1/177 Procedimiento Nº: PS/00477/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24/01/2018, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el reclamante), en el que denuncia a la entidad CAIXABANK, S.A. (en lo sucesivo CAIXABANK) por imponerle, en la misma fecha de la denuncia, la obligación de aceptar las nuevas condiciones en materia de protección de datos personales, en concreto la relativa a la cesión de sus datos personales a todas las empresas del grupo, según consta en el apartado II de las “nuevas condiciones LOPD” establecidas por la entidad. Añade que para cancelar dicha cesión debe dirigir un escrito a cada una de las empresas, lo que califica de desproporcionado considerando que la cesión se acepta en un solo acto. Aporta copia del condicionado que motiva la reclamación, relativo a “Autorizaciones para el tratamiento de datos” y “Ejercicio de derecho de acceso, cancelación y oposición. Reclamaciones ante la Autoridad de Protección de Datos”. Mediante este documento, que aparece con el rótulo “Autorizaciones para el tratamiento de datos”, el interesado “consiente expresamente” la incorporación de todos sus datos de carácter personal en un repositorio común de información, donde obran los datos de las empresas del Grupo "la Caixa", para que sean tratados por CAIXABANK y las empresas del Grupo "la Caixa" con las finalidades que se detallan (dos grupos de finalidades: “Finalidades de estudio y seguimiento” y “Finalidades de comunicación de oferta de productos, servicios y promociones”). Asimismo, se advierte al cliente que los tratamientos indicados podrán ser realizados de manera automatizada y conllevar la elaboración de perfiles, con las finalidades ya señaladas. A este efecto, CAIXABANK le informa de su derecho a obtener la intervención humana en los tratamientos, a expresar su punto de vista, a obtener una explicación acerca de la decisión tomada en base al tratamiento automatizado, y a impugnar dicha decisión. Se ofrece información sobre los “datos” del Firmante que se incorporarán en este Repositorio Común y se añade que estos datos serán complementados y enriquecidos por datos obtenidos de empresas proveedoras de información comercial, por datos obtenidos de fuentes públicas, así como por datos estadísticos, socioeconómicos ("Información Adicional"). Finalmente, se indica el plazo de conservación de los datos personales y se ofrece información sobre los derechos en materia de protección de datos y la posibilidad de presentar una reclamación ante la Agencia Española de Protección de Datos. SEGUNDO: En uso de las facultades conferidas por el artículo 40 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación, señaladas con el número E/01475/2018, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/177 para el esclarecimiento de los hechos denunciados y determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador. En sus respuestas a los dos requerimientos que le fueron efectuados por los Servicios de Inspección durante el desarrollo de las citadas actuaciones previas, la entidad CAIXABANK, informó a esta Agencia que las cláusulas informativas a las que se refiere la denuncia se implementaron con ocasión de los cambios contractuales dispuestos por la entidad para la adaptación al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo Reglamento General de Protección de Datos o RGPD), aplicable desde el 25 de mayo de 2018. 1. Mediante escrito de fecha 16/05/2018, registrado de entrada el 22/05/2018, la entidad CAIXABANK informó a esta Agencia como sigue: (…) Aprovechando los cambios contractuales que se iban a implantar para la adaptación al RGPD, en 2016 se decidió seguir dos principios en las relaciones a establecer con los clientes: la base para la actividad comercial (tratamiento) sería el consentimiento inequívoco del cliente; y los consentimientos se recabarían a nivel de “grupo”, para simplificar las relaciones cruzadas, solicitando a los clientes autorización para tratamientos con finalidad comercial de manera conjunta para todas las sociedades del “grupo”. (…) A los clientes se les solicita autorización para realizar tratamientos de análisis de datos y tratamientos de publicidad para un conjunto de diez entidades, permitiendo evaluar en común la información de todos los productos del cliente asociados al “Grupo CaixaBank”. Se centralizan los consentimientos en un repositorio, de manera que cualquier entrada de información en el mismo, ya sean apuntes de consentimientos otorgados como denegados, sustituye la anotación anterior, permitiendo que un cliente revoque el consentimiento desde cualquier empresa del “grupo”, y a la inversa. Cualquier empresa del grupo es un punto de entrada donde el cliente puede otorgar consentimientos, o retirar los mismos, con efectos a la totalidad. (…) La revocación del consentimiento con finalidad comercial tiene efectos automáticamente para todas ellas, de modo que el derecho puede ser ejercido indistintamente ante cualquiera y por cualquier canal. En cambio, respecto de la cancelación y rectificación, cada una de las empresas es responsable de las relaciones comerciales que mantiene con sus clientes y por tanto de los datos que trata en el ámbito de la relación contractual. Sin perjuicio de que el dato cancelado o rectificado, si era susceptible de ser utilizado por las otras empresas, dejará de serlo en caso de cancelación o será actualizado, en caso de rectificación. Adicionalmente, CAIXABANK informa que se ha implementado un sistema de atención de derechos centralizado, a nivel de grupo, en un servicio supervisado por el DPD, siendo esta entidad canal de entrada, sin perjuicio de que todas las empresas dispongan de un canal propio para la recepción de ejercicios de derechos, incluida la revocación. Consultada por la recogida de datos de redes sociales, CAIXABANK aclara que dispone un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/177 servicio para que los clientes que así lo consientan a través de la banca por internet puedan vincular sus datos de identificación en redes (Facebook, Twitter y Linkedin) con este servicio, para poder identificarlos cuando utilizan estos canales para contactar con la entidad. (…) En todos los casos, el cliente debe aceptar su uso y los términos y condiciones. Se informa, asimismo, sobre los servicios de agregación de datos, que permiten, a solicitud del interesado, agregar la información de los productos que tenga contratados con otras entidades (posiciones y movimientos de cuentas y tarjetas) y disponer así de una visión global de todas las posiciones, alertas sobre recibos, vencimientos, etc., pero no operar sobre los productos de las entidades agregadas (el cliente agrega o elimina entidades a su voluntad, pero solo entre las incorporadas al servicio). CAIXABANK incluye un detalle (impresión de pantallas) del proceso de solicitud del servicio de agregación que debe seguir el cliente a través de la web de la entidad. Después de seleccionar la entidad que pretende añadir al servicio y de introducir los datos que el cliente utiliza para acceder online a la entidad seleccionada (claves de acceso), el proceso requiere la aceptación de los términos y condiciones del servicio, según el detalle que consta reseñado en el Hecho Probado 8. Por otra parte, sobre la posibilidad, contemplada en la información que facilita a los interesados, de complementar o enriquecer los datos de los clientes con datos obtenidos de empresas proveedoras de información comercial, fuentes públicas, y con datos estadísticos y socioeconómicos, (…). 2. Mediante escrito de fecha 17/07/2018, registrado de entrada el 19/07/2018, CAIXABANK facilitó su respuesta al segundo requerimiento de información que le fue cursado para que aportase detalle sobre el mecanismo implementado para recabar el consentimiento inequívoco del cliente para los tratamientos realizados con finalidad comercial (u otros tratamientos que excedieran la actividad básica amparada por el interés legítimo de la entidad, p.ej. tratamientos de análisis y de impacto comercial); detalle del mecanismo implementado para permitir al cliente revocar el consentimiento concedido para cualquiera de los tratamientos de datos personales realizados por las sociedades del Grupo CaixaBank con base jurídica en el consentimiento del cliente; e información proporcionada al cliente en el momento de la obtención del consentimiento en relación a los tratamientos de datos personales realizados por las sociedades del Grupo CaixaBank, su finalidad y el mecanismo para ejercer sus derechos de acceso, rectificación, supresión, limitación de su tratamiento, oposición al mismo y portabilidad de los datos. A) sobre el mecanismo para recabar el consentimiento del cliente: Dispone de dos canales para recoger consentimientos comerciales de sus clientes, que coinciden con los canales que posibilitan hacerse cliente de la entidad, esto es, presencialmente en oficinas y a través de canales digitales (portal web de CAIXABANK, portal web y aplicación móvil de ImaginBank):
- a)El proceso de alta en oficinas Informa la entidad que este proceso se realiza mediante una entrevista entre el cliente y el gestor, y conlleva la recogida de datos identificativos, fiscales y de contacto, datos socioeconómicos y de actividad laboral, datos sobre experiencia, situación financiera y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/177 objetivos de inversión, así como la recogida de autorizaciones para la utilización de los datos con finalidades comerciales. Estas autorizaciones se prestan respondiendo a tres preguntas que realiza el gestor al cliente, una de ellas desglosada en cuatro opciones. La información facilitada por el cliente durante la entrevista se va incorporando al sistema y, una vez finalizada ésta, se plasma en la impresión en papel de un “Contrato Marco” que el cliente firma (aporta copia de un “Contrato Marco” fechado el 24/05/2018, cuyo clausulado coincide con el incorporado en Anexo I). En este documento se traslada un resumen de la información facilitada (incluidas sus respuestas sobre los tratamientos) y un clausulado con el detalle sobre los tratamientos de datos que se prevén. Adjunta secuencia de las pantallas que el gestor tiene que cumplimentar en el proceso de alta de una persona. Entre otras, las que permiten recabar datos identificativos, digitalizar el documento identificador y la firma, datos de nacimiento, residencia y domicilio fiscal, datos de contacto, tributación y datos económicos. Después de cumplimentar varias pantallas (en torno a quince), el gestor debe cumplimentar la rotulada “Modificación de protección de datos de…”, en la que se recoge el “alta de consentimientos” (la estructura de esta pantalla consta reseñada en el Hecho Probado 4). En una pantalla posterior, con el rótulo “Escanear documento firmado de un original. Firma digital”, se puede acceder al “Contrato Marco” del cliente en formato pdf. Al final de esta pantalla, se incluye un apartado “Documento firmado”, que ofrece las opciones “Documento escaneado” y “Escanear y enviar documento”. Añade que se sigue la misma operativa para clientes ya existentes, cuando es necesario remediar la información que consta en los sistemas. Desde 2016, la Ley de Prevención de Blanqueo de Capitales y Financiación del Terrorismo y el RGPD motivaron esta remediación de la información de los clientes (el 100% de los clientes personas físicas se marcó como remediable -al acceder el gestor a la ficha del cliente visualizaba un aviso indicando que el cliente tiene el “Contrato Marco” pendiente para que el gestor iniciase la entrevista). También es posible que se proceda a recoger o modificar los consentimientos con finalidades comerciales en momentos posteriores, con la misma gestión descrita, pero suscribiéndose un documento que solo aborda este extremo. CAIXABANK aporta copia de este documento, que se presenta como “Autorización para el tratamiento de datos de carácter personal con finalidades comerciales por CaixaBank, S.A. y empresas del Grupo CaixaBank” y que esa entidad denomina “Contrato de Consentimientos”, cuyo detalle consta en Anexo II (en lo sucesivo “Contrato de consentimientos” o “Autorización para el tratamiento”). A la vista de dicho documento, se comprueba que tiene una estructura y contenido similar al suscrito por el reclamante en fecha 24/01/2018 (reseñado en el Hecho Primero), si bien se ha dispuesto la prestación de consentimiento de forma separada para las mismas finalidades que se citan en el “Contrato Marco” (finalidad de estudio y seguimiento; comunicación de ofertas de productos, servicios y promociones; cesión de datos a terceros) Adicionalmente, continua CAIXABANK, ha dotado a toda la red de oficinas de tabletas digitalizadoras, posibilitando que el “Contrato Marco” y el “Contrato de Consentimientos” se firmen, no en papel, sino en la propia tableta. Además, tiene previsto actualizar el software de las tabletas para permitir al gestor y al cliente trabajar en “pantalla compartida” y a éste interactuar con el dispositivo seleccionando las opciones sobre el tratamiento de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/177
- b)Proceso de alta a través de canales digitales (portal web de CAIXABANK, portal web y aplicación móvil de ImaginBank): Señala CAIXABANK que su portal web dispone de un servicio para tramitar el alta de cliente por internet, cuyo proceso incluye un paso que muestra una pantalla mediante la que se recaban los consentimientos para el tratamiento de los datos con finalidades comerciales (el detalle de las opciones que muestra esta pantalla consta reseñado en el Hecho Probado 4). Añade CAIXABANK que el símbolo (
- i)de información que figura en la pantalla anterior conduce a otra pantalla “en la que se explica por qué es necesario que el cliente responda a las cuestiones que se plantean”. En esta nueva pantalla se indica “(
- i)Necesitamos tu consentimiento. Desde mayo de 2018 aplica un nuevo Reglamento de Protección de Datos. Siempre nos hemos preocupado por la protección de tus datos, es por ello que es importante que respondas las siguientes preguntas (Entendido)”. Desde ahí puede accederse a la cláusula 8 “Tratamiento y cesión de datos con finalidades comerciales por CaixaBank y empresas del Grupo CaixaBank basados en el consentimiento” del “Contrato Marco”. Finalmente, el resumen de los consentimientos otorgados y los clausulados se mostrarán en el “Contrato Marco” que firme al cliente al finalizar el proceso. Advierte CAIXABANK que en la pantalla en la que se solicita la firma se muestra un resumen de los aspectos más importantes que regula el contrato, entre los que se señalan las autorizaciones para tratamientos de datos. Esta pantalla incluye una casilla para marcar “He leído y acepto el contrato”. El mismo proceso sigue el alta y recogida de consentimientos a través de la aplicación móvil de ImaginBank. La pantalla relativa a los consentimientos muestra la misma estructura del portal web de CAIXABANK, sustituyendo las menciones a esta entidad por ImaginBank. B) Sobre el mecanismo para permitir al cliente revocar el consentimiento: El ejercicio de derechos y la revocación de “consentimientos comerciales”, por parte de clientes y no clientes, puede formularse por múltiples vías: . Presencialmente en oficinas de la entidad. . A través del espacio personal de banca electrónica (Caixabank Now e ImaginBank, tanto en su versión web como en la aplicación móvil). . Empleando formularios de solicitud en el portal web corporativo de CAIXABANK o de cada una de las empresas del Grupo. . A través de servicios de atención telefónica de CAIXABANK. . Solicitud por envío postal o entrega en mano.
- a)En el trámite presencial, en oficinas, el empleado registrará la solicitud en el sistema señalando “respecto de qué empresa se ejerce formalmente la revocación”, según puede verse en las pantallas que muestra, una relativa a la gestión de derechos y otra específica para la revocación de consentimientos (ambas disponen de un desplegable que permite señalar la empresa específica ante la que se formula la manifestación de que se trate). La estructura que muestra la pantalla habilitada para que el gestor registre la revocación o modificación de consentimientos que pretenda el cliente, bajo el rótulo “Modificación de protección de datos”, es igual a la indicada anteriormente para el “Alta de consentimientos” manifestados de forma presencial en oficina. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/177 Según CAIXABANK, estas solicitudes quedan registradas y son remitidas a un servicio centralizado de atención de derechos, que se encarga de darles el trámite correspondiente.
- b)El proceso a seguir en el espacio privado del cliente en la web de Caixabank Now le permite seleccionar sus preferencias y obtener información sobre los tratamientos propuestos (clicando la opción “ver detalle Cláusula 8” tiene acceso directo a los textos del “Contrato Marco” relacionados con cada finalidad). El detalle de las opciones que muestra esta pantalla consta reseñado en el Hecho Probado 5. A continuación, se muestra al cliente un resumen con los consentimientos otorgados, para que pueda comprobarlos, y se pone a su disposición el contrato que recoge un resumen de esos consentimientos. A continuación, se muestra un ejemplo de este resumen: <<Operación todavía no finalizada, Compruebe los datos y confirme la operación. Compruebe los datos Finalidad de estudio y seguimiento: Has manifestado tu aceptación y consentimiento al tratamiento de datos. Finalidad de comunicación de ofertas de productos, servicios y promociones: has manifestado tu NO aceptación y consentimiento al contacto con finalidades comerciales. Por cualquier canal o medio, incluidos los medios electrónicos. . A través de mi gestor (oficina) Cesión de datos a terceros: has manifestado tu NO aceptación y consentimiento al contacto con finalidades comerciales. Lee detenidamente el contrato Confirme la operación…>>. En el entorno de la aplicación móvil de CaixaBank Now, el cliente puede acceder a “Configuración – Ejercicio de derechos” y es redirigido al portal Web. No obstante, aclara que dicho proceso se está revisando con el propósito de mostrar las opciones disponibles en la propia aplicación. Aporta un detalle de la pantalla en desarrollo “Configuración – Ejercicio de derechos – Derecho de revocación”: “La normativa de protección de datos de carácter personal establece el derecho a revocar el tratamiento de datos. A continuación se muestran los tratamientos de datos que tienes autorizados: Autorización para tratar mis datos para efectuar seguimiento y estudio de operativa, generación de alerta de mis productos contratados, estudios y servicios ajustados a mi perfil (No acepto) Autorización para que CaixaBank contacte conmigo para conocer aquellas ofertas de productos y servicios, así como promociones y ofertas que puedan resultar de mi interés (No acepto) Acepto la cesión de datos a terceros (No acepto)”. Posteriormente, se muestra el resumen de las manifestaciones realizadas, se pide la introducción de las claves y, en una nueva pantalla, se indica “Se ha ejercido tu derecho de revocación. Puedes consultar el contrato en MailBox”. La misma indicación se realiza respecto de la aplicación de ImaginBank.
- c)Uso de los formularios de solicitud disponibles en el portal web corporativo de CAIXABANK C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/177 o de cada una de las empresas del Grupo. Según se indica, en el primer caso los clientes pueden revocar su consentimiento para cualquier empresa del Grupo a través del sitio web de CAIXABANK (se ofrece un desplegable para que el cliente seleccione la empresa sobre la que desea revocar el consentimiento). Escogida la empresa, se debe seleccionar el derecho que el cliente quiere ejercer, también mediante un desplegable. Una de las opciones está referida a la revocación de consentimientos, con la posibilidad de marcar tres casillas, según el detalle que consta reseñado en el Hecho Probado 5. En el segundo caso, cuando se pretende revocar el consentimiento desde el portal web de una empresa del grupo, según informa CAIXABANK, se muestra un formulario similar y de igual funcionamiento al anterior. Al acceder a la página correspondiente a la entidad de que se trate, el cliente es dirigido a una pantalla común a todas.
- d)Finalmente, se hace referencia a la solicitud a través del servicio de atención telefónica y por envío postal. Según la entidad, los Call Centers tienen a su disposición una herramienta que le permite atender el ejercicio de derechos, incluida la revocación de los consentimientos. Se registra la petición (el protocolo contempla la grabación de la llamada) y se informa al interesado que recibirá respuesta por escrito en el plazo de un mes. La estructura que muestra la citada herramienta para la revocación de los consentimientos es similar a la indicada anteriormente para el “Alta de consentimientos” manifestados de forma presencial en oficina. En cada opción se muestra un desplegable para que el empleado marque la opción deseada por el cliente. 3. Consultada CAIXABANK por la información proporcionada al cliente en el momento de la obtención de los consentimientos por parte de las sociedades del Grupo, se indica que esa información consta en el “Contrato Marco” y en el “Contrato de Consentimientos”. TERCERO: Mediante resolución de fecha 01/02/2019, de la Directora de la Agencia Española de Protección de Datos, se declaró la caducidad de las actuaciones previas reseñadas en el Antecedente Segundo, seguidas con el número E/01475/2018, por el transcurso del plazo de doce meses contados desde que tuvo entrada a denuncia (24/01/2018), conforme a lo establecido en el artículo 122 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. En dicha resolución se advierte sobre lo dispuesto en el artículo 95.3 de la Por otra parte, el artículo 95.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), en el que se establece que la caducidad no producirá por sí sola la prescripción de las acciones de la Administración, y se admite la apertura de un nuevo procedimiento cuando no se haya producido la prescripción, con incorporación al mismo de los actos los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. CUARTO: Con fecha 29/03/2019, tuvo entrada en esta Agencia un escrito de la entidad Asociación de Consumidores y Usuarios en Acción - FACUA, en el que formula reclamación contra CAIXABANK en relación con el “Contrato marco” que suscriben los clientes de esta entidad, mediante el que se recogen sus datos personales, se ofrece a los mismos la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/177 información en esta materia y se recaban consentimientos para los tratamientos de datos que se especifican. En concreto, FACUA denuncia que se trata de un contrato de adhesión, cuyo contenido no puede negociarse por el consumidor, al que se impone el consentimiento al tratamiento de sus datos personales y la cesión de los mismos a terceras empresas con las que aquél podría no tener relación (autorizaciones previstas en la cláusula 8 y cesiones mencionadas en la cláusula 10 de dicho contrato). El reclamante aporta copia de un “Contrato Marco” fechado el 24/10/2017, cuyo clausulado coincide con el correspondiente a la versión de fecha “14/03/2017”, que se referirá más adelante (“Versión 3”, según la numeración facilitada por CAIXABANK). Esta reclamación fue trasladada a la entidad CAIXABANK. En respuesta a lo manifestado en la reclamación, CAIXABANK informó a esta Agencia que remitió a FACUA un escrito detallando el proceso de recogida de consentimientos de los clientes para finalidades comerciales, así como la operativa utilizada para la firma del contrato, que resume como sigue: . A los clientes se les solicita, en todas las ocasiones, el consentimiento expreso para el análisis de datos, el impacto comercial y la cesión de sus datos. . El contrato no es de adhesión, ya que el cliente puede decidir si otorga o no los consentimientos. . Adicionalmente, el cliente dispone de diversos canales para modificar su decisión inicial (oficinas, banca por internet, call centers, etc.). CAIXABANK aporta copia de la comunicación remitida a FACUA, que resume parte de lo manifestado a la Agencia en su respuesta de 16/05/2018, e incluye una relación de las “empresas del Grupo” y un anexo con el detalle del proceso de recogida de consentimientos (corresponde a un extracto de la formación impartida a los empleados, en el que constan las pantallas que han de cumplimentar). De lo informado a FACUA en esta comunicación, de fecha 03/05/2019, cabe destacar lo siguiente: . Sobre la recogida de consentimientos, describe el procedimiento de alta de un nuevo cliente, que incluye su identificación y su consentimiento (firma). Previamente a la firma del “Contrato Marco”, el gestor de la oficina debe preguntar al cliente si autoriza o no el tratamiento de sus datos para finalidades comerciales (perfilado, comunicaciones comerciales y cesión a terceros), para que el cliente exprese verbalmente su elección en cada una de las tres preguntas y el gestor cumplimente las casillas correspondientes a esta elección (consentimiento para los tratamientos explicados en las cláusulas 8 y 10 del “Contrato Marco” -actualmente 8 y 9). Una vez cumplimentadas esas casillas, se genera el “Contrato Marco” para que sea firmado por el cliente, recogiéndose las mismas en su encabezado (página 1, apartado “Autorizaciones para el tratamiento de datos”). En caso de que no se otorgara ninguna de las autorizaciones, en el