe indicar lo siguiente: En primer término, la reclamada no especifica en qué apartado del artículo 47.1 de la LPACAP funda la nulidad que invoca. En segundo término, la invocada nulidad del procedimiento en ningún caso podría fundarse en el apartado
22. a)del artículo 47.1. de la LPACAP, en conexión con la supuesta ruptura de la separación entre la fase instructora y la resolutoria a tenor del artículo 24.2 de la C.E. Esto, porque de acuerdo con las SSTC 74/2004 y 175/2005, el principio consagrado en el artículo 24.2 de la C.E. a tenor del cual quien instruye no resuelve, no es aplicable al procedimiento administrativo, de forma que en este ámbito no estamos ante un derecho con rango constitucional.” Parece evidente que a lo que esta Agencia se refiere en ese párrafo es a que en el procedimiento administrativo la garantía de la separación entre la fase instructora y resolutoria no tiene rango constitucional, sino que su rango es el de la legalidad ordinaria – garantía expresamente recogida en el artículo 63.1 de la LPACAP e indirectamente en el artículo 53.2.a, de la LPACAP; artículo 134.2 de la derogada Ley 30/1992 y 10.1 del Reglamento de procedimiento de la potestad sancionadora, también derogado-. El argumento expuesto era que difícilmente podría ampararse en el apartado
23. a)del artículo 47.1 de la LPACAP, por vulneración del principio de separación de la fase instructora y resolutoria, la nulidad del procedimiento invocada de contrario pues “no estamos ante un derecho con rango constitucional” -recordemos que el apartado a, se refiere a la vulneración de derechos que sean susceptibles de amparo constitucional- y no, como gusta dar a entender la reclamada, que no exista esta garantía en el procedimiento administrativo. El reconocimiento en el procedimiento administrativo del rango constitucional de este derecho -implícito en el artículo 24.2 de la CE- es una cuestión debatida en la doctrina administrativa y sobre la que el Tribunal Constitucional ha ido efectuando importantes matizaciones en sus sentencias para terminar con un pronunciamiento claro en contra de que en ese ámbito tal garantía tenga rango constitucional. Nos remitimos a la STC 174/2005, de 4 de julio que se citó en la propuesta de resolución. Por ello, trasladando la doctrina del Alto Tribunal relativa al derecho fundamental a la separación de las fases de instrucción y resolutoria y a su aplicación al procedimiento administrativo sancionador, debemos concluir también ahora, en fase de resolución lo que se afirmó en la propuesta: que la nulidad del procedimiento que la reclamada pretende “en ningún caso podría fundarse en el apartado
24. a)del artículo 47.1. de la LPACAP, en conexión con la supuesta ruptura de la separación entre la fase C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/48 instructora y la resolutoria a tenor del artículo 24.2 de la C.E.”. En otras palabras, no podría integrar el vicio de nulidad absoluta previsto en el artículo 47.1.a, de la LPACAP. El artículo 24.2 de la CE que la reclamada entiende vulnerado alude a once derechos fundamentales que constituyen a su vez un conjunto de garantías procesales. Las SSTC han ido delimitando cuáles de ellas resultan aplicables y cuáles no al procedimiento administrativo. Por lo que respecta al principio de separación de la fase instructora y sancionadora – principio que tiene su origen en que la imparcialidad del juzgador es incompatible o queda comprometida por su actuación como instructor (STC 145/1988, de 12 de julio)- el T.C. se ha pronunciado sobre su aplicación al procedimiento administrativo sancionador en los siguientes términos: En STC de 15/02/1990 (RTC 1990/22) dice que “Es doctrina reiterada de este Tribunal que no puede pretenderse que el Instructor en un procedimiento administrativo sancionador, y menos aún, el órgano llamado a resolver el expediente, goce de las mismas garantías que los órganos judiciales; porque en este tipo de procedimientos el Instructor es también acusador en cuanto formula una propuesta de resolución sancionadora y, por otra parte, el órgano llamado a decidir es el mismo que incoa el expediente y, por ello, no deja de ser Juez y parte al mismo tiempo.” (El subrayado es nuestro) En STC de 26/04/1990 (RTC 1990/76) afirma que “Por la naturaleza misma de los procedimientos administrativos, en ningún caso puede exigirse una separación entre instrucción y resolución equivalente a la que respecto de los Jueces ha de darse en los procesos jurisdiccionales. El derecho al juez ordinario predeterminado por la ley y a un proceso con todas las garantías -entre ellas, la independencia e imparcialidad del juzgador- es una garantía característica del proceso judicial que no se extiende al procedimiento administrativo, ya que la estricta imparcialidad e independencia de los órganos del poder judicial no es, por esencia, aplicable con igual significado y en la misma medida a los órganos administrativos.” (El subrayado es nuestro) En la STC de 17/03/1995 el Alto Tribunal dice lo siguiente: “En relación con este derecho fundamental a no ser juzgado por quien ha sido previamente instructor de la causa, tiene declarado este Tribunal que, debido a su finalidad consiste exclusivamente en evitar, por parte del órgano jurisdiccional encargado de conocer del juicio oral y de dictar Sentencia de determinados prejuicios acerca de la culpabilidad del acusado [...] Asimismo, y desde un punto de vista objetivo, también hemos dicho que, al enmarcarse dentro de las garantías del proceso penal acusatorio, no es necesariamente extensible a otros procesos de similar naturaleza como es el caso del procedimiento administrativo sancionador (STC 22/1990 [RTC 1999, 22] En cualquier caso, la acumulación de funciones instructoras y sentenciadoras no pueden examinarse en abstracto, sino que hay que descender a los casos concretos y comprobar si se ha vulnerado efectivamente la imparcialidad del juzgador (STC 98/1990), debiéndose tener muy en cuenta que no todo acto instructorio compromete dicha imparcialidad, sino tan solo aquellos que, por asumir el Juez un juicio sobre la participación del imputado en el hecho punible, puedan producir en su ánimo determinados prejuicios sobre la culpabilidad del acusado que lo inhabiliten para conocer de la fase de juicio oral (SSTC 106/1989; 136/1992, 170 y 320 1993)”. (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/48 De la STC 174/2005, de 4 de julio, a la que la AEPD hizo mención en la propuesta de resolución y sobre la cual la reclamada ha afirmado taxativamente que nada tiene que ver con esta cuestión previa, reproducimos los siguientes fragmentos: “1. El objeto del presente recurso de amparo es determinar, por un lado, si en el procedimiento administrativo sancionador, que ha dado lugar a la imposición de la sanción a la entidad recurrente, se ha vulnerado su derecho a un proceso con todas las garantías (art. 24.2 CE), al no haberse respetado la debida separación entre el órgano de instrucción y el sancionador; [...] 2. La queja relativa a la vulneración del derecho a un proceso con todas las garantías (art. 24.2 CE), desde la perspectiva de la exigencia de imparcialidad, hay que entenderla articulada por la vía del art. 43 LOTC, puesto que la entidad recurrente aduce que se habría producido en el procedimiento administrativo sancionador por no respetarse la debida separación entre el órgano administrativo de instrucción y el sancionador, derivada de que el Alcalde del Ayuntamiento fue el instructor del procedimiento y, además, presidente de la Comisión de Gobierno que le impuso la sanción. Al respecto se debe recordar que, si bien este Tribunal ha reiterado que, en principio, las exigencias derivadas del derecho a un proceso con todas las garantías se aplican al procedimiento administrativo sancionador, sin embargo, también se ha hecho especial incidencia en que dicha aplicación debe realizarse con las modulaciones requeridas en la medida necesaria para preservar los valores esenciales que se encuentran en la base del art. 24.2 CE y la seguridad jurídica que garantiza el art. 9.3 CE, en tanto sean compatibles con su propia naturaleza (por todas, STC 197/2004, de 15 de noviembre, FJ 2). Más en concreto, y por lo que se refiere específicamente a la garantía de imparcialidad, se ha señalado que es uno de los supuestos en que resulta necesario modular su proyección en el procedimiento administrativo sancionador, toda