1/17 Procedimiento Nº: PS/00473/2020 RESOLUCIÓN R/00247/2021 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00473/2020, instruido por la Agencia Española de Protección de Datos a KUTXABANK, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23 de marzo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a KUTXABANK, S.A. (en adelante, el reclamado), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00473/2020 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 31/01/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra KUTXABANK, S.A. con CIF A95653077 (en adelante, la reclamada). Los motivos en que basa la reclamación son que solicitó el 9/12/2019 y obtuvo el día siguiente la respuesta a la supresión de sus datos personales. “He intentado abrir una cuenta y en dicha oficina me dicen que “no es posible ya que tengo los datos inaccesibles”. “Me puse en contacto con el Departamento indicado y me dijeron que para que mis datos se desbloquearan y fuese posible abrir mi cuenta nueva debía cumplimentar un documento que le facilitaron, junto con la copia del DNI”. Aporta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 1. Documento formulario “ejercicio del derecho de supresión” por el cumplimentado, firmado el 9/12/2019 y respuesta de 10/12/2019 indicando que “se ha procedido a la supresión en relación con sus datos de carácter personal, sin perjuicio de lo preceptuado en el artículo 17.3 del GDPR” 2. Escrito en el que se indica el motivo por el que “mis datos no son accesibles y la solución”, conteniendo el literal en el que le informan: “atendiendo su solicitud le comunicamos que, una vez analizado en nuestro sistema de información, los datos de carácter personal que fueron objeto de tratamiento por la organización se encuentran actualmente bloqueados tras solicitud ejercicio del derecho de supresión, efectuada por su parte el día 9 de diciembre del 2019”. “Si desea que sus datos sean desbloqueados y puedan ser utilizados nuevamente por la entidad, debe cumplimentar el documento que le facilitamos adjunto en el presente correo electrónico y remitirlo a la dirección…” 3. Formulario con el logo de la reclamada, sin nombre o título en el modelo, en el que el firmante declara y certifica: a. “Que he sido debidamente informado/a de la posibilidad de ejercicio del derecho de supresión de los datos de carácter personal. b. Que dicho derecho de supresión fue ejercitado por mi parte ante KUTXABANK, S.A. como responsable de tratamiento, de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y que fue atendido correctamente en tiempo y forma. c. Que con la firma del presente documento revoco el derecho de supresión que ejercité en el pasado y autorizo a que mis datos de carácter personal sean desbloqueados y puedan ser utilizados por la entidad para el mantenimiento y desarrollo de la relación establecida entre las partes. “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 /12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD) a trasladar la reclamación a la reclamada el 19/06/2020. Con fecha 9-07-2020 tuvo entrada su respuesta en la que indica: 1. Le trasladó al reclamante, en fecha 7 de julio de 2020, escrito, “en el que se resuelven cada uno de los aspectos controvertidos en relación con la revocación del ejercicio del derecho de supresión ejercitado por el reclamante en el pasado para poder darse de alta como cliente. Acompaña documento de entrega al reclamante. Como DOCUMENTO 1 aporta copia de la respuesta. En ella se le manifiesta que “se puso en marcha el plan integral de contingencias y se ha desarrollado un proceso de análisis e investigación de los hechos, que junto a las medidas implementadas permiten garantizar la total seguridad en el procedimiento de ejercicio de derechos corporativos, de manera que se imposibilite que acontezca una interpretación errónea del documento al que alude en su reclamación”. 2.Indica que, en fecha 9 de diciembre de 2019, recibió solicitud de ejercicio del derecho de supresión por parte del reclamante en el buzón de correo electrónico habilitado a tal efecto. Se remite copia de la solicitud como DOCUMENTO 2. En fecha 10/12/2019, se procedió a hacer efectiva la solicitud del interesado, comunicándole el resultado de la supresión practicada mediante remisión de comunicación certificada al domicilio del reclamante, así como por correo electrónico. Se adjuntan al presente escrito como DOCUMENTO 3. -En fecha 30/01/2020 se reciben dos nuevas solicitudes en el buzón del Delegado de Protección de datos corporativo, ***EMAIL.1 por parte del reclamante: -En la recibida a las 14:36H del 30/01/2020, solicitaba el ejercicio del derecho de acceso de conformidad con lo preceptuado en el art. 15 del RGPD. -En la recibida a las 19:48H del 30/01/2020, manifestaba que, al intentar abrir una cuenta en KUTXABANK, S.A., en repetidas ocasiones, se le informó que no era posible, aludiendo motivos relacionados con la normativa vigente en materia de protección de datos. Adjunto, se remiten dichas solicitudes como DOCUMENTO 4, si bien es tan solo un correo electrónico del reclamante de 30/01/2020 a la reclamada, sin que se lea nada. 3- En fecha 31/01/2020, se respondió al reclamante por correo electrónico. Se le informó que, una vez analizado el sistema de información de KUTXABANK, S.A., los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 de carácter personal que fueron objeto de tratamiento por la organización se encontraban bloqueados tras solicitud de ejercicio del derecho de supresión efectuada por su parte en fecha 09/12/2019. Igualmente, se le indicó que dicho bloqueo consistía en la “identificación y reserva de los datos, y en la adopción de las medidas técnicas y organizativas oportunas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos de jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas.” Añadir, que “se puso en su conocimiento que los datos bloqueados no podrían ser tratados para ninguna finalidad distinta de la señalada anteriormente. Asimismo, se le invitó a que remitiese debidamente cumplimentado un documento que se adjuntó a la comunicación, junto a una copia de su D.N.I o documento equivalente que probase su identidad.” El documento para cumplimentar únicamente “es una declaración firmada que sirve a la organización como comprobante de haber cumplido con su obligación de información acerca de la posibilidad de ejercicio del derecho de supresión, la realización efectiva del citado derecho en tiempo y forma ante petición por su parte y la autorización de desbloqueo de su identificador para poder proceder de nuevo a la recopilación de los datos de carácter personal del interesado”. (el subrayado es de la AEPD) En fecha 31/01/2020, el reclamante presentó el documento cumplimentado junto con la copia de su D.N.I en una sucursal. Manifiesta que adjunta la respuesta otorgada al cliente, así como el documento firmado por su parte como DOCUMENTO 5, si bien no se aporta dicho documento. 4- En la misma fecha 31/01/2020, KUTXABANK, S.A., procedió a tramitar su alta como nuevo cliente de conformidad con el Procedimiento de Alta de Persona Física establecido en la organización y se recabó la firma del documento denominado Declaración de Datos Personales en el que se recogieron de nuevo los datos básicos y de gestión más significativos. Manifiesta que adjunto copia de la citada Declaración de Datos firmada por el reclamante como DOCUMENTO 6, si bien no figura. - En fecha 31/01/2020 es recibida en el Servicio de Atención al Cliente de KUTXABANK, S.A., reclamación por parte del Sr. A.A.A. en similares términos a lo manifestado en la solicitud dirigida al buzón de correo electrónico del Delegado de Protección de Datos corporativo en fecha 30/01/2020. - En fecha 03/02/2020, desde el Servicio de Atención al Cliente de KUTXABANK, S.A., se le otorgó respuesta al interesado. Adjunto dice que se remite el escrito de reclamación, así como la respuesta otorgada por la entidad como DOCUMENTO 7, cuando no se contiene en su reclamación ni ficheros o archivos asociados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 5- KUTXABANK, S.A., ha procedido a la supervisión de las políticas y procedimientos corporativos en materia de ejercicio de derechos y relacionados con la tramitación de alta de nuevos clientes. -KUTXABANK, S.A., ha desarrollado los procedimientos necesarios para el estricto cumplimiento de la normativa vigente y garantizar a los interesados el pleno respeto a sus derechos, mediante la elaboración y aprobación ante el Comité de protección de datos de una Política de Ejercicio de Derechos corporativa. En dicha Política se indica que, en aras de garantizar el cumplimiento de lo preceptuado en el art. 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, el bloqueo de los datos supondrá la reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para los supuestos previstos en el apartado segundo de dicho artículo, esto es, el cumplimiento de obligaciones normativas o la resolución de peticiones de organizaciones con competencia en la materia y/o reclamaciones análogas. Dice que se adjunta la citada Política de ejercicio de derechos como DOCUMENTO 8, si bien no se encuentra entre lo enviado. - KUTXABANK, S.A., ha desarrollado en su programa de gestión corporativo, una marca denominada “Bloqueado LOPD” que se asocia al identificador del cliente que haya ejercido el derecho de supresión frente a KUTXABANK, S.A., para asegurar la correcta realización del citado bloqueo. En este sentido, la organización ha verificado que en el momento en el que el reclamante acude a diferentes sucursales de KUTXABANK, S.A., con la intención de abrir una cuenta, los gestores al introducir su D.N.I en el programa de gestión anteriormente indicado, visualizaron en pantalla el aviso: “Información no accesible. Cliente-Contrato Confidencial / Cliente Bloqueado LOPD”, impidiéndose así el acceso a los datos. Dice que se adjunta pantallazo a modo de evidencia del aviso como DOCUMENTO 9, cuando no figura. -KUTXABANK, S.A., en