citado apartado se indicará lo siguiente: “Autorizaciones para el tratamiento de los datos En los términos establecidos en la cláusula 8 y 9 del presente Contrato, sus autorizaciones para el tratamiento de los datos son las siguientes: Finalidades comerciales: . Finalidad de estudios y perfilado: Usted ha manifestado su no aceptación y consentimiento al tratamiento de sus datos. . Finalidad de comunicación de ofertas de productos, servicios y promociones: Usted ha manifestado su no aceptación y consentimiento al contacto con finalidades comerciales por cualquier canal o medio, incluidos los medios electrónicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/177 . Cesión de datos a terceros: Usted ha manifestado su no aceptación a la cesión a terceros de sus datos”. Informa, asimismo, que se encuentra en proyecto una nueva operativa de pantalla compartida que permitirá al cliente leer directamente la información sobre el tratamiento de datos personales y señalizar, sin intermediarios, aquellos que autoriza o no. . Sobre la revocación de los consentimientos y el ejercicio de derechos, advierte que tiene efectos para todas las empresas del Grupo y que puede ser ejercitado ante cualquiera de ellas, por cualquiera de los canales propios de cada una de ellas. Añade que se ha nombrado un DPD de Grupo, que supervisa el servicio centralizado de gestión de derechos, y que CAIXABANK es canal de entrada de ejercicio de derechos de todas las empresas. (…) QUINTO: La reclamación reseñada en el Antecedente Cuarto fue admitida a trámite mediante acuerdo de la Agencia Española de Protección de Datos de 28/05/2019. Conforme a lo establecido en el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), se acordó el inicio de actuaciones previas de investigación y la incorporación a las mismas de toda la documentación reseñada en los hechos anteriores, integrada por la denuncia formulada por el reclamante, la documentación correspondiente a las actuaciones previas señaladas con el número E/01475/2018, tramitada con motivo de esa reclamación, la reclamación formulada por la entidad FACUA y la documentación que integra la fase de admisión a trámite de la misma. Se determinó como objeto de estas actuaciones previas de investigación el análisis de la información ofrecida con carácter general por CAIXABANK en materia de protección de datos personales, a través de todos los canales empleados por la entidad (cumplimiento por parte de CAIXABANK del principio de transparencia establecido en los artículos 5, 12 y siguientes del RGPD, y preceptos relacionados); los distintos tratamientos de datos personales que lleva a cabo la entidad conforme a la información ofrecida, en relación con clientes o persona que mantengan cualquier otra relación con la misma, y en el marco de la nueva normativa aplicable desde el 25/05/2018, incluido el análisis de los mecanismos empleados para recabar la prestación del consentimiento de los interesados; así como el cumplimiento por parte de la citada entidad del resto de principios relativos al tratamiento establecidos en el artículo 5 del RGPD. En desarrollo de estas actuaciones previas de investigación se cursó un requerimiento de información a CAIXABANK y se realizó visita de inspección en fecha 28/11/2019: 1. Con fecha 20/11/2019, se recibió respuesta de CAIXABANK al requerimiento que le fue cursado por los Servicios de Inspección para que facilitase información sobre el “Contrato Marco”, en su versión actual y versiones anteriores vigentes a partir del 25/05/2018, y posibles adendas; canales y metodología para su aceptación y granularidad para la obtención de los consentimientos; así como sobre los procedimientos que se habilitaron para dar a conocer la información en materia de protección de datos personales actualizada al RGPD a clientes anteriores a 25/05/2018 y mecanismos para recabar su aceptación.
- a)Señala CAIXABANK que, teniendo en cuenta los textos preliminares del RGPD, implementó el “Contrato Marco” en junio de 2016, existiendo seis versiones fechadas el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/177 20/06/2016, 22/11/2016, 14/03/2017, 12/11/2018, 20/12/2018 y 17/09/2019 (aporta copia de estas versiones). Destaca que no ha habido cambios significativos en este documento, que regula toda la relación de los clientes con CAIXABANK y las empresas del Grupo cuyos productos comercializa aquella, informa sobre todos los tratamientos derivados de la relación contractual y solicita los consentimientos necesarios para el tratamiento de los datos de carácter personal a nivel Grupo. Por otra parte, CAIXABANK advierte que los contratos de productos y servicios también incluyen la información requerida por el artículo 13 del RGPD, en previsión de que pudiera mediar tiempo entre la suscripción del “Contrato Marco” y la contratación de productos (acompaña copia de un contrato de productos y servicios correspondiente a la “Libreta Estrella”); y que existen otros servicios que, por su especialidad, contienen sus propias cláusulas de protección de datos (acompaña el detalle de la información de protección de datos personales facilitada a suscriptores del “Servicio de atención al accionista” y en el formulario de suscripción a “Eventos”).
- b)En relación con la granularidad para la obtención de los consentimientos, se indica que CAIXABANK y una selección de sociedades participadas, a las que se ha sumado recientemente Caixabank Payments & Consumer, EFC, EP, SAU, ha venido recogiendo consentimientos para la realización de tratamientos comerciales desde 2016 en los términos expuestos en el expediente E/01475/2018 (Antecedente Segundo anterior). Detalla el procedimiento seguido por CAIXABANK y por Payments. En el primer caso, se indica que el sistema de información guía al gestor en todo el proceso, advirtiéndole que debe consultar al cliente sus preferencias y facilitarle físicamente la tablet para que el propio cliente proceda a marcar sus opciones. Una vez marcadas las preferencias, el propio terminal le indica que dichas preferencias han sido registradas y le invita a devolver el dispositivo al gestor. Posteriormente, “el gestor finaliza y consolida el documento y lo facilita para su firma al cliente”. En la pantalla siguiente desaparece la indicación “Modo Tablet” y se expresa lo siguiente: “Sus consentimientos se han indicado. Gracias por su colaboración. Por favor devuelva la Tablet a su gestor”. Informa que CAIXABANK y su Grupo solicitan tres consentimientos para las tres finalidades reseñadas, desglosando uno de ellos en cuatro opciones, y aclara que las dos primeras se solicitan a nivel de Grupo de empresas de CaixaBank. A continuación, reproduce parte de la Cláusula 8 del citado contrato, en la que, según CAIXABANK, se explica el significado y la concreción de los literales anteriores y se facilita el detalle de qué datos se tratarán con las finalidades
- i)y ii). El contenido de esta cláusula reproducido en el escrito de CAIXABANK coincide con el reseñado en el Anexo I. Sobre esta cuestión, aporta copia de las pantallas que permiten visualizar el proceso de alta de un cliente de forma presencial en oficinas. Después de avanzar unas quince pantallas se muestran dos pantallas correspondientes a la recogida de consentimientos para el tratamiento de los datos personales, con el rótulo “Autorización/Revocación de consentimientos” y la indicación “Modo Tablet. Cliente”. Previamente se muestra una pantalla con un mensaje para el gestor con la indicación “Según el Reglamento General de Protección de Datos, el cliente debe autorizar el uso de sus datos. A continuación debe entregar la tableta al cliente para que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/177 cumplimente los consentimientos”. Después de pulsar el botón “Aceptar”, se accede al “Modo Tablet”, a las pantallas “Autorización/Revocación de consentimientos”, cuyo detalle consta reseñado en el Hecho Probado 4. Una vez marcadas las opciones, en la parte final de la pantalla se incluyen los botones “Aceptar” y “Cancelar”. Al pulsar el primero se ofrece un mensaje con el texto “Sus consentimientos se han indicado. Gracias por su colaboración. Por favor devuelva la Tablet a su gestor”. (…) Se comprueba que las pantallas “Modo Tablet. Cliente” no contienen ningún enlace a la información en materia de protección de datos personales contenida en el “Contrato Marco”. En relación con este proceso, no se aporta ninguna pantalla relativa a la consolidación del documento y su firma por el cliente. Seguidamente, se incluyen las pantallas correspondientes al proceso de “Modificación de consentimientos”. (…) Esta pantalla incluye un enlace con el texto: “Autorización/Revocación tratamientos con finalidades comerciales”. Al accionar este enlace aparece un mensaje para el gestor con la indicación “Según el Reglamento General de Protección de Datos, el cliente debe autorizar el uso de sus datos. A continuación debe entregar la tableta al cliente para que cumplimente los consentimientos”. Después de pulsar el botón “Aceptar”, se accede al “Modo Tablet”, a las pantallas “Autorización/Revocación de consentimientos”, cuyo detalle es idéntico al de las pantallas de “Autorización/Revocación de consentimientos. Modo Tablet. Cliente” del proceso de alta del cliente, al que se ha hecho referencia en los párrafos anteriores, salvo en lo referido al uso de datos biométricos, que no se incluye en este caso. Con su escrito de respuesta, CAIXABANK aportó copia del contrato correspondiente a un cliente, que aparece fechado el 06/11/2019 (en lo sucesivo denominaremos este documento como “Versión 7 del Contrato Marco” o “Contrato Marco de cliente de fecha 06/11/2019”). Se comprueba que su contenido no coincide con ninguna de las seis versiones del “Contrato Marco” aportadas por la propia entidad (en Anexo I se añaden las modificaciones o nuevas cláusulas informativas introducidas en esta versión del “Contrato Marco”, que afectan a los tratamientos de datos en la firma electrónica de documentos y al tratamiento de datos biométricos). En el encabezamiento del documento, en el epígrafe de “Autorizaciones para el tratamiento de datos” se indica: “Otras finalidades: Uso de datos biométricos con finalidad de verificación de la identidad y firma. Usted ha manifestado su aceptación y consentimiento”.
