← España

PS-00305-2014

1/17 Procedimiento Nº PS/00305/2014 RESOLUCIÓN: R/01827/2014 En el procedimiento sancionador PS/00305/2014, instruido por la Agencia Española de Protección de Datos a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5 de julio de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara lo siguiente : “Como cliente de la entidad bancaria BBVA, S.A., vengo utilizando desde hace varios años sus servicios vía Internet a través de las opciones que ofrece al efecto a través de su página Web www/bbva.es. No obstante, desde hace unos pocos días (aproximadamente desde el 17/06/2013) al intentar acceder a su página web — introduciendo las correspondientes claves de cliente — con el objeto de utilizar sus servicios telemáticos como consultas de saldos y operaciones, transferencias, pago de impuestos, etc., aparece una pantalla que impide el acceso al cliente si no se aceptan previamente las nuevas condiciones del servicio, a las que, por cierto, sólo se puede acceder en modo lectura sin posibilidad de imprimir ni descargar. Tales nuevas condiciones figuran en dos documentos denominados “contrato multicanal” y “Anexo de Servicios al Contrato Multicanal”, en los cuales figura una cesión automática de los datos personales del cliente que va más allá de lo imprescindible y necesario para posibilitar el contrato entre las partes sin que exista la posibilidad de negarse a ello en el mismo momento y medio por que el que se efectúa la contratación. Además tal amplia cesión de datos no sólo se obliga a hacer a favor de la entidad sino que también a favor de todas las empresas del grupo. Se significa igualmente que este denunciante ha manifestado al BBVA lo anteriormente expuesto, tanto telefónicamente como a través de una opción de contacto escrito que ofrece a través de su Web, con el fin de que procedieran a subsanarlo, pero con resultado totalmente infructuoso. Denuncia además que al acceder a la opción “Condiciones” que se ofrece al pie de la página Web de la entidad, obtiene un documento que aporta con unos datos personales que no son los suyos. Indica que ocurre igual al acceder al “Anexo de Servicios al Contrato Multicanal”. Aporta copia de los siguientes documentos: - Impresión de pantalla de acceso a la página web www.bbva....../clientes. - Pliego de condiciones del “Contrato Multicanal” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 - Pliego de condiciones del “Anexo de Servicios al Contrato Multicanal” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., teniendo conocimiento de que: De la pantalla de acceso a los servicios web para clientes del BBVA, aportada por el denunciante, parece desprenderse que se le obliga (en fecha de la denuncia - junio de 2013) a aceptar todas las cláusulas del Contrato Multicanal, sin opción a la negativa al tratamiento y comunicación de sus datos para otras finalidades distintas que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, finalidades que son expresadas en la cláusula 12.II del contrato, (básicamente elaboración de perfiles con fines comerciales y remisión de comunicaciones sobre productos o servicios bancarios o de terceros), con la imposibilidad de acceder al servicio sin aceptar dicha cláusula. Se hace notar que el Artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establece lo siguiente: “Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma 1.Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. 2.En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. )” Solicitada información al BBVA a este respecto, los representantes de la entidad ha manifestado lo siguiente : “Coincidiendo con la puesta en marcha de una nueva versión de la web www.bbva......, se modificaron las condiciones de prestación de los servicios telemáticos y de banca por Internet, estableciéndose unas nuevas condiciones contractuales para la utilización de los diferentes canales recogidas en el contrato MULTICANAL, las cuales no implicaban modificaciones sustanciales ni de fondo respecto de la regulación anterior, aportando una nueva estructura contractual cuyo objeto era simplificar y dotar de mayor transparencia la regulación de los mismos incluyendo un cuerpo contractual que establecía las condiciones aplicables a los canales puestos a disposición por el Banco, junto con un Anexo que unificaba la regulación de los servicios a través de dichos canales. De esa forma nuestros clientes disponen de un solo contrato de las condiciones aplicables a dichos canales y servicios. Por lo que respecta la cláusula de tratamiento de datos personales, dicha cláusula no sufrió modificación alguna, manteniéndose las mismas condiciones al respecto vigentes en el anterior contrato de servicios telemáticos. Este cambio se operó en abril 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 Con el fin de garantizar el conocimiento del citado cambio, por parte de los usuarios, es por lo que al acceder los clientes a los servicios web se generaba el siguiente mensaje: “Se han modificado las condiciones contractuales de utilización de los distintos canales puestos a disposición por el Banco para continuar con el procedimiento de acceso es necesario aceptar las condiciones del contrato multicanal de BBVA y su anexo de servicios.” La aceptación de esas nuevas condiciones de utilización de los canales, no implicaba la aceptación de las cláusulas contractuales del contrato MULTICANAL sin opción a la negativa al tratamiento y comunicación de sus datos para otras finalidades como las expresadas en la cláusula 12.11 del contrato, como alega el denunciante, sino que aceptadas las condiciones de uso del servicio, es en el propio clausulado del contrato MULTICANAL donde se recoge la opción de negarse a los tratamientos y comunicaciones de datos que figuran en la cláusula 12, en las mismas condiciones que se venía realizando con anterioridad. En concreto en la cláusula 12- IX del contrato MULTICANAL “Específicamente el Banco informa al Cliente que en el momento de la presente contratación o con posterioridad a la misma y en cualquiera de sus oficinas, pueden manifestar su negativa al tratamiento por el Banco de sus datos personales para cualquiera de las finalidades indicadas en el apartado II de la presente Cláusula.” Esta posibilidad de los clientes de oponerse al tratamiento y comunicación de sus datos para finalidades tales como las expresadas en la cláusula 12.11 se recoge en el contrato MULTICANAL, como se recogía en el anterior de CONDICIONES CONTRACTUALES DE LOS SERVICIOS TELEMATICOS Y DE BANCA POR INTERNET DE BBVA y en los mismos términos, en la medida en que la redacción de cláusula relativa al tratamiento de datos personales no ha sufrido alteración alguna, y se ajusta a lo previsto en el apartado 2 del artículo 1 5 según el cual: “En particular se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entrega para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa.” Por lo tanto informamos que no existe ni ha existido carencia alguna que deba subsanarse por la entidad va que el usuario del contrato multicanal tiene habilitado un mecanismo que le permite manifestar su negativa.” Por otro lado, se ha comprobado por parte de esta Inspección de datos que ha existido en el sitio web www.bbva...... una versión de las condiciones de contratación del “CONTRATO MULTICANAL” cumplimentada con los datos de una tercera persona “B.B.B.” con su NIF y domicilio, datos accesibles públicamente a través de Internet. Dichos datos, si bien ya no figuran al acceder directamente al enlace, fueron visualizados por el denunciante y seguían constando en la caché del buscador Google en fecha de las comprobaciones, 7 de marzo de 2014. A este respecto los representantes de la entidad han manifestado que D. B.B.B. es un empleado de la entidad, aportando una autorización firmada por dicha persona para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 publicación de sus datos en el sitio web de la entidad. En la autorización dice: “Por medio del presente documento hago constar la autorización que tengo prestada al banco para que consten mis datos personales a modo de ejemplo en el producto CONTRATO MULTICANAL comercializado por BBVA en su web www.bbva.......” TERCERO: Con fecha 30 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BANCO BILBAO VIZCAYA ARGENTARIA, S.A.,por presunta infracción del infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), LOPD en su relación con lo previsto en el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (en lo sucesivo RDLOPD), tipificada como leve en el artículo 44.2.

  1. c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 900 a 40.000 euros de acuerdo con el artículo 45.1 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, con fecha de registro en ésta Agencia 26 de junio de 2014, la representación de BBVA formuló alegaciones solicitando el archivo de las actuaciones practicadas en el procedimiento fundamentándolo, básicamente, en los siguientes argumentos: En cumplimiento de lo previsto en el artículo 15 del Real Decreto 1720/2007, BBVA en la cláusula Tratamiento de datos personales apartado IX del contrato MULTICANAL recoge la opción de que el cliente pueda negarse a los tratamientos y comunicaciones de datos para fines no relacionados directamente con la relación contractual. Esta posibilidad de los clientes de oponerse al tratamiento y comunicación de sus datos para finalidades tales como las expresadas en la cláusula 12.11 que se recoge en el contrato MULTICANAL se ajusta a lo previsto en el apartado 2 del artículo 15 según el cual: “ En particular se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entrega para la celebración del contrato o establezca un procedimiento equivalente que le permita manifestar su negativa.” La entidad tiene previsto un procedimiento por el cual se hace efectiva la oposición al tratamiento de los datos del cliente para finalidades que no guarden relación con el mantenimiento desarrollo o control de la relación contractual: https://portalintranet...... “3. OPERATIVA 3.1 TramItación de la solicitud. Como hemos indicado, en el mismo momento de la contratación, el Interesado puede manifestar su negativa al tratamiento de sus datos para aquellas finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual. En ese momento, la Oficina le facilitará el formulario especifico al efecto que para estas solicitudes se halla situado en OPERATIVAIFORMULARIOS ELECTRÓNICOSIPROTECCIÓN DE DATOSINEGATIVA AL TRATAMIENTO DE DATOS PERSONALES (en Anexo 1). Dicho formulario será firmado por el/los Interesados (y representantes legales, si hubiere), cumplimentando la oficina los veinte digitos del contrato afectado y anexando el mismo como documentación relativa a la solicitud del cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 Posteriormente, al igual que ocurre con el proceso definido en la actual Norma 62.30.0i3 sobre Ejercido de Derechos, el procedimiento a seguir para estas solicitudes se canalizarán a través de la herramienta GERE, siendo el Servicio de Atención al Cliente (SAC) quién posteriormente tramite las mismas. Dicho procedimiento se explica a continuación.” QUINTO: Con fecha 27 de junio de 2014 se inició el período de práctica de pruebas en el que: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante BANCO BILBAO VIZCAYA ARGENTARIA, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05081/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00305/2014 presentadas por BANCO BILBAO VIZCAYA ARGENTARIA, S.A., y la documentación que a ellas acompaña. SEXTO: Con fecha 14 de julio de 2014 se formuló propuesta de resolución, proponiendo que por el Director de la Agencia Española de Protección de Datos se sancione a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con multa de 35.000€ (Treinta y Cinco Mil euros) por la infracción del artículo 5.1 de la LOPD en su relación con lo previsto en el artículo 15 del RDLOPD, tipificada como leve en el artículo 44.2.
  2. c)de la citada Ley Orgánica, de conformidad con lo previsto en el artículo 45.1 y 4 de dicha norma. SEPTIMO: En fecha 5 de agosto de 2014 tuvieron entrada en el Registro de la AEPD las alegaciones de BANCO BILBAO VIZCAYA ARGENTARIA, S.A., a la Propuesta de Resolución donde se reproducen básicamente las alegaciones al acuerdo de inicio, haciendo especial referencia a las siguientes alegaciones: No es una nueva contratación, sino un acceso de quien ya era cliente de la entidad y que ya tenía firmados los correspondientes contratos, de esta manera quien ya era cliente, constaba informado de la posibilidad de aceptar o rechazar las la cláusula de protección de datos en que se establecían en dicho contrato. Se firmó por parte del cliente un anexo que se aporta en virtud del cual en cumplimiento de lo previsto en el artículo 11.1 de la Ley Orgánica 15/1999 de 13 de diciembre de protección de Datos Personales no resultará de aplicación la cláusula 12 del contrato MULTICANAL relativa al Tratamiento de Datos Personales en lo relativo a la cesión de datos a terceros, especificándose en el documento los epígrafes concretos que no serían de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 OCTAVO: De las actuaciones practicadas en el presente procedimiento han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: El denunciante manifiesta que con el objeto de utilizar sus servicios telemáticos habituales a través de su página Web www/bbva.es aparece, el 15 de junio de 2013, una pantalla que impide el acceso al cliente si no se aceptan previamente las nuevas condiciones del servicio. Tales nuevas condiciones figuran en dos documentos denominados “contrato multicanal” y “Anexo de Servicios al Contrato Multicanal” en los cuales figura una cesión automática de los datos personales del cliente que va mas allá de lo imprescindible y necesario para posibilitar el contrato entre las partes sin que exista la posibilidad de negarse a ello en el mismo momento y medio por que el que se efectúa la contratación. (folios 1 y 3) SEGUNDO: Consta copia de la página web www.bbva...... en la que aparece lo siguiente: “Contrato multicanal. Se han modificado las condiciones contractuales de utilización de los distintos canales puestos a disposición por el Banco, para continuar con el procedimiento de acceso es necesario aceptar las condiciones del contrato multicanal de BBVA y su anexo de servicios. He leído y acepto los términos del contrato multicanal He leído y acepto los términos del contrato de servicios i Debe aceptar los términos del anexo y contrato ACEPTAR (folio 3)” TERCERO: El contrato multicanal en el punto 12 Tratamiento de Datos personales II establece lo siguiente: “Asimismo el Cliente autoriza que sus datos personales se incorporen a ficheros del Banco para las siguientes finalidades:
  3. a)La elaboración de perfiles de cliente con fines comerciales, a efectos de ofrecer productos o servicios bancarios, y de análisis de riesgos para futuras operaciones.
  4. b)La remisión, a través de cualquier medio, incluso por correo electrónico u otro medio de comunicación electrónica equivalente, de cualesquiera informaciones sobre productos o servicios bancarios o de terceros.
  5. c)Para cualesquiera otras finalidades no incompatibles con cualquiera de las previstas en este apartado.” (folio 26) CUARTO: Así mismo en el apartado VI también del punto 12 se señala: “ El Cliente consiente y autoriza al Banco a comunicar sus datos de identificación y comunicación a las Entidades del Grupo BBVA en España para su utilización con la finalidad del apartado II. b).” (folio 26) QUINTO: Queda acreditado que con fecha 6 de marzo de 2014 la inspección de datos obtiene a través de internet en el sitio web www.bbva...... las condiciones del “contrato multicanal” y “anexo de servicios del contrato multicanal (folios 20 a 35) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 SEXTO: BBVA manifiesta que en el propio clausulado del contrato MULTICANAL se recoge la opción de negarse a los tratamientos y comunicaciones de datos que figuran en la cláusula 12, en las mismas condiciones que se venía realizando con anterioridad. En concreto en la cláusula 12- IX del contrato MULTICANAL “Específicamente el Banco informa al Cliente que en el momento de la presente contratación o con posterioridad a la misma y en cualquiera de sus oficinas, pueden manifestar su negativa al tratamiento por el Banco de sus datos personales para cualquiera de las finalidades indicadas en el apartado II de la presente Cláusula.” (folio 54) SEPTIMO: La entidad BBVA manifiesta que tiene previsto un procedimiento por el cual se hace efectiva la oposición al tratamiento de los datos del cliente para finalidades que no guarden relación con el mantenimiento desarrollo o control de la relación contractual: https://portalintranet...... “3. OPERATIVA 3.1 TramItación de la solicitud. Como hemos indicado, en el mismo momento de la contratación, el Interesado puede manifestar su negativa al tratamiento de sus datos para aquellas finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual. En ese momento, la Oficina le facilitará el formulario especifico al efecto que para estas solicitudes se halla situado en OPERATIVAIFORMULARIOS ELECTRÓNICOSIPROTECCIÓN DE DATOSINEGATIVA AL TRATAMIENTO DE DATOS PERSONALES (en Anexo 1). Dicho formulario será firmado por el/los Interesados (y representantes legales, si hubiere), cumplimentando la oficina los veinte digitos del contrato afectado y anexando el mismo como documentación relativa a la solicitud del cliente. Posteriormente, al igual que ocurre con el proceso definido en la actual Norma 62.30.0i3 sobre Ejercido de Derechos, el procedimiento a seguir para estas solicitudes se canalizarán a través de la herramienta GERE, siendo el Servicio de Atención al Cliente (SAC) quién posteriormente tramite las mismas. Dicho procedimiento se explica a continuación.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II De conformidad con lo dispuesto en el artículo 2 de la LOPD dicha norma “será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
  7. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. A su vez, el artículo 3 de la LOPD, en su apartado c), define como tratamiento de datos, las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento en su artículo 43, por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso BBVA resulta responsable del tratamiento automatizado de los datos personales derivados de la recogida, conservación y utilización por su parte de los datos personales facilitados vía web por los usuarios. Por lo tanto, la realización de dicho tratamiento de datos de carácter personal enmarcado por BBVA en el “contrato multicanal” y “Anexo de Servicios al Contrato Multicanal” coloca a la mencionada entidad en una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD. III En el presente caso se imputa a BBVA la posible vulneración del derecho de información de los interesados en algunas cláusulas del contrato multicanal obtenido a través de su página web www.bbva...... Los apartados 1, 2 y 3 del artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  9. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  10. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  11. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  12. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  13. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 anterior. 3. No será necesaria la información a que se refieren las letras b),
  14. c)y
  15. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban…” Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. IV La obligación que impone este artículo 5.1 es, por tanto, la de informar a los afectados de los reseñados extremos, pues sólo así queda garantizado el derecho de los mismos a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Dicha información debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 5.2 de la LOPD establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. Así, de acuerdo con lo anteriormente señalado BBVA debe proporcionar de forma expresa, precisa e inequívoca a los afectados a los que requiere datos personales a través de la página web www.bbva...... la información a la que se refiere el artículo 5.1 de la LOPD, y lo debe hacer previamente a la solicitud de los mismos. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo que las mismas sean “determinadas, explícitas y legítimas”. El Tribunal Constitucional en la STC 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información previa como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 Igualmente, en dicha Sentencia se realiza el siguiente pronunciamiento sobre la importancia del derecho a la información previa: “De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este mismo sentido se ha pronunciado también la Audiencia Nacional en su Sentencia de 15 de junio de 2001, Recurso nº 158/2000, al señalar que se trata de un “derecho importantísimo porque es el que permite llevar a cabo el ejercicio de otros derechos, y así lo valora el texto positivo al pormenorizar su contenido, y establecer la exigencia de que el mismo sea expreso, preciso e inequívoco.” Es decir, la exigencia de la información requerida en el artículo 5 de la LOPD constituye un derecho del afectado que es objeto de protección por sí mismo, y además, resulta un complemento previo para el ejercicio de otros derechos que la LOPD reconoce, como el de la prestación del consentimiento. V En cuanto a la obligación de informar sobre las finalidades a las que se destinaran los datos al cesionario hay que tener en cuenta lo siguiente: 1.- El artículo 11. 3 de la LOPD que establece: “ Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.” Por este motivo la claúsula del contrato multicanal que consta en el hecho probado cuarto, y que a continuación se transcribe, no reúne los requisitos exigidos por la LOPD, al no señalar el tipo de actividad de aquellas entidades a las que se pretenden comunicar dichos datos: “El Cliente consiente y autoriza al Banco a comunicar sus datos de identificación y comunicación a las Entidades del Grupo BBVA en España para su utilización con la finalidad del apartado II. b).” 2.- Así mismo no reúne el requisito de finalidad el apartado
  16. c)de la claúsula recogida en el hecho probado tercero y que transcribimos: “El cliente autoriza que sus datos personales se incorporen a ficheros del Banco para las siguientes finalidades: …….
  17. c)Para cualesquiera otras finalidades no incompatibles con cualquiera de las previstas en este apartado.”, En esta claúsula se impide al cliente el conocimiento expreso de la finalidad a que destinarán los datos por parte del cesionario de acuerdo también con el artículo 11.3 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 de la LOPD transcrito anteriormente. 3.- Por último el artículo 45 1
  18. b)del reglamento de la LOPD establece lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: …..
  19. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. De la lectura del artículo también se desprende que el apartado
  20. b)de la claúsula recogida en el hecho probado tercero que dispone que el cliente autoriza: “
  21. b)La remisión, a través de cualquier medio, incluso por correo electrónico u otro medio de comunicación electrónica equivalente, de cualesquiera informaciones sobre productos o servicios bancarios o de terceros” no reúne los requisitos del artículo 45.1
  22. b)del reglamento de la LOPD y esto es así porque con la citada claúsula no se informa a los afectados de forma precisa e inequívoca de la finalidad a la que se destinaran sus datos, ya que no se concretan los sectores de actividad de los terceros respecto de los que podrán recibir información publicitaria. En este sentido la SAN de 18 de mayo de 2006 ” … En cualquier caso sigue previendo la posibilidad de que los datos puedan ser tratados para fines muy genéricos e indeterminados, cuales son la publicidad u ofertas de otras entidades comerciales o de servicios , sin especificar las mismas y concretando, más a título indicativo y no definitivo, las actividades de las distintas entidades a las que los datos podían ser cedidos. La amplitud de categoría de bienes y servicios para los que se presta el consentimiento tampoco permite al particular identificar de forma determinada y explícita las finalidades para las que serán tratados sus datos personales, en términos que le permitan prestar un consentimiento inequívoco como el exigido por la LOPD” Por tanto, como se señaló anteriormente, la cláusula examinada no informa de forma determinada de la finalidad a la que se destinan sus datos. La exigencia de la información requerida en el artículo 5 de la LOPD constituye un derecho del afectado que es objeto de protección por sí mismo, y además, resulta un complemento previo para el ejercicio de otros derechos que la LOPD reconoce, como el de la prestación del consentimiento. Visto lo anterior cabe concluir que las cláusulas indicadas no se adecuan a los requisitos exigidos por el artículo 5 de la LOPD. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 Por su parte, el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, (en adelante RDLOPD), desarrolla el citado artículo 5 de la LOPD en cuanto a la información que se ha de facilitar a los afectados cuando se solicita el consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma, disponiendo que se deberá permitir a los afectados que manifiesten expresamente su negativa al mencionado tratamiento o comunicación de datos ajeno a dicha relación contractual. Así, el artículo 15 del RDLOP dispone lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” De lo expuesto cabe concluir que la vigente normativa de protección de datos ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. VII En este supuesto, de las actuaciones practicadas se desprende que si bien las personas físicas usuarias de dicho servicio podían acceder a través de internet en el sitio web www.bbva...... a las condiciones del “contrato multicanal” y “anexo de servicios del contrato multicanal y que en la cláusula 12- IX del contrato MULTICANAL se señala que “Específicamente el Banco informa al Cliente que en el momento de la presente contratación o con posterioridad a la misma y en cualquiera de sus oficinas, pueden manifestar su negativa al tratamiento por el Banco de sus datos personales para cualquiera de las finalidades indicadas en el apartado II de la presente Cláusula.” sin embargo se ha constatado que en el contrato multicanal aportado y en el anexo al contrato multicanal no se prevé en ningún lugar la posibilidad de que el interesado pueda manifestar expresamente en el cuerpo del propio contrato su voluntad favorable o contraria al tratamiento de sus datos para fines no relacionados directamente con el desarrollo del contrato y la prestación del servicio. Esa circunstancia entra en colisión directa con la exigencia contenida en el mencionado artículo 15. Alega BBVA que tiene previsto un procedimiento por el cual se hace efectiva la oposición al tratamiento de los datos del cliente para finalidades que no guarden relación con el mantenimiento desarrollo o control de la relación contractual: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 https://portalintranet...... “3. OPERATIVA 3.1 TramItación de la solicitud. Como hemos indicado, en el mismo momento de la contratación, el Interesado puede manifestar su negativa al tratamiento de sus datos para aquellas finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual. En ese momento, la Oficina le facilitará el formulario especifico al efecto que para estas solicitudes se halla situado en OPERATIVAIFORMULARIOS ELECTRÓNICOSIPROTECCIÓN DE DATOSINEGATIVA AL TRATAMIENTO DE DATOS PERSONALES (en Anexo 1). Dicho formulario será firmado por el/los Interesados (y representantes legales, si hubiere), cumplimentando la oficina los veinte digitos del contrato afectado y anexando el mismo como documentación relativa a la solicitud del cliente. Posteriormente, al igual que ocurre con el proceso definido en la actual Norma 62.30.0i3 sobre Ejercido de Derechos, el procedimiento a seguir para estas solicitudes se canalizarán a través de la herramienta GERE, siendo el Servicio de Atención al Cliente (SAC) quién posteriormente tramite las mismas. Dicho procedimiento se explica a continuación.” En este sentido hay que señalar que lo anteriormente manifestado no resulta de aplicación a la contratación online que se realiza sin intervención de alguna oficina. En la contratación on line no se prevé en ningún lugar de dichos contratos la posibilidad de que el interesado pueda manifestar expresamente en el momento de la contratación su voluntad favorable o contraria al tratamiento de sus datos para fines no relacionados directamente con el desarrollo del contrato y la prestación del servicio. Así mismo señalar que el procedimiento que tiene instaurado la entidad denunciada es un procedimiento de revocación del consentimiento una vez que éste obligatoriamente ha sido dado, como se desprende del hecho probado segundo, que no ofrece al afectado la posibilidad de negarse al tratamiento de sus datos en el momento de la contratación, a pesar de lo manifestado en la propia claúsula. En consecuencia, en tanto no se permita al interesado manifestar su voluntad, (antes de que el consentimiento se entienda prestado) en el momento de la contratación en relación a los tratamientos no vinculados directamente con la prestación del servicio y no exista una manifestación del consentimiento del interesado para el tratamiento de sus datos con fines distintos al objeto principal del contrato no puede considerarse conforme a lo dispuesto en la normativa vigente en materia de protección de datos de carácter personal, ya que se obliga a la aceptación de las condiciones y a una posterior revocación en su caso, por tanto, no existe la posibilidad de negar el consentimiento en el momento de la contratación, suponiendo dicha circunstancia una vulneración del cumplimiento de las exigencias recogidas en el citado artículo 5.1.
  23. a)de la LOPD en su relación con lo previsto en el artículo 15 del RDLOPD. Por tanto los mecanismos de rechazo deben estar incluidos en el propio documento a fin de posibilitar que el afectado pueda ser informado y manifestar, en el mismo momento de facilitación de sus datos, su negativa al uso de los mismos para fines no relacionados directamente con proceso de formación del contrato en cuestión. Sin embargo en este caso, el procedimiento habilitado por BBVA no permite al usuario manifestar su negativa en el momento en que se recaban los datos. En este sentido se dicto por la Audiencia Nacional la reciente Sentencia de 30/01/2013 ( Rec. núm 400/2011) que en su Fundamento de Derecho Sexto señala que:” La persona que una vez elegido su producto por catálogo llama por teléfono a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 entidad recurrente para realizar el pedido, sabe lógicamente, que tiene que entregar una serie de datos para tramitar y gestionar el pedido. Ahora bien, cuando se trata del tratamiento de datos para actividades como por ejemplo de prospección comercial, que no tienen relación directa con el mantenimiento, desarrollo o control de la relación contractual que motivó la recogida de datos, no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el artículo 15 del RDLOP en relación con el deber de información en la recogida de datos regulado en el citado artículo 5.1 LOPD . “ Así de acuerdo con la doctrina jurisprudencial no basta con informar de las finalidades a las que se destinan los datos, sino que hay que informar y dar la posibilidad al afectado, cuando los fines no se encuentren relacionados con la relación contractual que se entabla, de mostrar la negativa al tratamiento de sus datos con dicha finalidad. La entidad denunciada manifiesta en las alegaciones a la propuesta de resolución que no es una nueva contratación, sino un acceso de quien ya era cliente de la entidad y que ya tenía firmados los correspondientes contratos, de esta manera quien ya era cliente, constaba informado de la posibilidad de aceptar o rechazar las la cláusula de protección de datos en que se establecían en dicho contrato. A este respecto hay que señalar que las nuevas condiciones generales del contrato multicanal sustituyen a cualquiera otras anteriores, según se desprende de dicho contrato (folio 23) por tanto nos encontramos en el marco de una nueva etapa del proceso de formación del contrato que requiere el consentimiento del denunciante.. Así mismo se alega a la propuesta de resolución que se firmó por parte del denunciante un anexo que se aporta en virtud del cual en cumplimiento de lo previsto en el artículo 11.1 de la Ley Orgánica 15/1999 de 13 de diciembre de protección de Datos Personales no resultará de aplicación la cláusula 12 del contrato MULTICANAL relativa al Tratamiento de Datos Personales en lo relativo a la cesión de datos a terceros, especificándose en el documento los epígrafes concretos que no serían de aplicación. Con respecto a lo anterior hay que señalar que el procedimiento sancionador no se ha iniciado por las condiciones en concreto que el denunciante tiene con la entidad sino teniendo en cuenta el marco general establecido por la entidad denunciada para informar de la posibilidad de mostrar su negativa al tratamiento de datos a la generalidad de los clientes. El artículo 44.2.
  24. c)de la LOPD considera infracción leve: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. VIII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  25. a)El carácter continuado de la infracción.
  26. b)El volumen de los tratamientos efectuados.
  27. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  28. d)El volumen de negocio o actividad del infractor.
  29. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. f)El grado de intencionalidad.
  31. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  32. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  33. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  34. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  35. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  36. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  37. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  38. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  39. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", sin que en el presente caso resulte de aplicación el mismo por haberse imputado a BBVA una infracción leve. Por todo ello, procede imponer, la infracciones cometida, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45. La entidad imputada C/ Jorge Juan, 6 28001 – Madrid resulta responsable de la comisión de la infracción www.agpd.es sedeagpd.gob.es 16/17 imputada por la falta de diligencia y cuidado mostradas para adecuar la información ofrecida a los usuarios del Contrato multicanal y anexo en su página web http://www.bbva...... a los requisitos exigidos en la normativa de protección de datos, no se prevé en ningún lugar de dichos contratos la posibilidad de que el interesado pueda manifestar en el momento de la contratación su voluntad favorable o contraria al tratamiento de sus datos para fines no relacionados directamente con el desarrollo del contrato y la prestación del servicio. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, y, en especial, considerando la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (apartado c), el volumen de negocio de BBVA (apartado d), y los posibles beneficios obtenidos (apartado e), se estima procedente la imposición de una sanción en la cuantía de 35.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A. por la infracción del artículo 5.1 de la LOPD en su relación con lo previsto en el artículo 15 del RDLOPD, tipificada como leve en el artículo 44.2.
  40. c)de la citada Ley Orgánica, una multa de 35.000 € (treinta y cinco mil euros) de conformidad con lo establecido en el artículo 45.1 y 45.4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.