vez que dicha garantía “no puede predicarse de la Administración sancionadora en el mismo sentido que respecto de los órganos judiciales” (STC 2/2003, de 16 de enero, FJ 10), pues, “sin perjuicio de la interdicción de toda arbitrariedad y de la posterior revisión judicial de la sanción, la estricta imparcialidad e independencia de los órganos del poder judicial no es, por esencia, predicable en la misma medida de un órgano administrativo” (STC 14/1999, de 22 de febrero, FJ 4), concluyéndose de ello que la independencia e imparcialidad del juzgador, como exigencia del derecho a un proceso con todas las garantías, es una garantía característica del proceso judicial que no se extiende sin más al procedimiento administrativo sancionador (STC 74/2004, de 22 de abril, FJ 5). En atención a ello, el principio del procedimiento sancionador establecido en el art. 134.2 de la Ley 30/1992, de 26 de noviembre, de régimen jurídico de las Administraciones públicas y del procedimiento administrativo común, conforme al cual “los procedimientos que regulen el ejercicio de la potestad sancionadora deberán establecer la debida separación entre la fase instructora y la sancionadora, encomendándolos a órganos distintos”, es un principio de carácter legal cuya tutela corresponde a los órganos judiciales a través de los correspondientes recursos, sin que la exigencia de imparcialidad del órgano administrativo sancionador sea, como pretende la entidad recurrente, una garantía derivada, con el carácter de derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/48 fundamental, del art. 24.2 CE, cuyas exigencias, relativas a la imparcialidad judicial, sólo rigen para el órgano judicial que deba resolver sobre la legalidad de la actuación administrativa. De ese modo, la eventual infracción en un procedimiento administrativo sancionador del principio de que se encomiende a órganos distintos la fase instructora y la sancionadora carece de relevancia constitucional a los efectos del art. 24.2 CE y, [....]” (El subrayado es nuestro) La STC 74/2004 de 22 de abril (F.J. 5) - en la propuesta se indicó, por error, el número 175/2004- declaró lo siguiente: “5. Se aduce también por el demandante de amparo la infracción del derecho a un proceso con todas las garantías (art. 24.2 CE) [...] alegando que el mando que impuso la sanción, que fue quien practicó el trámite de audiencia, había sido denunciado por el recurrente ante el Director General del cuerpo por la comisión de determinadas irregularidades. [...] De conformidad con nuestra doctrina hemos de recordar que el derecho [...] a un proceso con todas las garantías -entre ellas, la independencia e imparcialidad del juzgador- es una garantía característica del proceso judicial que no se extiende al procedimiento administrativo, ya que la estricta imparcialidad e independencia de los órganos del poder judicial no es, por esencia, predicable con igual significado y en la misma medida de los órganos administrativos (SSTC 22/1990, de 15 de febrero, FJ 4, y 76/1990, de 26 de abril, FJ 8.a; AATC 320/1986, de 9 de abril, FJ 4, y 170/1987, de 11 de febrero, FJ 1). Como ya se expresó en la STC 22/1990, de 15 de febrero (FJ 4), no es ocioso traer a colación la cautela con la que conviene operar cuando de trasladar garantías constitucionales extraídas del orden penal al Derecho administrativo sancionador se trata; esta delicada operación no puede hacerse de forma automática, porque la aplicación de dichas garantías al procedimiento administrativo sólo es posible en la medida en que resulten compatibles con su naturaleza. De este modo en distintas ocasiones el Tribunal Constitucional ha sostenido que no puede pretenderse que, ni el instructor de un procedimiento administrativo sancionador, ni menos aún el órgano llamado a resolver el expediente, goce de las mismas garantías que los órganos judiciales (STC 14/1999, de 22 de febrero, FJ 4). En consecuencia, la interpretación y aplicación del régimen de abstención y recusación de quienes integran los órganos administrativos pertenece al ámbito de la legalidad ordinaria, sin que pueda utilizarse la vía del recurso de amparo para revisar la realizada por los Tribunales, en este caso por la jurisdicción militar, ya que el recurso de amparo no constituye una tercera instancia judicial en la que puedan debatirse problemas de mera legalidad ordinaria (ATC 170/1987, de 11 de febrero, FJ 2).” (El subrayado es nuestro) Así pues, a la luz de la exposición precedente, la tantas veces invocada por la reclamada “clara ruptura del principio de separación de la fase instructora y de sanción” que habría afectado a la imparcialidad del órgano instructor, con la consiguiente vulneración de las garantías esenciales del procedimiento amparadas en la Constitución, “carece de relevancia constitucional a los efectos del art. 24.2 CE.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/48 Por otra parte, cabe subrayar otro aspecto de la invocada garantía que no hace sino evidenciar aún más la radical inconsistencia de los argumentos que la reclamada esgrime para sustentar la nulidad del procedimiento. Tanto si atendemos al origen de esta garantía del procedimiento, reconocida en el ámbito judicial por el artículo 24.2 de la C.E., como a su posterior desarrollo por el T.C., su contenido tiene por objeto garantizar la imparcialidad del juzgador; pues lo que persigue este que esta imparcialidad no se vea afectada por el hecho de haber actuado previamente como instructor. Obsérvese que la reclamada lo que viene sosteniendo desde sus primeras alegaciones es la supuesta contaminación o “dirección” sufrida por el instructor como consecuencia de que el órgano decisor fijara en el acuerdo de apertura el importe de la sanción, extremo que nada tiene que ver con el contenido del derecho fundamental al que nos venimos refiriendo. En definitiva, incluso aunque no existieran -como existen- pronunciamientos claros del TC acerca de que el principio de separación de la fase de instrucción y decisión no tiene en el ámbito del procedimiento administrativo rango constitucional, en ningún caso podría encajarse esa supuesta “dirección” o “contaminación” del instructor en la vulneración de un derecho cuyo contenido trata de proteger la imparcialidad del juzgador evitando su intromisión en actos de instrucción. Para finalizar el capítulo sobre la pretendida nulidad radical del procedimiento que la reclamada aduce en su defensa, cabe añadir las consideraciones siguientes. Una de ellas relativa al derecho fundamental a un juez imparcial garantizado en el artículo 24.2 de la C.E. La reclamada se ha referido en sus dos escritos de alegaciones a que la actuación de la AEPD ha determinado que se haya “visto afectada sustancialmente la imparcialidad del órgano instructor”, razón por la cual aprovechamos para precisar que esta pretendida afectación de la imparcialidad del instructor tampoco tiene encaje en ese derecho fundamental que garantiza el artículo 24.2 de la C.E., por lo que tampoco podría fundar en ella la nulidad del procedimiento al amparo del apartado
25. a)del artículo 47.1 de la LPACAP. Sobre el derecho a un juez imparcial cabe señalar que, a mayor abundamiento, no es que no resulte trasladable esta garantía al instructor -que es sobre quien la reclamada hace pivotar la tan deseada nulidad del procedimiento- sino que ni siquiera se reconoce este derecho en el marco del procedimiento administrativo. La STC 76/1990, fundamento jurídico 8, no puede ser más clara: “El derecho a [...] y a un proceso con todas las garantías -entre ellas, la independencia e imparcialidad del juzgador- es una garantía característica del proceso judicial que no se extiende al procedimiento administrativo, ya que la estricta imparcialidad e independencia de los órganos del poder judicial no es, por esencia, predicable con igual significado y en la misma medida de los órganos administrativos (SSTC 175/1987 y 22/1990...”. (El subrayado es nuestro) Por último, respecto al contenido mínimo del acuerdo de apertura previsto en el artículo 64 de la LPACAP y a la “manifiesta contradicción” en la que, según la entidad, se habría incurrido al decir que se “va más allá” de ese contenido mínimo, basta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/48 señalar que el artículo 64.2 indica que “deberá contener al menos”, “
26. b)[...] las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. De manera que, tal y como se expuso en su momento, el acuerdo de apertura de este procedimiento no sólo cumplió las exigencias del articulo 64.2 LPACAP -fijó los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder- sino que “fue más allá” por cuanto detalló, entre otras cosas, las circunstancias modificativas de la responsabilidad que en esa fase se apreciaron. Con ello, ni se otorga “una suerte de beneficio al administrado” ni se “menoscaban” “los derechos consagrados en el artículo 24 de la Constitución.”, tal y como nos reprocha la reclamada. Comentario que no deja de ser llamativo si tenemos en cuenta que uno de los argumentos esgrimidos por la reclamada en sus alegaciones al acuerdo de apertura fue la deficiente argumentación de las circunstancias modificativas de la responsabilidad expuestas en el citado acuerdo. En definitiva, las garantías reconocidas al encartado en el procedimiento administrativo sancionador y las normas reguladoras del procedimiento se han respetado escrupulosamente. Los extremos mencionados por la reclamada en sus dos escritos de alegaciones no entrañan la vulneración de ningún derecho fundamental reconocido en el artículo 24.2 de la C.E. en el que poder sustentar la concurrencia del motivo de nulidad radical del artículo 47.1.
27. a)LPACAP. Respecto a las restantes cuestiones planteadas acerca de la nulidad del procedimiento, que no son sino reiteración de lo que la reclamada alegó frente al acuerdo de inicio del expediente, nos remitimos a lo que se expuso en el escrito de propuesta, que se reproduce al inicio de este Fundamento. Por cuanto antecede, se rechaza la pretensión de la reclamada de que se declare la nulidad del procedimiento. III El RGPD dedica el artículo 5 a los principios que presiden el tratamiento de los datos personales y dispone: “1. Los datos personales serán:
28. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>)
29. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»); (…) 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD, “Licitud del tratamiento”, concreta en el apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/48 “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
30. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
31. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
32. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
33. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
34. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
35. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
36. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El Considerando 47 del RGPD señala: “El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo.” (El subrayado es nuestro) IV Se atribuye a la reclamada en el presente procedimiento sancionador una infracción del artículo 6.1.
37. f)del RGPD materializada en haber enviado por correo postal una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/48 comunicación comercial al reclamante, cliente suyo, casi dos años después de que éste hubiera manifestado que no deseaba recibir comunicaciones comerciales o publicitarias y de que la reclamada le respondiera que había adoptado las medidas necesarias para atender su petición. 1. Con carácter general, no obstante el necesario juicio de ponderación que el responsable del tratamiento deba hacer y “siempre que no prevalezcan los intereses o los derechos y libertades del interesado”, su interés legítimo puede constituir la base jurídica del tratamiento de datos personales con fines de mercadotecnia directa respecto de quienes sean clientes suyos, habida cuenta de que se considera que existe una expectativa razonable de dichos clientes en recibir publicidad, basada en la relación comercial que les une con el responsable del tratamiento. Así se infiere del artículo 6.1.
38. f)del RGPD en conexión con el artículo 21.3 y los Considerandos 47, 69 y 70 del RGPD, El artículo 21 del RGPD regula el derecho de oposición en los siguientes términos: “1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras
39. e)o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. 2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas. (...)”. (El subrayado es nuestro) Por otra parte, los Considerandos 69 y 70 del RGPD dicen: