PS-00375-2022

1/17  Expediente N.º: PS/00375/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 31 de mayo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF A48265169 (en adelante, la parte reclamada o BBVA). Los motivos en que basa la reclamación son los siguientes: En fecha 25 de noviembre de 2020, en su condición de abogado de Dña. B.B.B., presentó en nombre de ésta un escrito de reclamación ante la entidad BBVA. Posteriormente, en fecha 1 de diciembre de 2020, la entidad reclamada entregó en mano a su cliente, Dña. B.B.B., un escrito relativo a la reclamación dirigido por BBVA a la parte reclamante en el que consta el domicilio particular de ésta, en lugar del correspondiente a su despacho profesional, vulnerando el deber de confidencialidad de datos (la parte reclamante también es cliente de la entidad). La parte reclamante advierte que BBVA ha revelado su domicilio particular, que no era conocido por Dña. B.B.B., el cual fue facilitado a la entidad por su condición de cliente de la misma, con ocasión de la apertura de una cuenta bancaria. Asimismo, añade que presentó reclamación ante BBVA solicitando una indemnización por estos hechos y recibió respuesta el 31 de diciembre de 2020. Aporta la reclamación inicial presentada en calidad de abogado, en la que no se indica ninguna dirección postal de contacto, y copia del correo electrónico mediante el que se envía la misma a la entidad reclamada, fechado el 25/11/2020; respuesta de BBVA indicando a la parte reclamante el número de referencia asignado a la reclamación, dirigida a la parte reclamante a su domicilio particular; pantallazo de WhatsApp por el que Dña. B.B.B. envía dicha respuesta a la parte reclamante; y escrito de BBVA respondiendo a la segunda reclamación efectuada por la incidencia ocurrida con sus datos, en el que la entidad se disculpa e indica que han puesto los hechos en conocimiento de los responsables implicados con el objeto de poder adoptar, en su caso, las medidas que resulten procedentes. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 22/06/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 01/09/2021, se recibe en esta Agencia escrito de respuesta de BBVA indicando que la respuesta emitida por la entidad para acusar recibo de la reclamación presentada por la parte reclamante en nombre de su cliente, en la que no se indicaba ninguna dirección a efectos de comunicación, fue enviada a la única dirección conocida por BBVA, que constaba en la base de datos de clientela. Además, BBVA manifiesta que el 1 de diciembre de 2020, Dña. B.B.B. se personó en la oficina de la entidad solicitando conocer el estado su reclamación y copia del expediente. En ese momento, el Director de la oficina entregó a dicha persona una copia del único documento que existía hasta la fecha, correspondiente al acuse de recibo de la reclamación. Posteriormente, el 3 de diciembre de 2020, la parte reclamante presentó en otra oficina de BBVA un nuevo escrito de reclamación en nombre de su cliente en el que señalaba su dirección profesional como domicilio a efectos de notificaciones. El 25 de diciembre de 2020, el SAC contestó a la reclamación presentada, enviando dicha contestación a la dirección indicada por la parte reclamante en su escrito de 3 de diciembre de 2020, esto es, su domicilio profesional. TERCERO: Con fecha 6 de octubre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. La entidad reclamada es una sociedad anónima de nacionalidad española. Según los datos obrantes en “Axesor” se trata de una gran empresa matriz de grupo (…). No se han encontrado en Sigrid expedientes anteriores al presente en relación con brechas de seguridad de esta entidad. 2. Se solicitó información y documentación a la entidad reclamada y, de la respuesta recibida, se desprende lo siguiente:

1. a)Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. En fecha 1 de diciembre de 2020, una persona clienta de la parte reclamante solicita copia de la reclamación que ésta interpuso en nombre de la misma ante BBVA. La entidad reclamada le entregó en mano a esta persona el escrito relativo a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 reclamación, a nombre de la parte reclamante y en el que consta el domicilio particular de ésta. BBVA, el 23 de diciembre de 2020, respondió la reclamación de la parte reclamante disculpándose por lo ocurrido, trasladando que dicha incidencia se ha puesto en conocimiento de los responsables implicados que han adoptado medidas para evitar incidentes similares. Conocida la incidencia por BBVA se han analizado los hechos y constatado que dicha incidencia tuvo lugar por un error puntual, que fue reparado de forma inmediata al informar la parte reclamante de la dirección de su despacho profesional. El BBVA aclara que facilitar a la persona representada por la parte reclamante el acuse de recibo de la reclamación, sin ocultar la dirección particular de ésta (dirección utilizada por el SAC al no figurar en el escrito la dirección del despacho profesional), fue un error puntual y aislado.
2. b)Respecto de las causas que hicieron posible la brecha La persona representada por la parte reclamante solicitó a la oficina de BBVA, el 1 de diciembre de 2020, copia del expediente de la reclamación que había presentado su representante, siendo que en ese momento todavía no se había resuelto la reclamación y solo figuraba el acuse de recibo de la reclamación, este documento le fue entregado por el Director de la oficina en el que se figuraba la dirección del domicilio de la parte reclamante.
3. c)Respecto de los datos afectados Los datos afectados fueron la dirección particular del reclamante.
4. d)Respecto de las medidas de seguridad implantadas El BBVA defiende que: (
5. i)se trata de un error puntual e involuntario, pues el Director de la oficina desconocía que se trataba de una dirección particular y por lo tanto de un dato personal del representante; (
6. ii)que fue corregido, así se acredita que se adoptaron de manera inmediata medidas para que no se repitiera, empleando mecanismos para revertir la situación y eliminar cualquier riesgo de reincidencia sin especificar ni certificar los mismos. QUINTO: Con fecha 10/08/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad BBVA, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por las presuntas infracciones siguientes: . Infracción del artículo 5.1.
7. b)del RGPD, tipificada en el artículo 83.5.
8. a)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
9. a)de la LOPDGDD. . Infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
10. a)del mismo Reglamento, y calificada como grave a efectos de prescripción en el artículo 73.
11. f)y
12. g)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 de la LOPDGDD. . Infracción del artículo 5.1.
13. f)del RGPD, tipificada en el artículo 83.5.
14. a)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
15. a)de la LOPDGDD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 70.000 euros (setenta mil euros): 25.000 euros (veinticinco mil euros) por la presunta infracción del artículo 5.1.
16. b)del RGPD, de 20.000 euros (veinte mil euros) por la presunta infracción del artículo 32 del RGPD y de 25.000 euros (veinticinco mil euros) por la presunta infracción del artículo 5.1.
17. f)del RGPD. Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas de acuerdo con lo establecido en el citado artículo 58.2
18. d)del RGPD. SEXTO: La notificación a la parte reclamada del acuerdo de apertura reseñado en el antecedente anterior, en la que se concedía plazo para formular alegaciones y proponer prueba, se remitió mediante el Servicio de Notificaciones Electrónicas, y fue entregada a BBVA en fecha 11/08/2022. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
19. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, las infracciones del RGPD atribuidas a la reclamada y las sanciones que podrían imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
20. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS 1. La parte reclamante es cliente particular de BBVA, como titular de una cuenta bancaria. Con este motivo, facilitó a la citada entidad sus datos personales, incluido el relativo a la dirección postal correspondiente a su domicilio particular. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 2. Con fecha 25/11/2020, en su condición de abogado, la parte reclamante presentó ante BBVA una reclamación en nombre y representación de uno de sus clientes. 3. En la misma fecha del 25/11/2020, BBVA acusó recibo de la reclamación reseñada en el Hecho Probado Segundo mediante escrito dirigido a la parte reclamante y a su domicilio personal, el asociado a su ficha de cliente particular como titular de una cuenta bancaria abierta en este Banco. Mediante este escrito, BBVA comunicó a la parte reclamante el número de referencia asignado a la reclamación. 4. Con fecha 01/12/2020, BBVA facilitó a la persona representada por la parte reclamante el documento de acuse de recibo de la reclamación reseñado en el Hecho Probado Tercero, poniéndole de manifiesto el dato relativo al domicilio personal de la parte reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II En el presente caso se ponen de manifiesto los hechos siguientes, sin que ninguno de ellos resulte controvertido: La parte reclamante es cliente particular de BBVA, como titular de una cuenta bancaria. Con este motivo, facilitó a la citada entidad sus datos personales, incluido el relativo a la dirección postal correspondiente a su domicilio particular. En su condición de abogado y actuando en nombre y representación de uno de sus clientes, la parte reclamante presentó ante BBVA una reclamación, de la que esta entidad acusó recibo mediante escrito dirigido a la parte reclamante y a su domicilio personal, el asociado a su ficha de cliente particular como titular de una cuenta bancaria abierta en este Banco. Además, BBVA facilitó a la persona representada por la parte reclamante este documento de acuse de recibo de la reclamación formulada, poniéndole de manifiesto el dato relativo al domicilio personal de la parte reclamante, que no era conocido por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 esta tercera persona. III Los hechos expuestos, en relación con la utilización del dato personal de la parte reclamante relativo a su domicilio particular para la tramitación de una reclamación formulada por el mismo en nombre y representación de un tercero, actuando bajo su condición de abogado, sin que exista causa legítima para ello, suponen un incumplimiento del principio de “limitación de la finalidad” regulado en el artículo 5.1.
21. b)del RGPD, que establece lo siguiente: “1.Los datos personales serán: (…)
22. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales (“limitación de la finalidad”). En relación con los principios regulados en el citado artículo 5 del RGPD se tiene en cuenta lo señalado en el Considerando 39 del citado RGPD: “39. Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. En el presente caso, BBVA realizó un tratamiento de datos personales de la parte reclamante incompatible con las finalidades que determinaron la recogida de tales datos. En consecuencia, los citados hechos vulneran lo dispuesto en el artículo 5.1.
23. b)del RGPD, dando lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 IV El artículo 32 del RGPD, “Seguridad del tratamiento”, establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
24. a)la seudonimización y el cifrado de datos personales;
25. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
26. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
27. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros” . El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. Hay que señalar que el RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “