PS-00395-2024

1/35  Expediente N.º: EXP202408496 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 17 de abril de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, BBVA). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante manifiesta que era titular de dos cuentas de la entidad reclamada (terminadas en ***CUENTA.1 y ***CUENTA.2) y que, tras unos incidentes con la seguridad de su buzón postal por sustracción de correspondencia, optó por dar de baja dichas cuentas y dar de alta una cuenta nueva con la entidad reclamada (terminada en ***CUENTA.3). Señala que, para ello, se le hizo firmar, de forma digital, una serie de documentación que, a su vez, le sería remitida a través de correo electrónico, si bien, al acceder con posterioridad a dicha documentación, comprobó que los archivos remitidos se encontraban corruptos y no se abrían, constatando posteriormente (a través de un requerimiento notarial de la documentación) que solo dos de los documentos se habían firmado digitalmente de forma adecuada. Asimismo, manifiesta que tiene contratado un seguro con la entidad ***ENTIDAD.1, estando domiciliado el pago en una de las cuentas de la parte reclamada a las que dio de baja y que, sin haber informado a ***ENTIDAD.1 de la nueva cuenta, ésta giró recibo a la parte reclamada contra la cuenta dada de baja, en fecha 21 de marzo de 2022 y la parte reclamada procedió a aceptar el cargo en la nueva cuenta, sin mediar autorización previa de la parte reclamante, sin que ***ENTIDAD.1 girara el recibo a dicha cuenta y sin que existiese ningún vínculo/desvío de traspaso de cargos entre las cuentas canceladas y la cuenta nueva. Por otro lado, la parte reclamante manifiesta que había domiciliado ese recibo en otra cuenta, que no tenía nada que ver con éstas, unas semanas antes. Por otra parte, pone de manifiesto la falta de transparencia y mala praxis en la actuación de la parte reclamada, ya que no le facilitó ningún documento relativo a la cancelación de las cuentas, además de no enviar la documentación que solicitó por correo electrónico y remitirle documentos en los que no constaba su firma, sumando a ello la falta de colaboración en la cancelación de su hipoteca. Junto a la reclamación aporta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/35 - copia de la denuncia ante la Policía por sustracción de correspondencia postal, - copia de las solicitudes de cancelación de las cuentas en las que consta sello de la entidad, de fecha 14 de febrero de 2022, - copia del extracto bancario relativo al cargo del seguro efectuado en la nueva cuenta (terminada en ***CUENTA.3) en fecha 21 de marzo de 2022, - copia de los certificados expedidos en fecha 11 de mayo de 2022, relativos a la no existencia de ningún desvío activo hacia la nueva cuenta y también al cargo de ***ENTIDAD.1 que fue adeudado a la nueva cuenta (terminada en ***CUENTA.3). Por otra parte, aporta numerosa documentación relativa a la petición de documentos, archivos defectuosos recibidos, falta de envío por el canal indicado, requerimiento notarial, documentación recibida sin firmar, así como trámites relativos a la cancelación de la escritura de la hipoteca. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a BBVA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 11/06/2024 como consta en el acuse de recibo que obra en el expediente. En fecha 17 de julio de 2024 tiene entrada contestación al escrito de traslado, en el que se pone de manifiesto: - Que han enviado una comunicación a la parte reclamante, a la dirección postal que consta en sus sistemas, con fecha 10 de julio de 2024, en la que exponen los trámites que han realizado al respecto de su reclamación, cumpliendo con ello con las imposiciones legales previstas en el RGPD en lo que respecta al tratamiento de datos personales y a la libre circulación de los mismos. - La reclamación tenía por objeto trasladar su disconformidad, debido a que tenía domiciliado un recibo de ***ENTIDAD.1 en su cuenta (***CUENTA.1), cuenta que canceló en febrero de 2022, y, sin su autorización fue cargada en marzo de 2022 en la cuenta (***CUENTA.3).” - Como ya se le puso de manifiesto a la parte reclamante en ocasiones anteriores, desde su oficina gestora informaron al SAC que dicha domiciliación a la nueva cuenta del cliente fue gestionada de manera verbal con éste mostrando, como es lógico, su conformidad con dicha domiciliación para poder atender el pago de los recibos que anteriormente eran cargados en su antigua cuenta BBVA cancelada por el mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/35 - Prueba de lo expuesto, como se informa al cliente, es que otros recibos girados por diversas entidades como ***ENTIDAD.2, fueron también redomiciliados en la nueva cuenta (***CUENTA.3) abierta por la parte reclamante en BBVA, sin que respecto de los mismos haya mediado reclamación o disconformidad alguna por su parte. Dicho extremo es a todas luces lógico habida cuenta que la cuenta bancaria por la que se cargaban los diversos recibos a nombre de la parte reclamante había sido cancelada, por razones ajenas a BBVA, abriendo una nueva cuenta de manera inmediata en la Entidad con el fin, entendemos y entre otras cosas, de hacer frente a los recibos que las anteriores entidades iban cargando. - Que conforme a lo dispuesto en el Real Decreto- Ley 19/2018 de servicios de pago, al haber transcurrido más de 13 meses desde que el recibo de ***ENTIDAD.1 fue cargado a la cuenta de la parte reclamante sin que haya mostrado disconformidad con el citado recibo, no procede efectuar acción alguna sobre el mismo dado que ha expirado el plazo máximo establecido en la Ley para ello. Asimismo, BBVA aporta la comunicación que ha enviado a la parte reclamante, con el siguiente contenido: (...) “Hemos recibido el escrito que nos envió con fecha 11 de junio de 2024. (…) El objeto de su reclamación es trasladarnos su disconformidad debido a que tenía domiciliado un recibo de ***ENTIDAD.1 en la cuenta (***CUENTA.1), cuenta que canceló en febrero de 2022 y sin su autorización fue cargado en marzo de 2022 en la cuenta (***CUENTA.3). Porque en BBVA nuestro objetivo es la transparencia con nuestros clientes, tras haber revisado cuidadosamente los hechos que usted nos describe y la documentación recabada al respecto, queremos que la respuesta a su petición sea lo más precisa posible, indicándole también: (…) II. El plazo máximo para la devolución de un recibo está regulado en el Real Decreto-Ley 19/2018 de servicios de pago, estableciendo: -Si no estaba autorizado (art. 43): El usuario de servicios de pago obtendrá la rectificación por parte del proveedor de servicios de pago de una operación de pago no autorizada o ejecutada incorrectamente únicamente si el usuario de servicios de pago se lo comunica sin demora injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones que sea objeto de reclamación, incluso las cubiertas por el artículo 60, y, en todo caso, dentro de un plazo máximo de trece meses contados desde la fecha del adeudo. III. Con fecha 21 de marzo de 2022 fue girado en su cuenta (***CUENTA.3) un recibo por ***ENTIDAD.1 por importe de (…). Habida cuenta que, hasta la fecha, no ha mostrado disconformidad con el citado recibo, no procede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/35 efectuar acción alguna sobre el mismo dado que ha expirado el plazo máximo establecido por la Ley para ello. IV. Del mismo modo, se ha verificado que otros recibos provenientes de ***ENTIDAD.2, fueron también redomiciliados en la nueva cuenta (***CUENTA.3) abierta por Ud. En BBVA sin que respecto de los mismos haya mediado reclamación o disconformidad alguna por lo que entendemos existió consentimiento a dicha redomiciliacion por su parte. (..)” Prosigue manifestando BBVA que el plazo máximo para la devolución de un recibo está regulado en el Real Decreto-Ley 19/2018 de servicios de pago, que, según manifiesta BBVA establece: “en el caso de un recibo no autorizado, el artículo 43 de dicho Real Decreto-Ley establece que el usuario de servicios de pago obtendrá la rectificación por parte del proveedor de servicios de pago de una operación no autorizada o ejecutada incorrectamente únicamente si el usuario de servicios de pago lo comunica sin demora injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones que sea objeto de reclamación, incluso las cubiertas por el artículo 60, y, en todo caso, dentro del plazo máximo de trece meses contados desde la fecha del adeudo.” BBVA indica que “Como la fecha en la que se giró el citado recibo fue el día 21 de marzo de 2022, y como no había mostrado su disconformidad con anterioridad, no procede efectuar acción alguna sobre el mismo dato que ha expirado el plazo máximo establecido en la Ley para ello.” Por otro lado, indica que ha habido otros recibos que fueron redomiciliados en la nueva cuenta, sin que, respecto de los mismos, se haya producido ninguna reclamación o disconformidad, por lo que, BBVA indica que existió consentimiento a dicha redomiciliación por su parte. TERCERO: Con fecha 17 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Según consta en el “Informe Anual 2023”, publicado en https://accionistaseinversores.bbva.com/wp-content/uploads/2024/03/Informe-AnualBBVA-2023_esp.pdf, en el año 2023 el beneficio de BBVA ha ascendido a 8.019 millones de euros, y contaba con más de 71 millones de clientes activos, según consta en la diligencia que se incorpora al expediente de fecha 18 de febrero de 2025. QUINTO: Con fecha 20 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5.

1. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/35 SEXTO: Con fecha 27 de febrero de 2025 BBVA presentó dos escritos solicitando ampliación de plazo para presentar alegaciones y copia del expediente, a lo que se accedió en fecha 6 de marzo de 2025, concediéndose por el instructor del procedimiento, la copia del expediente y la ampliación del plazo instada hasta un máximo de 5 días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notificó a BBVA en fecha 10 de marzo de 2025, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones el 20 de marzo de 2025 en el que, en síntesis, manifestaba que: -Alegación previa. Régimen jurídico y funcionamiento de los adeudos SEPA. BBVA considera que, para que esta Agencia entienda que su actuación en los hechos que han motivado el presente procedimiento sancionador es conforme con el RGPD, conviene explicar el significado de los adeudos SEPA. Los adeudos SEPA (en inglés, Single Euro Payments Area) constituyen un instrumento de pago regulado en el Reglamento (UE) nº 260/2012, que establece los requisitos técnicos y comerciales para las transferencias y adeudos en euros dentro del Espacio Económico Europeo, y otros países adheridos. A través de este instrumento se permite la ejecución de órdenes de domiciliación de pago, mediante los cuales un acreedor, con base en un mandato de adeudo otorgado previamente por el deudor, puede ordenar el cobro de un determinado importe en la cuenta del deudor a través de su entidad financiera. Como elementos de los adeudos SEPA nos encontramos:
2. a)relación jurídica entre el acreedor y el deudor, derivada de un contrato o acto jurídico válido que justifique el cobro. De este modo, BBVA explica que, para el supuesto de este procedimiento sancionador, la relación jurídica se da entre ***ENTIDAD.1 y la parte reclamante, y se formaliza mediante el mandato SEPA, que existe hasta que se revoque expresamente o se extinga por caducidad si el acreedor no presenta adeudos con arreglo al mismo, por un periodo de 36 meses. En este sentido, la normativa SEPA al hablar del periodo de validez de un mandato SEPA recoge; “La autorización o consentimiento del deudor recogido en un mandato es válido hasta la expresa revocación por parte de éste o del acreedor.” La revocación viene regulada en el artículo 52.3 del Real Decreto Ley 19/2018, de servicios de pago y otras medidas urgentes en materia financiera (en adelante RDLSP), y podrá realizarse “a más tardar al final del día hábil anterior al día convenido para el adeudo de los fondos en la cuenta del ordenante.”
3. b)el mandato SEPA, es el acto a través del cual, el deudor autoriza expresamente al acreedor para solicitar el cobro de adeudos en la cuenta de la entidad bancaria C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/35 designada por el deudor. De este modo, se autoriza a la entidad financiera a proceder al pago de dicho adeudo conforme a las instrucciones recibidas. La custodia y conservación de este mandato corresponde al acreedor, en este caso, ***ENTIDAD.1, y debe contener los siguientes elementos esenciales: - identificación del acreedor, incluyendo el número de identificación SEPA -identificación del deudor, con sus datos personales y número de IBAN -referencia única del mandato, que (…***CUENTA.1) permite su rastreo y control -condiciones del adeudo, puntual o recurrente -firma del deudor, acreditando su consentimiento expreso. En este supuesto, el adeudo que se ha producido es un adeudo entre consumidor y empresa, o adeudo SEPA Core, donde hay un mandato suscrito entre acreedor y deudor, utilizado por el acreedor como base jurídica para iniciar los cobros domiciliados por el deudor. Una vez que el acreedor dispone de este mandato, debe dirigirlo a la entidad financiera designada por el deudor que será responsable de procesarlo y ejecutarlo hasta la fecha de vencimiento acordada. BBVA indica en este momento, que el deudor, para no verse desprotegido frente a cargos no procedentes, también cuenta con la opción de solicitar la devolución del adeudo dentro de los siguientes plazos: -8 semanas sin necesidad de justificar que el adeudo estaba autorizado. -13 meses en los casos de adeudos no autorizados o fraudulentos. Alegación primera: de los hechos acaecidos en el presente caso. BBVA indica que, según manifiesta la parte reclamante, el 1 de febrero de 2022 detectó que su correspondencia estaba siendo sustraída del buzón, razón por la cual, presentó denuncia ante la policía. Como consecuencia, dado que la correspondencia de BBVA llegaba por correo postal solicitó la cancelación de dos cuentas que mantenía con la entidad, y procedió a la apertura de una nueva. La parte reclamante ha manifestado que dio instrucciones a ***ENTIDAD.1 para que el adeudo domiciliado no se cobrara a la cuenta de BBVA sino a otra. El 1 de abril de 2022, la parte reclamante advirtió que no se había efectuado el cobro del recibo, y al contactar con la aseguradora le informaron que el recibo había sido cargado el 21 de marzo de 2022 en una cuenta de BBVA. Dicho recibo estaba domiciliado en una de las cuentas que la parte reclamante tenía con BBVA, pero el cobro se efectuó en la nueva cuenta abierta por la parte reclamante el 14 de febrero de 2022. BBVA entiende que esta Agencia ha considerado como hecho probado que la parte reclamante había revocado expresamente el mandato otorgado a ***ENTIDAD.1 respecto del cobro del adeudo a través de la cuenta BBVA cuando la parte reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/35 no ha aportado elemento probatorio alguno que acredite esta afirmación, y es por ello que esta Agencia habría entendido que BBVA giró un adeudo domiciliado por la cuenta de la parte reclamante sin contar con el consentimiento expreso para ello. BBVA entiende que esta circunstancia es lo que ha llevado a esta Agencia a entender que el mandato estaba revocado de manera expresa, y que constituye la base de la sanción propuesta, pero entiende que esta circunstancia no ha sido acreditada en ningún momento por la parte reclamante, que es a quien le corresponde la carga de la prueba, al ser la parte que realiza dicha afirmación. Asimismo, tampoco habría acreditado que hubiera solicitado a ***ENTIDAD.1 un cambio en la forma de pago del citado recibo. BBVA manifiesta que, tras haberse analizado las obligaciones de las partes involucradas en la relación jurídica derivada de un mandato SEPA, se desprende que la gestión de la modificación de la cuenta bancaria para el cargo del adeudo domiciliado correspondía al acreedor (***ENTIDAD.1). Prosigue manifestando que el mandato SEPA, para BBVA, seguía siendo plenamente válido, ya que no tenía constancia de una revocación expresa, y quiere recordar que la única circunstancia que extingue el mandato es la revocación expresa y no la cancelación de la cuenta. Por ello, BBVA entiende que el acuerdo de inicio adoptado carece de justificación y motivación, ya que considera que su actuación se basó en un mandato vigente y válido otorgado por la parte reclamante a ***ENTIDAD.1. Además, considera que el recibo domiciliado se cargó a la nueva cuenta abierta en base a lo dispuesto en el artículo 6, apartados
4. b)y
5. f)del RGPD, en la medida en que:
6. i)el cargo en la nueva cuenta de la parte reclamante fue necesario para la ejecución del contrato en el que el interesado es parte, al tratarse de un adeudo SEPA formalizado mediante el mandato SEPA suscrito entre ***ENTIDAD.1 y la parte reclamante.
7. ii)el cargo a la nueva cuenta bancaria responde a la necesidad de satisfacer intereses legítimos del responsable del tratamiento o de un tercero, en este caso, BBVA y ***ENTIDAD.1. Entiende BBVA que dicho tratamiento es esencial para la correcta ejecución del contrato de adeudo SEPA, formalizado a través del mandato SEPA suscrito entre ***ENTIDAD.1 y la parte reclamante. BBVA prosigue manifestando que este tratamiento de datos persigue garantizar el cumplimiento de las obligaciones contractuales y la correcta gestión de los pagos lo que constituye un interés legítimo tanto para BBVA, ***ENTIDAD.1 y la parte reclamante al evitar interrupciones en la prestación del servicio o posibles incidencias en la gestión de su contrato que podrían haberle acarreado consecuencias negativas. Además, BBVA considera que no se advierte que los intereses, derechos o libertades fundamentales de la parte reclamante prevalezcan sobre dicho interés legítimo, ya que el tratamiento se llevó a cabo en virtud de un contrato previamente suscrito y no revocado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/35 Añade que la parte reclamante no devolvió el recibo, lo que evidenciaría que no tenía intención de cancelar el contrato suscrito con ***ENTIDAD.1. Entiende que si no hubiera procesado el pago en la nueva cuenta podría haber sufrido perjuicios, ya que la falta de pago podría haber conllevado la cancelación de su póliza. Alegación segunda: sobre la pretendida vulneración del artículo 6 del RGPD por parte de BBVA. BBVA pone de manifiesto que el acuerdo de inicio del presente procedimiento sancionador parte de la premisa de que BBVA habría “girado un recibo a una cuenta nueva de la parte reclamante, cuando, desde la cuenta cancelada, no había ningún desvío hacia otra cuenta que pudiera tener abierta la parte reclamante, y sin contar con el consentimiento expreso para ello”, entendiendo por ello, que se ha producido un tratamiento ilícito de los datos personales de la parte reclamante. BBVA manifiesta que el contrato se suscribe entre ***ENTIDAD.1 y la parte reclamante, sin la intervención de BBVA. En virtud del contrato, la parte reclamante suscribió un mandato SEPA con ***ENTIDAD.1, designando una cuenta en BBVA para la domiciliación de los pagos. Como no consta revocación expresa de dicho mandato, BBVA recoge en su escrito que “contaba con el consentimiento expreso para ejecutar el mandato y cargar el recibo en una cuenta de BBVA conforme a lo pactado entre las partes”. BBVA insiste en que “la extinción del mandato SEPA solo puede producirse mediante su revocación expresa o por caducidad en caso de inoperancia durante 36 meses”. Como no se había producido ninguna de las dos circunstancias, “el mandato SEPA seguía plenamente vigente en el momento en el que ***ENTIDAD.1 emitió el cobro del recibo correspondiente al seguro de hogar de reclamante en la cuenta de BBVA”. Por todo ello, considera que el cargo efectuado en la nueva cuenta bancaria estaría plenamente justificado desde el punto de vista jurídico al amparo de los artículos 6.1
8. b)y
9. f)del RGPD, que establecen la licitud de los datos personales en determinadas circunstancias:
10. i)legitimidad del tratamiento en virtud de la ejecución de un contrato (art. 6.1.b RGPD) Según lo dispuesto en el referido artículo el tratamiento de datos es lícito cuando sea necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación de medidas precontractuales solicitada por éste. Y BBVA entiende que, en este caso: -la parte reclamante y ***ENTIDAD.1 se encuentran vinculados por un contrato del que se derivan obligaciones de pago -para la ejecución de dicho contrato, la parte reclamante otorgó un mandato SEPA a favor de ***ENTIDAD.1, autorizando la domiciliación de los recibos en una cuenta de BBVA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/35 -el mandato SEPA no fue revocado, por lo que continuaba vigente en el momento en que ***ENTIDAD.1 giró el recibo. -el cargo a la nueva cuenta de la parte reclamante se realizó en cumplimiento de las condiciones pactadas en el mandato SEPA. -no consta que la parte reclamante hubiera informado a ***ENTIDAD.1 sobre un cambio de la forma de pago, y en ausencia de una notificación expresa de la parte reclamante, ***ENTIDAD.1 actuó conforme al mandato SEPA y solicitó a BBVA ejecutar la orden de pago. Por lo tanto, el tratamiento de los datos personales asociados a este cargo no solo era legítimo, sino necesario para el cumplimiento de las obligaciones contractuales asumidas por las partes.
11. ii)legitimidad del tratamiento en virtud del interés legítimo del responsable (artículo 6.1.
12. f)RGPD) BBVA manifiesta que el artículo 6.1.
13. f)del RGPD establece que el tratamiento de datos es lícito cuando sea necesario para la satisfacción de intereses legítimos del responsable del tratamiento o de un tercero, salvo que sobre dichos intereses prevalezcan los derechos y libertades fundamentales del interesado. Añade que, en este caso, el tratamiento de los datos personales de la parte reclamante, consistente en el cargo en su nueva cuenta bancaria, responde a un interés legítimo de ***ENTIDAD.1, e incluso del propio BBVA, para garantizar que los pagos domiciliados se procesaran correctamente evitando incumplimientos o retrasos que pudieran afectar la relación contractual. Además, BBVA manifiesta que evitó posibles perjuicios a la parte reclamante, ya que la ejecución del cargo en la nueva cuenta impidió que pudiera verse afectado por gastos de devolución del recibo, y pérdida de la cobertura del seguro. En consecuencia, entiende que el cargo efectuado a la nueva cuenta fue proporcional y adecuado a los fines perseguidos por ***ENTIDAD.1, y en su caso, por BBVA, sin que existieran indicios de que los intereses o derechos de la parte reclamante hayan sido vulnerados. Añade que los actos de la parte reclamante darían a entender que no habría revocado el mandado SEPA ni habría devuelto el recibo, lo que indicaría que no tenía intención de cancelarlo, ni consta que se hubiera notificado a ***ENTIDAD.1 un cambio en la forma de pago. BBVA insiste en que su actuación estaría justificada en el artículo 6.1.
14. b)y
15. f)del RGPD, y añade que, si un cliente desea modificar la cuenta en la que se cargan los adeudos domiciliados, debe notificar el cambio a su acreedor, quien actualizará la información y consignará el nuevo número de cuenta en la siguiente facturación. Manifiesta que, dado que el deudor ni revocó el mandato SEPA ni comunicó un cambio de cuenta a su acreedor, ***ENTIDAD.1 procedió al cobro del adeudo domiciliado en la cuenta de BBVA del cliente, tal y como se había hecho hasta la fecha. Añade que la parte reclamante tampoco solicitó la rectificación del cargo efectuado en la nueva C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/35 cuenta, por lo que BBVA entiende que la orden de adeudo seguía plenamente vigente en el momento del cobro del recibo, y que BBVA, como proveedor de servicios de pago conforme a la normativa vigente, tenía la obligación de procesarlo con normalidad, efectuando el cargo a la nueva cuenta, con el fin de garantizar la continuidad del pago y evitar posibles incidencias contractuales. Por ello, entiende que, desde BBVA no se habría vulnerado la normativa de protección de datos, ya que su actuación se habría ajustado a los principios de licitud, necesidad o proporcionalidad establecidos en el RGPD, y habría quedado acreditado que el tratamiento de los datos de la parte reclamante se realizó de manera lícita, de conformidad con lo expuesto en el artículo 6.1 apartado
16. b)y f). Alegación tercera. Vulneración del principio de presunción de inocencia. BBVA manifiesta que esta Agencia estaría vulnerando el principio de presunción de inocencia aplicable al derecho administrativo sancionador, tal y como se recoge en la jurisprudencia, y cita para ello las SSTS de 29 de septiembre, 4 y 10 noviembre de 1980, así como la STC 1871981, que aluden que los principios inspiradores del orden penal son de aplicación, con ciertos matices, al derecho administrativo sancionador, dado que ambos son manifestaciones del ordenamiento punitivo del Estado. BBVA entiende que, por esta misma razón, es de aplicación el principio de culpabilidad o responsabilidad subjetiva, debido a que es considerada esencial para la existencia del ilícito administrativo, y, por tanto, requiere la comisión de actos personales dolosos o culposos propios del sancionado, según la STC 76/1990, de 26 de abril, SSTS de 22 de febrero de 1992, 5 de junio de 1989. Añade que no cabe la responsabilidad objetiva en el derecho administrativo sancionador, tal y como se ha manifestado en la STS de 9 de julio de 1994 que cita que: “la potestad sancionadora de la Administración goza de la misma naturaleza que la potestad penal, por lo que, en consecuencia, las directrices estructurales del ilícito administrativo tienden también, como en el ilícito penal, a conseguir la individualización de la responsabilidad, vedando cualquier intento de construir una responsabilidad objetiva o basada en la simple relación con una cosa; por consiguiente, en el ámbito de la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción y omisión imputables a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable.” BBVA añade que la jurisprudencia ha recogido que la potestad sancionadora del Estado tiene como principio estructural básico el principio de culpabilidad que lo hace incompatible con un régimen de responsabilidad objetiva, sin culpa, que está expresamente determinado en el artículo 130 de la LRJPAC que establece que solo pueden ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/35 De este modo, tanto el Tribunal Supremo como el Tribunal Constitucional en su STC 76/1990 declaran que el principio de culpabilidad debe regir también en el ámbito administrativo, pues la sanción de la infracción administrativa es una de las manifestaciones del ius puniendi del Estado. Asimismo, añade BBVA que resulta inadmisible un régimen de responsabilidad objetiva basada en una imputación objetiva del hecho, sin que intervenga ningún elemento subjetivo, siendo necesario que para que exista responsabilidad administrativa debe concurrir que la infracción se haya cometido con dolo, o al menos culpa o imprudencia. BBVA manifiesta que en el presente caso no hay prueba de que ***ENTIDAD.1 haya comunicado a BBVA la supuesta revocación expresa del mandato SEPA otorgado por la parte reclamante. De hecho, manifiesta que ***ENTIDAD.1 ordenó un adeudo domiciliado en la cuenta de la parte reclamante, lo que confirmaría la continuidad del mandato y la vigencia de la autorización para efectuar el cargo, no pudiendo atribuir a BBVA una conducta dolosa o culposa, ya que su actuación se basó en la información disponible y en el cumplimiento de sus obligaciones como proveedor de servicios de pago. OCTAVO: Con fecha 3 de octubre de 2025 se formuló propuesta de resolución, proponiéndose que se sancione a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF A48265169, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5.
17. a)del RGPD, con una multa de 100.000 € (cien mil euros). NOVENO: En fecha 17 de octubre de 2025 BBVA ha procedido al pago de la sanción en la cuantía de 80.000 euros, acogiéndose a la reducción del 20% por pago voluntario de la multa establecida en la propuesta de resolución, en los términos previstos por el artículo 85.2 de la LPACAP. En el escrito a la AEPD en el que informaba de este hecho, y acreditaba el pago, ha manifestado el no reconocimiento de su responsabilidad. DÉCIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), con fecha 22 de octubre de 2025 ha tenido entrada en esta Agencia escrito del BBVA mediante el que presentó escrito de alegaciones en el que, en síntesis, manifestaba que: Primero. De la no revocación del mandato SEPA. Del consentimiento emitido por la parte reclamante para el adeudo del recibo domiciliado. BBVA se ratifica en lo ya expuesto en sus alegaciones al Acuerdo de inicio, en relación con los adeudos SEPA y su funcionamiento, e insiste en que el mandato otorgado por la parte reclamante a favor de ***ENTIDAD.1 no fue revocado de manera expresa, por lo que dicho mandato continuaba siendo plenamente válido y eficaz. Segundo. Sobre la pretendida vulneración del artículo 6 del RGPD por parte de BBVA. BBVA insiste en que la actuación consistente en cargar la prima del seguro de hogar de la parte reclamante a la cuenta terminada en ****CUENTA.3 que había sido cancelada, en relación con el RGPD encontraría cobertura en lo previsto en el artículo 6.1
18. b)y 6.1
19. f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/35 Además, señala que la actuación respetó los principios de limitación de la finalidad y minimización de datos (artículos 5.1.b y 5.1.c del RGPD) y se encuadró en el marco de la responsabilidad proactiva. Por otro lado, BBVA indica que su actuación se encontraría amparada en la buena fe contractual recogida en el artículo 1258 del Código Civil, según el cual los contratos obligan a lo expresamente pactado, pero también a todas las consecuencias que, según su naturaleza, se derivan de la buena fe, del uso y de la ley. Tercera. Abono voluntario de la sanción impuesta en la Propuesta de Resolución. Aun cuando lo denomine alegación, BBVA informa de que se acoge al pago voluntario previsto en el artículo 85.2 de la LPACAP, sin que tal pago voluntario suponga un reconocimiento de responsabilidad. DÉCIMO: En fecha 17 de octubre de 2025 BBVA ha procedido al pago de la sanción en la cuantía de 80.000 euros, acogiéndose a la reducción del 20% por pago voluntario de la multa establecida en la propuesta de resolución, en los términos previstos por el artículo 85.2 de la LPACAP. En el escrito a la AEPD en el que informaba de este hecho, y acreditaba el pago, ha manifestado el no reconocimiento de su responsabilidad. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante era titular de dos cuentas bancarias abiertas en la entidad BBVA, (terminadas en ***CUENTA.1 y ***CUENTA.2) en las que tenía domiciliados un seguro con la entidad ***ENTIDAD.1. SEGUNDO: Las dos cuentas bancarias fueron canceladas en fecha 14 de febrero de 2022, y la parte reclamante abrió una nueva cuenta bancaria en BBVA en esa misma fecha (terminada en ***CUENTA.3). TERCERO: En fecha 21 de marzo de 2022 se giró un recibo de la entidad ***ENTIDAD.1 a una de las cuentas de BBVA que la parte reclamante había cancelado (…***CUENTA.1). CUARTO: BBVA giró el recibo de ***ENTIDAD.1 a la cuenta nueva que la parte reclamante había abierto en la entidad (terminada en ***CUENTA.3). QUINTO: BBVA expidió en fecha 11 de mayo de 2022 un certificado en el que se recoge expresamente que la cuenta número (…***CUENTA.1) a fecha de su cancelación no mantenía ningún desvío activo hacia otra cuenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/35 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Contestación alegaciones al acuerdo de inicio Las alegaciones presentadas por el BBVA se pueden agrupar de la siguiente manera: 1. El mandato SEPA explicado en la alegación previa no habría sido revocado, con lo que el cargo era correcto, puesto que se contaba con el consentimiento de la parte reclamante para ello. En primer lugar, BBVA manifiesta que esta Agencia ha considerado como hecho probado que la parte reclamante había revocado expresamente el mandato otorgado a ***ENTIDAD.1 respecto del cobro del adeudo a través de la cuenta BBVA, cuando la parte reclamante en realidad no había aportado elemento probatorio alguno que acredite esta afirmación, y por ello entiende que esta Agencia ha considerado que BBVA giró un recibo sin el consentimiento expreso de la parte reclamante. En este punto, hay que aclarar que, en el acuerdo de inicio, no se recogen hechos probados, sino que únicamente se recogen las circunstancias que llevan a considerar que se podría haber cometido una infracción al RGPD, como ha ocurrido en este caso. Los hechos probados se recogen por primera vez en la propuesta de resolución, y se mantienen con carácter general en la resolución del procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/35 En este procedimiento sancionador, como ya se recoge en los hechos probados, se tiene en cuenta que la parte reclamante había cancelado dos cuentas corrientes que tenía en el BBVA y había procedido a abrir una nueva cuenta, en la que no se había domiciliado el recibo que posteriormente el propio banco sí procedió a cargar a dicha nueva cuenta. En primer lugar, debe hacerse especial énfasis en que las alegaciones de BBVA se sustentan en que el denominado “mandato SEPA” no estaba revocado, lo que legitimaría el tratamiento de datos personales realizado, esto es, el giro del adeudo a una nueva cuenta. A este respecto conviene señalar, con carácter preliminar que el denominado mandato SEPA, tal y como describe BBVA en su escrito de alegaciones, es “el acto a través del cual el deudor autoriza expresamente al acreedor para solicitar el cobro de adeudos en la cuenta de la entidad bancaria designada por el deudor”. Se trata, en definitiva, de una orden de domiciliación de un adeudo directo. El Reglamento (UE) n 260/2012 del Parlamento Europeo y del Consejo, de 14 de marzo de 2012, por el que se establecen requisitos técnicos y empresariales para las transferencias y los adeudos domiciliados en euros, y se modifica el Reglamento (CE) n ° 924/2009 Texto pertinente a efectos del EEE, define en su artículo 2 los conceptos “adeudo domiciliado”, “ordenante” y “orden” en los siguientes términos: “2) «adeudo domiciliado»: servicio de pago nacional o transfronterizo destinado a efectuar un cargo en una cuenta de pago de un ordenante, cuando la operación de pago sea iniciada por el beneficiario sobre la base del consentimiento dado por el ordenante; 3) «ordenante»: persona física o jurídica titular de una cuenta de pago que autoriza una orden de pago a partir de dicha cuenta o, de no existir una cuenta de pago del ordenante, persona física o jurídica que cursa una orden de pago a una cuenta de pago de un beneficiario”; 21) «orden»: manifestación del consentimiento y de la autorización dados por el ordenante al beneficiario y (directa o indirectamente a través del beneficiario) al proveedor de servicios de pago del ordenante para que el beneficiario pueda iniciar el cobro con el que se efectuará un cargo en la cuenta de pago especificada por el ordenante y para que el proveedor de servicios de pago del ordenante pueda cumplir esas instrucciones; Así, el mandato SEPA se basa, en consecuencia, en el consentimiento otorgado por el ordenante al adeudo en la cuenta corriente de su titularidad que expresamente haya determinado, dado que, de conformidad con la misma norma, todos los adeudos domiciliarios exigen contener una serie de datos específicos, entre los que destaca el número IBAN de la cuenta pago del ordenante en la que ha de efectuarse el adeudo, así como la “referencia única de la orden”. Por tanto, un mandato SEPA está ligado a una cuenta corriente concreta del titular. Es decir, el deudor u ordenante autoriza o consiente dicho adeudo en una cuenta corriente identificada de manera inequívoca a través de un número de IBAN. De acuerdo con el 2025 SEPA Credit Transfer rulebook version 1.0 cabe la modificación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/35 del mandato existente, siendo uno de los supuestos previstos Cambio 1del atributo AT07 (cambio de la cuenta de cargo del deudor en la misma entidad), si bien tal modificación corresponde al deudor o al acreedor. En el presente caso, aun cuando resultara cierto lo señalado por BBVA de que el “mandato SEPA” no había sido revocado, debe especificarse que estaría vigente para una cuenta corriente concreta del titular, identificada con número IBAN, no para cualquier cuenta del titular. En consecuencia, el adeudo a una cuenta corriente distinta a la prevista en el mencionado mandato habría de haber sido autorizada por el reclamante. No obstante, el mencionado cargo a la cuenta terminada en ***CUENTA.3 se realizó sin que mediara el consentimiento de la parte reclamante, como se acredita con la propia reclamación y con la contestación del BBVA al escrito de traslado en el que manifiesta en primer lugar que contaba con un consentimiento “verbal” y, posteriormente afirma que se trataba de una consentimiento tácito en la medida en que la parte reclamante no había mostrado su disconformidad y había aceptado otros giros, con lo que daría a entender que estaba de acuerdo con la nueva domiciliación. Además, no hay que olvidar que, entre la documentación aportada por la parte reclamante consta un documento del propio BBVA en el que se certifica que la cuenta número (…) de la que era titular la parte reclamante, a “fecha de cancelación el 14 de febrero de 2022 no mantenía activo ningún desvío hacia otra cuenta”. En relación con el supuesto consentimiento tácito al que hace referencia BBVA que le permitiría el tratamiento de los datos personales de la parte reclamante en los términos anteriormente señalados, ha de subrayarse que, en materia de protección de datos, todo consentimiento debe ser, tal y como exige el artículo 4.11 del RGPD, libre específico, informado e inequívoco: “consentimiento del interesado” es “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen” El consentimiento se entiende como un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con garantías suficientes para acreditar que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. Asimismo, debe darse para todas las actividades de tratamiento realizadas con el mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos de manera específica e inequívoca. A este respecto, la licitud del tratamiento exige que el interesado sea informado sobre los fines a que están destinados los datos (consentimiento informado). Además, el consentimiento ha de prestarse libremente. Sin estas condiciones, el consentimiento prestado por el interesado no determinaría un control sobre sus datos personales y el destino de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/35 El Comité Europeo de Protección de Datos en el documento “Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, que actualiza las directrices sobre el consentimiento adoptadas por el Grupo de Trabajo del Artículo 29 el 28/11/2017, revisadas y aprobadas el 10/04/2018 indica que: “55. El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el tratamiento de sus datos debe darse “para uno o varios fines específicos” y que un interesado puede elegir con respecto a cada uno de dichos fines. El requisito de que el consentimiento deba ser “específico” tiene por objeto garantizar un nivel de control y transparencia para el interesado. Este requisito no ha sido modificado por el RGPD y sigue estando estrechamente vinculado con el requisito de consentimiento “informado”. Al mismo tiempo, debe interpretarse en línea con el requisito de “disociación” para obtener el consentimiento “libre”. En suma, para cumplir con el carácter de “específico” el responsable del tratamiento debe aplicar: i la especificación del fin como garantía contra la desviación del uso, ii la disociación en las solicitudes de consentimiento, y iii una clara separación entre la información relacionada con la obtención del consentimiento para las actividades de tratamiento de datos y la información relativa a otras cuestiones.” Estas directrices prosiguen señalando: “56. Ad. i): De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la obtención del consentimiento válido va siempre precedida de la determinación de un fin específico, explícito y legítimo para la actividad de tratamiento prevista. La necesidad del consentimiento específico en combinación con la noción de limitación de la finalidad que figura en el artículo 5, apartado 1, letra b), funciona como garantía frente a la ampliación o difuminación gradual de los fines para los que se realiza el tratamiento de los datos una vez que un interesado haya dado su autorización a la recogida inicial de los datos. Este fenómeno, también conocido como desviación del uso, supone un riesgo para los interesados ya que puede dar lugar a un uso imprevisto de los datos personales por parte del responsable del tratamiento o de terceras partes y a la pérdida de control por parte del interesado. Esto significa, de acuerdo con las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, y conforme al principio de responsabilidad proactiva consagrado en el artículo 5.2 del RGPD y desarrollado en el artículo 24 del RGPD, que el consentimiento debe poder ser demostrable, esto es, acreditable por el responsable del tratamiento tal y como exige el artículo 7 del RGPD. Así, en un primer momento BBVA ha manifestado que contaba con el consentimiento tácito de la parte reclamante para efectuar el cargo en la nueva cuenta que había abierto, basándose en que el mandato SEPA no había sido revocado expresamente. No obstante, tal y como se ha señalado, el RGPD exige que el consentimiento sea demostrable y acreditable, sin que, en el presente supuesto se hayan cumplido estas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/35 dos premisas, dado que el mandato SEPA entre ***ENTIDAD.1 y la parte reclamante estaba vinculado a una cuenta bancaria que la parte reclamante había cancelado, y sobre la que no había ningún desvío activo hacia otra cuenta. Por tanto, BBVA no contaba con el consentimiento de la parte reclamante para realizar este cargo a la nueva cuenta bancaria que había abierto en dicho banco. Por todo lo expuesto, procede rechazar la alegación presentada por BBVA. 2. El recibo domiciliado se cargó a la nueva cuenta en base a lo dispuesto en el artículo 6.1 apartados
20. b)y
21. f)BBVA ha manifestado que contaba con el consentimiento de la parte reclamante para proceder al cargo del recibo en la nueva cuenta bancaria que tenía abierta en el BBVA, sobre la idea de que el mandato SEPA no estaba revocado. No obstante, posteriormente manifiesta que el cargo efectuado en la nueva cuenta bancaria estaría plenamente justificado desde el punto de vista jurídico al amparo de los artículos 6.1
22. b)y
23. f)del RGPD, que establecen la licitud de los datos personales en determinadas circunstancias. En relación con esta cuestión, hay que tener en cuenta las “Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, del Comité Europeo de Protección de Datos, que recogen: “El artículo 6 establece las condiciones para un tratamiento lícito de los datos personales y describe seis bases jurídicas a las que puede recurrir el responsable del tratamiento. La aplicación de una de estas seis bases jurídicas debe establecerse antes de comenzar la actividad de tratamiento y en relación con un fin específico. Es importante señalar en este punto que, si un responsable del tratamiento elige basarse en el consentimiento para cualquier parte del tratamiento, deberá estar preparado para respetar dicha opción y detener esa parte del tratamiento si una persona retira su consentimiento. Enviar el mensaje de que los datos se tratarán sobre la base del consentimiento, mientras en realidad, se está utilizando otra base jurídica, sería realmente desleal para con los interesados. Con otras palabras, el responsable no puede pasar del consentimiento a otras bases jurídicas. Por ejemplo, no le está permitido utilizar retrospectivamente la base del interés legítimo con el fin de justificar el tratamiento, cuando se encuentre con problemas con la validez del consentimiento. Debido al requisito de divulgar la base jurídica utilizada por el responsable del tratamiento en el momento de la recogida de los datos personales, los responsables deben decidir cuál es la base jurídica aplicable antes de recoger los datos.” En definitiva, el tratamiento de datos personales requiere la existencia de una única base legal que lo legitime. La elección de la base más adecuada del tratamiento, en caso de existir varias, corresponde al responsable, igual que compete a este acreditar que el tratamiento se realiza conforme a una base de legitimación. De este modo, BBVA no puede decir que cuenta con el consentimiento de la parte reclamante, y después indicar que se encuentra legitimado por otras bases jurídicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/35 A pesar de lo señalado, BBVA manifiesta que el tratamiento era necesario para la ejecución de un contrato. En este sentido, el artículo 6.1.
24. b)del RGPD establece que el tratamiento es lícito si es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales BBVA ha manifestado que, en relación con el hecho de que el tratamiento es necesario para la ejecución de un contrato suscrito entre la parte reclamante y un tercero, esto es, ***ENTIDAD.1. Además, señala que el tratamiento era necesario porque: “-la parte reclamante y ***ENTIDAD.1 se encuentran vinculados por un contrato del que se derivan obligaciones de pago -para la ejecución de dicho contrato, la parte reclamante otorgó un mandato SEPA a favor de ***ENTIDAD.1, autorizando la domiciliación de los recibos en una cuenta de BBVA -el mandato SEPA no fue revocado, por lo que continuaba vigente en el momento en que ***ENTIDAD.1 giró el recibo. -el cargo a la nueva cuenta de la parte reclamante se realizó en cumplimiento de las condiciones pactadas en el mandato SEPA. -no consta que la parte reclamante hubiera informado a ***ENTIDAD.1 sobre un cambio de la forma de pago, y en ausencia de una notificación expresa de la parte reclamante, ***ENTIDAD.1 actuó conforme al mandato SEPA y solicitó a BBVA ejecutar la orden de pago. Por lo tanto, el tratamiento de los datos personales asociados a este cargo no solo era legítimo, sino necesario para el cumplimiento de las obligaciones contractuales asumidas por las partes.” No obstante, tal y como se ha indicado, BBVA no era parte del contrato, en la medida en que las partes son la parte reclamante y ***ENTIDAD.1. Su participación surge de la supuesta existencia de una orden de adeudo autorizada por la parte reclamante que, como se ha señalado ya en contestación a la alegación anterior, se había realizado específicamente para otra cuenta corriente. Por lo tanto, la aplicación de esta base de legitimación no parece que pueda ser de aplicación en este caso. A su vez, BBVA manifiesta que existiría un interés legítimo de ***ENTIDAD.1 e incluso del propio BBVA para el tratamiento, en el sentido de poder garantizar que los pagos domiciliados se procesan correctamente, e indica que con ello se evitaron posibles perjuicios a la parte reclamante. En este sentido, el artículo 6.1.f del RGPD establece que “El tratamiento solo será lícito si (…) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/35 fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” En relación con esta cuestión, la sentencia STJUE C-252/21, al referirse al interés legítimo, ha determinado que el mismo implicaría 3 condiciones acumulativas: “
25. a)Informar al afectado del interés legítimo perseguido con el tratamiento.
26. b)El tratamiento es llevado a cabo en la medida en que es estrictamente necesario para ese interés legítimo.
27. c)que se desprende de una ponderación de los intereses contrapuestos, teniendo en cuenta todas las circunstancias pertinentes, que los intereses o las libertades y derechos fundamentales de dichos usuarios no prevalecen sobre el interés legítimo del responsable del tratamiento o de un tercero”. De este modo, este deber de informar sobre el tratamiento de los datos personales exige que, además de informar, se especifique la existencia del interés legítimo como base jurídica del tratamiento. Además, debe especificarse los intereses legítimos concretos, siendo necesario, para que los afectados puedan oponerse a dicho tratamiento en cualquier momento. Asimismo, en relación con la ponderación, el considerando 47 del RGPD establece: “El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. (…)” En el presente caso no consta que el reclamante fuera informado de la base de legitimación anteriormente señalada ni que se le facilitara el ejercicio del derecho de oposición. Además, no debe olvidarse que, de conformidad con el principio de responsabilidad proactiva previsto en el artículo 5.2 del RGPD y desarrollado en el artículo 24 del RGPD, la ponderación de intereses habrá de estar debidamente documentada, lo que no consta en el presente supuesto. En función de lo expresado en la normativa señalada anteriormente, no parece que estemos ante un supuesto de tratamiento que tenga como base legitimadora el interés legítimo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/35 Por lo tanto, esta alegación no puede ser tenida en cuenta. Alegación tercera. Vulneración del principio de presunción de inocencia. Vulneración del principio de culpabilidad. En relación con esta cuestión, BBVA manifiesta que en el presente caso no hay prueba de que ***ENTIDAD.1 haya comunicado a BBVA la supuesta revocación expresa del mandato SEPA otorgado por la parte reclamante. De hecho, manifiesta que ***ENTIDAD.1 ordenó un adeudo domiciliado en la cuenta de la parte reclamante, lo que confirmaría la continuidad del mandato y la vigencia de la autorización para efectuar el cargo, no pudiendo atribuir a BBVA una conducta dolosa o culposa, ya que su actuación se basó en la información disponible y en el cumplimiento de sus obligaciones como proveedor de servicios de pago. A pesar de que de BBVA manifiesta que su conducta no es dolosa ni culposa, obvia que el adeudo se realizó a una cuenta bancaria distinta a la que se consagraba en el mandato SEPA. El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” En esta misma línea se expresan los órganos jurisdiccionales de nuestro país. De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/35 comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/35 A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Como se ha señalado, la conducta imputada sí se ha producido de manera negligente, en la medida en que BBVA procedió al cargo de un recibo en una cuenta bancaria de la parte reclamante, sin que mediara el consentimiento por parte de la misma, y sin que, como ya se ha analizado en el presente procedimiento sancionador, se haya acreditado la existencia de ninguna otra base de legitimación. Además, la parte reclamante cuenta con un documento en el que se confirma que no hay activo ningún desvío a la nueva cuenta de la parte reclamante, lo que acredita que no hay un consentimiento expreso para ello. Así las cosas, ninguna de las circunstancias concurrentes en el caso permite excluir la existencia de culpabilidad. Por otro lado, en relación con las manifestaciones referidas a la presunción de inocencia hay que tener en cuenta que para que pueda apreciarse la existencia de indefensión no resulta suficiente que se haya producido una infracción formal, sino que ha de haberse producido una indefensión de carácter material. En este sentido, en palabras del TC, STC 290/1993, fundamento jurídico 4 “ Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". En definitiva, para que se quebrante la prohibición de indefensión es necesario que exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso, pues en el presente supuesto ha quedado acreditado que BBVA ha procedido al cargo de un recibo, en una cuenta de la parte reclamante, cuando no tenía el consentimiento expreso para ello, y sin que medie ninguna otra base de legitimación. Además, BBVA ha sido debidamente notificado de la existencia del procedimiento sancionador, habiéndose notificado fehacientemente el acuerdo de inicio en fecha 24 de febrero de 2025. Asimismo, ha presentado alegaciones al acuerdo de inicio en fecha en fecha 20 de marzo de 2025, las cuales han sido debidamente contestadas en la propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/35 Así las cosas, ninguna de las circunstancias concurrentes permite concluir que se haya producido indefensión, debiendo rechazarse la presente alegación. Por todo lo anterior, no procede el archivo del procedimiento sancionador como solicita BBVA. Cuestión distinta es que por parte de la instrucción se considera que debe valorarse e incluirse en esta propuesta a efectos de determinar la cuantía de la multa a imponer, en los parámetros de las circunstancias previstas en el artículo 83.2
28. a)del RGPD lo relativo a la existencia de un único afectado, así como la categoría de los datos personales afectados conforme a lo previsto en el artículo 83.2
29. g)del RGPD. Lo anterior puede dar lugar a la modificación de la cuantía inicialmente prevista. IV Respuesta a las alegaciones a la propuesta de resolución del procedimiento sancionador Primero. De la no revocación del mandato SEPA. Del consentimiento emitido por la parte reclamante para el adeudo del recibo domiciliado. BBVA se reitera en sus alegaciones al acuerdo de inicio, que fueron contestadas en el apartado 1 del Fundamento de Derecho III de esta Resolución, a la cual nos remitimos, procediendo a rechazar la presente alegación. Segundo. Sobre la pretendida vulneración del artículo 6 del RGPD por parte de BBVA. BBVA se reitera en sus alegaciones al acuerdo de inicio, que ya fueron contestadas en el apartado 2 del Fundamento de Derecho III de esta Resolución, al que nos remitimos. Además, BBVA pone de manifiesto que su actuación se encontraría amparada por lo dispuesto en los artículos 5.1.
30. b)y 5.1.
31. c)del RGPD en la medida en que la finalidad del tratamiento no fue otra que asegurar la continuidad del servicio ya contratado, como eran la gestión de pagos y cobro de recibos, que era compatible con la finalidad original. Asimismo, añade que se trataron los datos mínimos necesarios para cursar el adeudo, (identificadores del recibo y cuenta activa del mismo cliente) sin recabar nuevas categorías, ni introducir usos incompatibles. Añade que la actuación del BBVA estaría amparada por la buena fe contractual recogida en el artículo 1258 del Código Civil, según el cual, los contratos obligan no solo a lo expresamente pactado, sino a todas las consecuencias que, según su naturaleza, se derivan de la buena fe, del uso y de la ley, y, por tanto, su actuación constituye una manifestación de buena fe en la ejecución de la bancaria y en la intermediación de cobros. En relación con esta cuestión, hay que destacar que el objeto del procedimiento sancionador y lo que se imputa a BBVA es una infracción del artículo 6 del RGPD, no de los artículos 5.1
32. b)y 5.1
33. c)del RGPD. Así, el artículo 6 del RGPD exige que todo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/35 tratamiento de datos personales para ser válido o lícito cuente con una base de legitimación. Los artículos 5.1
34. b)y 5.1
35. c)del RGPD, que no son objeto del presente procedimiento se refieren a los principios que todo tratamiento de datos personales debe cumplir. En consecuencia, es importante no confundir los términos y remarcar que un tratamiento exige contar con una de las bases de legitimación del artículo 6 del RGPD y, una vez cuente con esta, cumplir con todos los principios previstos en el artículo 5 del RGPD y que, en cualquier caso, la infracción que se imputa a BBVA es la vulneración del artículo 6 del RGPD. En línea con lo anterior, y en relación con las alegaciones relativas a que BBVA habría actuado amparado por la buena fe contractual prevista en el artículo 1258 del Código Civil, no queda sino remitir a la contestación a las alegaciones al acuerdo de inicio y reiterar que en el contrato al que hace referencia BBVA, BBVA no era parte. Así, las partes del contrato eran la parte reclamante y ***ENTIDAD.1. La participación de BBVA – en virtud de cuya actuación se procede la apertura de un procedimiento sancionador por considerarse esta contraria a la normativa en materia de protección de datos- surge en la medida en que la parte reclamante contaba con dos cuentas bancarias en la entidad bancaria en las que tenía domiciliadas su seguro con la entidad ***ENTIDAD.1. Sin embargo, una vez canceladas estas cuentas en febrero de 2022, la parte reclamante abrió una nueva cuenta a la que BBVA sin contar con autorización expresa de la parte reclamante giró el recibo de ***ENTIDAD.1. Es decir, la parte reclamante había autorizado específicamente una cuenta corriente a efectos de adeudo de una orden y BBVA, sin el consentimiento de la parte reclamante, vertió ese cargo a una cuenta distinta del mismo titular. Por todo lo expuesto, procede rechazar la presente alegación. Tercera. Abono voluntario de la sanción impuesta en la Propuesta de Resolución. En relación con lo señalado por BBVA respecto a que se acoge al pago voluntario previsto en el artículo 85.2 de la LPACAP sin reconocimiento de responsabilidad, se señala que procede, de conformidad con lo señalado en dicho artículo, procede dictar resolución por la que se determine la terminación del procedimiento. V Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/35 utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que BBVA realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellido, dirección, correo electrónico y cuenta bancaria, entre otros. BBVA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. VI Obligación incumplida. Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
36. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
37. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
38. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
39. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
40. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
41. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/35 interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
42. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
43. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
44. c)y e), deberá ser establecida por:
45. a)el Derecho de la Unión, o
46. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
47. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
48. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/35
49. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
50. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
51. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." En el presente caso, la parte reclamante ponía de manifiesto que, en fecha 14 de febrero de 2022, canceló dos cuentas bancarias a su nombre en la entidad bancaria BBVA (terminadas en ***CUENTA.1 y ***CUENTA.2), y procedió a la apertura de una nueva con la misma entidad (terminada en ***CUENTA.3). El 1 de abril de 2022, repasando sus cuentas, se da cuenta de que faltaba el cargo correspondiente con la entidad ***ENTIDAD.1, que tenía domiciliado en una de las cuentas que había cancelado, y que unas semanas antes había domiciliado en otra entidad (…). La parte reclamante manifiesta que ha preguntado a ***ENTIDAD.1 por dicho recibo, y ésta comunica que el cargo se ha efectuado, en fecha 21 de marzo de 2022, en la cuenta bancaria del BBVA finalizada en ***CUENTA.3. La parte reclamante se pone en contacto con el BBVA y ésta le comunica que el recibo ha sido cargado en la nueva cuenta. Aporta para acreditarlo un recibo del banco en el que se puede apreciar que el cargo se ha producido en fecha 21 de marzo de 2022. La parte reclamante ha aportado, además, un certificado del BBVA en el que se certifica que, según consta en los registros de la entidad, la cuenta número (…) de la que era titular la parte reclamante, a “fecha de cancelación el 14 de febrero de 2022 no mantenía activo ningún desvío hacia otra cuenta”. Por su parte, BBVA en contestación al escrito de traslado, ha manifestado que dicha domiciliación fue gestionada de manera verbal con la parte reclamante, “mostrando, como es lógico, su conformidad con dicha domiciliación para poder atender el pago de los recibos que anteriormente eran cargados en su antigua cuenta BBVA, cancelada por el mismo.” A su vez, BBVA ha aportado el escrito de contestación que ha enviado a la parte reclamante, y en éste, le comunica que, con respecto a otros recibos que también fueron redomiciliados en la nueva cuenta, “sin que respecto de los mismos haya mediado reclamación o disconformidad alguna, por lo que entendemos existió un consentimiento a dicha redomiciliacion por su parte.” Por tanto, la contestación de BBVA es ambigua, en tanto que afirma en primer término que el consentimiento fue verbal y, en segundo, que fue tácito dado que, como la parte reclamante no manifestó su disconformidad, se suponía que, con ello, autorizaba la redomiciliación. Todo ello unido a que la parte reclamante ha aportado una certificación de BBVA en la que se indica a fecha de la cancelación de la cuenta (***CUENTA.1) no mantenía ningún desvío hacia otra cuenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/35 En primer lugar, ha de señalarse que, de acuerdo con la sentencia de la Audiencia Nacional de 3 de noviembre de 2015, rec. 333/2014, recoge que “…resulta indudable que el número de la cuenta corriente bancaria de una persona física constituye un dato de carácter personal, tal y como viene entendiendo de forma reiterada por la Sala (por todas, sentencia de 30 de enero de 2014, recurso 554/2012), al amparo del concepto que de dato personal ofrece el artículo 3.
52. a)de la LOPD, definido como “cualquier información concerniente a personas físicas identificadas o identificables… Indudablemente, por tanto, el número de cuenta bancaria es un dato asociado a la identidad de una concreta persona perfectamente identificable, su titular, por lo que debe ser considerado dato de carácter personal a los efectos de aplicación de la Ley Orgánica de Protección de Datos”. Por otro lado, y en atención a lo manifestado en respuesta a las actuaciones de traslado por BBVA, debe señalarse que el considerando 32 del RGPD establece que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” Por su parte, el artículo 7 del RGPD consagra las condiciones para el consentimiento en los siguientes términos: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/35 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato. Por tanto, de acuerdo con las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, el consentimiento debe ser, entre otros aspectos, expreso (un claro ejercicio afirmativo), esto es, sin que quepa, por tanto, el consentimiento tácito. Por otra parte, aun cuando pudiera ser verbal, en la medida en que debe ser demostrable por el responsable, ha de en algún medio que permita su acreditación. Lo anterior se encuentra estrechamente ligado a las exigencias derivadas del principio de responsabilidad proactiva consagradas en el artículo 5.2 del RGPD, desarrollado en el artículo 24 del RGPD, que exige que el responsable no solo cumpla con la normativa, sino que ha de ser capaz de demostrarlo. En el presente supuesto, no consta acreditado que el responsable contara con el consentimiento de la parte reclamante para proceder al adeudo de una cuantía en una cuenta corriente de su titularidad, distinta de la inicialmente autorizada para la domiciliación. De este modo, en atención a los hechos presentes en el caso que nos ocupa, desde esta Agencia se considera que BBVA ha realizado un tratamiento de datos de la parte reclamante sin mediar su consentimiento y sin que conste acreditada ninguna otra base de legitimación de las previstas en el artículo 6 del RGPD. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a BBVA, por vulneración del artículo 6 del RGPD. VII Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
53. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/35 Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
54. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VIII Sanción por el incumplimiento del artículo 6 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
55. a)a
56. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
57. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
58. b)la intencionalidad o negligencia en la infracción;
59. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
60. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
61. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/35
62. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
63. g)las categorías de los datos de carácter personal afectados por la infracción;
64. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
65. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
66. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
67. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
68. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
69. a)El carácter continuado de la infracción.
70. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
71. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
72. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
73. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
74. f)La afectación a los derechos de los menores.
75. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
76. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/35 Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
77. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, que el beneficio de BBVA en el año 2023 ha ascendido a 8.019.000.000 millones de euros, según consta en el informe anual de 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de BBVA es de 320.760.000 euros. Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones habrá de estar forzosamente entre los 0 y los 320.760.000 euros. Asimismo, en relación con el nivel de gravedad en los términos del RGPD, estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): los hechos controvertidos afectan a un elemento básico del derecho a la protección de datos personales, por cuanto sustenta la legalidad del tratamiento de datos y cuya violación entraña un riesgo importante para los derechos del afectado. En este sentido, los hechos afectan directamente al control que el afectado ejerce sobre sus datos, eje vertebrador del RGPD y excede las expectativas razonables que el afectado pudiera tener respecto al tratamiento de datos personales efectuado por el responsable. No obstante, se subraya la existencia de un único afectado por el tratamiento ilícito. Así como, a efectos de determinar la duración en el tiempo de la infracción, que se corresponde con una única orden de adeudo. Asimismo, se subraya que la ausencia de acreditación de la base legitimadora de un tratamiento supone una violación del principio de responsabilidad proactiva consagrado en el artículo 5.2 del RGPD. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/35 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…)el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso, datos personales tratados se corresponden con los de la cuenta bancaria de la parte reclamante. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • Toda infracción anterior cometida por el responsable o el encargado del tratamiento (artículo 83.2, letra e), del RGPD). La entidad ha sido sancionada anteriormente por otras infracciones del RGPD. Se pueden citar, a modo de ejemplo, los siguientes: PS/00677/2022: dos infracciones del artículo 6.1 del RGPD, tipificadas en el artículo 83.5 del RGPD. PS/00546/2022: por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD: BBVA como consecuencia de su actividad empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados (clientes y potenciales clientes). En definitiva, la realización de actividades financieras, que es la actividad principal de BBVA, implica forzosamente operaciones de tratamiento de datos personales de las personas físicas clientes (o potenciales clientes) de dicha entidad. Así, la infracción se produce en el marco de un tratamiento de datos personales que habitualmente realiza el responsable en su negocio y que se encuentra estrechamente vinculado a este El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD, permite fijar una sanción de multa administrativa de 100.000,00 euros. IX Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución se le permitía llevar a cabo el pago voluntario de la sanción propuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/35 La parte reclamada ha hecho uso de la facultad contemplada en el artículo 85.2 de la LPACAP, tras haberse notificado la propuesta de resolución, lo que supone una reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción queda establecida en 80.000 euros y su pago implica la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, BBVA, en fecha 17 de octubre de 2025 procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 de la LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de la infracción y CONFIRMAR la sanción determinada en la parte dispositiva recogida en la presente resolución. La cuantía citada asciende a 100.000 euros. Tras haber procedido la parte reclamada al pronto pago, antes de dictarse resolución, y sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 80.000,00 euros. SEGUNDO: DECLARAR la terminación del procedimiento EXP202408496 de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/35 Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es