cumplimiento del principio de responsabilidad proactiva (Accountability), en todos los supuestos en que los interesados ejerciten su derecho de supresión ante la organización y soliciten volver a ser clientes de la Entidad, les requiere la cumplimentación y firma del documento de aceptación con anterioridad referenciado, como evidencia de que el solicitante es consciente de haber ejercido el derecho de supresión ante KUTXABANK, S.A., en el pasado y como prueba de que autoriza a que su identificador sea desbloqueado a los efectos de poder tramitar un nuevo alta como cliente. Es por tanto que, la finalidad del documento no es otra que el interesado autorice a que los datos que preste en el momento de formalización del alta de cliente sean incorporados en el sistema de información de KUTXABANK, S.A., y, en consecuencia, utilizados para el desarrollo de la relación establecida entre las partes. En ningún caso se reutilizan los datos bloqueados fruto del ejercicio del derecho de supresión ejercido por los interesados/as. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 - KUTXABANK, S.A., tiene debidamente documentado el procedimiento concreto de alta de persona física. En dicho procedimiento se indica que, si el motivo del alta de la persona es una contratación, se dará de alta una nueva persona informando todos sus datos principales. Una vez cumplimentados los datos, desde el programa de gestión corporativo, se imprimirá el documento de Política de Protección de Datos de Carácter Personal, documento que detalla cuál es el tratamiento que se realiza en KUTXABANK, S.A., de los datos personales de los clientes, cuya entrega es obligatoria y a continuación, se procederá a la firma del documento denominado Declaración de Datos Personales de Clientes, que recoge sus datos básicos y de gestión más significativos. Adjunto manifiesta que se remite extracto del Procedimiento de Alta de Persona Física como DOCUMENTO 10, si bien no lo aporta. KUTXABANK, S.A. “procedió al bloqueo del cliente en el mismo momento en que el mismo ejercitó su derecho de supresión, situación que se ha mantenido en relación con los vínculos contractuales anteriores al nuevo alta del sujeto en los sistemas de información corporativos, consideramos que la petición del cliente únicamente supone una controversia interpretativa en los términos de confirmación del trámite, sin suponer una brecha de seguridad o un incumplimiento de la normativa de protección de datos.” CUARTO: La reclamación fue admitida a trámite en fecha 4/12/2020. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los interesados deben tener derecho a que sus datos personales se supriman y dejen de tratarse si ya no son necesarios para los fines para los que fueron recogidos o tratados de otro modo, si los interesados han retirado su consentimiento para el trataC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 miento (considerando 65 del RGPD). El derecho de supresión es el derecho del interesado a exigir del responsable del tratamiento que excluya del tratamiento los datos de carácter personal que resulten innecesarios para el fin que justificó el tratamiento. El derecho de supresión es reflejo de la autodeterminación informativa de control de los datos de su titular. Lo usual en las relaciones bancarias es que responda a la baja de la contratación de un producto o servicio, o puede ir ligado a la revocación del consentimiento si esa fuera la base legitima que sustentaba el tratamiento. En todo caso, al cabo del tiempo, la contratación de un servicio nuevo supondría un nuevo tratamiento distinto del anterior que podría requerir de nuevo el tratamiento de datos del cliente. El derecho de supresión se contiene en el artículo 17 del RGPD como derecho del interesado, o concernido a sus datos, y supone al mismo tiempo una obligación del responsable (del tratamiento), indicándose: 1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones. III La LOPDGDD señala en su artículo 32 “Bloqueo de los datos” lo siguiente: “1. El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión. 2. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior. En estos casos de petición de supresión de datos, se trata de supuestos en los que el tratamiento de datos que obedecen a razones como que el tratamiento que se está llevando a efecto ha perdido su fundamento porque el interesado ha revocado el consentimiento o ha ejercido la oposición, porque ha terminado la relación contractual que le servía de causa, o por la extinción de cualquiera de las restantes causas que regula el art. 6.1 del RGPDD. El documento con el logo de la reclamada, sin literal que se hace completar a modo de declaración del cliente, contiene un grave error al indicar: “Que con la firma del presente documento revoco el derecho de supresión que ejercité en el pasado y autorizo a que mis datos de carácter personal sean desbloqueados y puedan ser utilizados por la entidad para el mantenimiento y desarrollo de la relación establecida entre las partes. “(el subrayado es de la AEPD.) EL RGPD no prevé que el derecho de supresión se pueda revocar. La reclamada confunde el derecho de supresión con uno de los efectos que puede producir la supresión de datos, que en relaciones contractuales suele ser la de supresión con efectos de bloqueo de datos, esto es, limitados a expensas de posibles responsabilidades (para atender posibles reclamaciones civiles derivadas de la relación mantenida con el interesado o requerimientos de información en investigaciones tributarias, penales o de prevención de blanqueo de capitales, por ejemplo). Además, el hecho de que estos datos estén bloqueados no es obstáculo para que con un fin o propósito nuevo o distinto del anterior, se vuelvan a tratar los datos, para lo que no es necesario y mucho menos obligatorio, rescatar o revocar los datos que se habían suprimido de otra relación previa. Cuando se establece una nueva relación contractual con la entidad financiera, no cabe recuperar los datos suprimidos y, en su caso, bloqueados. El conjunto de dichos datos responde a una relación jurídica anterior con su fecha de inicio y fin, y con sus finalidades, bases jurídicas específicas y tratamientos relacionados con el desarrollo de dicha relación. Si se inicia una nueva relación deberá atenderse a los fines y bases jurídicas de la misma, que pueden ser iguales o distintos de la anterior, inclusive en el caso de que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 fueran las mismas finalidades y bases jurídicas, no existiría legitimación para tratar, mediante la inadecuada exigencia de una revocación del derecho de supresión, la información relativa a todos los tratamientos anteriores. IV El RGPD define tratamiento de datos en el artículo 4.2 del RGPD: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción” El hecho de considerar que para un alta nueva tras el ejercicio de supresión de sus datos, se deban previamente revocar, puede suponer la comisión por parte de la reclamada de una infracción del articulo 17 del RGPD en relación con el artículo 32 de la LOPDGDD. V El artículo 83.5
- b)del RGPD, considera que la infracción de “los derechos de los interesados a tenor de los artículos 12 a 22”; es sancionable, “con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 La infracción figura tipificada en el artículo 72 de la LOPDGDD, que indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- n)El incumplimiento de la obligación de bloqueo de los datos establecida en el artículo 32 de esta ley orgánica cuando la misma sea exigible.” VI La determinación de las sanciones que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” Para la valoración de la sanción se contemplan los siguientes factores: Se trata no de un caso aislado sino que forma parte del protocolo de actuación de la entidad (83.2.
- d)RGPD) y la de supresión de datos con bloqueo es una operación cotidiana en el tratamiento de datos que ha de ser conocida en forma y efectos jurídicos por una entidad que habitualmente trata datos personales (76.2.
- b)LOPDGDD), afectando a todos los interesados que soliciten tras la supresión un nuevo producto o servicio ( 83.2.
- a)del RGPD) por lo que la valoración de la multa por la infracción imputada es de 100.000 euros. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a KUTXABANK, S.A., con CIF A95653077, por la presunta infracción del artículo 17 del RGPD en relación con el 32 de la LOPDGDD, de conformidad con el artículo 83.5.
- b)del RGPD, y el artículo 72.
- n)de la LOPDGDD. SEGUNDO: NOMBRAR instructor a B.B.B. y, como secretario, a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1/10, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos . CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1/10 del Procedimiento Administrativo Común de las Administraciones Públicas (LPCAP), la sanción que pudiera corresponder sería de multa administrativa, cuantía de 100.000 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 euros (cien mil euros). QUINTO: NOTIFICAR el presente acuerdo a KUTXABANK, S.A., con CIF A95653077, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. SEXTO: Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 80.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 80.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 60.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 80.000 euros o 60.000 euros, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-200320 Mar España Martí Directora de la Agencia Española de Protección de Datos >> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 SEGUNDO: En fecha 30 de marzo de 2021, el reclamado ha procedido al pago de la sanción en la cuantía de 60.000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
- d)e
- i)y 38.4 d),
- g)y
- h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00473/2020, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a KUTXABANK, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-031219 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es