- c)Sobre los procedimientos habilitados para dar a conocer la “Política de Privacidad” actualizada al RGPD a clientes anteriores a la aplicación de esta norma y los mecanismos para recabar su aceptación, CAIXABANK informa a esta Agencia que dicha “Política de Privacidad”, que consta publicada en la web “caixabank.es”, tiene la finalidad de complementar la información facilitada a los clientes en el “Contrato Marco” entre junio de 2016 y mayo de 2018; y dar información completa a los clientes que en mayo de 2018 no hubieran firmado el “Contrato Marco”. Así, desde mayo de 2018 distingue dos situaciones: . Todos los clientes preexistentes han firmado un contrato marco o han recibido la “Política de Privacidad” (además de tenerla a su disposición en la web de la entidad). . Todos los nuevos clientes, en su primera relación con la entidad, suscriben un “Contrato Marco”, en el que se incluye toda la información del artículo 13 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/177 Aclara que el “Contrato Marco” es, desde mayo de 2018, la información sobre el tratamiento de los datos que se entrega al cliente en cumplimiento de lo previsto en el artículo 13 del RGPD y que la “Política de Privacidad” es un documento coherente con lo recogida en dicho contrato. Para dar traslado de la “Política de Privacidad” a los clientes, CAIXABANK manifiesta que remitió 15.917.507 comunicaciones, de los cuales 5.663.683 se realizaron por correo postal y 10.253.824 a través de la banca a distancia con un pop up de aviso (“Si quieres conocer más sobre nuestro compromiso con tus datos y tu privacidad, tienes un comunicado disponible en tu MailBox -Acceder a MailBox”). Acompaña copia de la “Política de Privacidad” de CAIXABANK disponible en la web de la entidad, la cual consta reproducida en Anexo V. 2. Por otra parte, se realizó visita de inspección a CAIXABANK en fecha 28/11/2019, informándose a los representantes de la entidad que dicha actuación tenía como objeto verificar la información que facilita sobre protección de datos personales y la obtención de consentimientos para los tratamientos de datos que realiza. Según consta en acta de inspección, en respuesta a las cuestiones planteadas, los representantes de CAIXABANK realizaron las declaraciones siguientes y se llevaron a cabo las comprobaciones que igualmente se detallan:
- a)El procedimiento para el inicio de las relaciones comerciales puede realizarse presencialmente, o también a través de la web y mediante la aplicación para dispositivos móviles “CaixaBank” previamente descargada Presencialmente. El agente solicita los datos de identificación, digitaliza el documento de identidad, recaba datos sobre la residencia y domicilio fiscal, tributación y datos económicos (origen de fondos, personalidad pública, etc.); y entrega una tableta al cliente para que seleccione los consentimientos que desea otorgar a la inspeccionada y a las empresas del grupo. Se indica que hay cuatro grupos con respuestas Si/No y se detalla el texto que aparece en la tableta enunciando los distintos grupos, que coincide con el texto detallado en el apartado
- b)anterior (pantalla “Autorización/Revocación de consentimientos”, en la que consta la indicación “Modo Tablet”). En este momento no se toman datos biométricos a excepción de la firma. Si en el futuro se implantara este tipo de identificación, y se hubiera otorgado este consentimiento, se recabarán estos datos. Una vez recogidos los consentimientos, el agente consolida y ofrece la tablet al cliente con el documento “Contrato Marco” para que pueda leerlo y ver el apartado “Autorizaciones para el tratamiento de Datos” con los consentimientos otorgados y denegados y firmar dicho contrato, que se realiza en la misma Tablet. A través del sitio web de CAIXABANK. El procedimiento se desarrolla en la plataforma on line de la inspeccionada a través de un formulario guiado de toma de datos del futuro cliente. Durante la inspección, se realiza una simulación y se comprueba que en la primera página se solicita el número de teléfono y el correo electrónico. En esta misma pantalla aparece una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/177 ventana con un texto titulado “Tratamiento de datos de carácter personal y obligaciones derivadas de la prevención del blanqueo de capitales y financiación del terrorismo”. Hay un botón llamado “Aceptar y Continuar”. En la siguiente pantalla se solicitan datos identificativos y domicilio. A continuación, se produce la identificación que se realiza por video identificación o a través del servicio de obtención de titularidad de cuentas externas a través del servicio Iberpay. Después se presenta una pantalla en la que se especifica la finalidad de la cuenta, pantalla de obtención de consentimientos, creación de cuenta, y pantalla firma del contrato, donde se puede descargar el “Contrato Marco” completo. Una vez seleccionada la casilla de verificación de aceptación del contrato, se procede a la firma mediante un envío de código numérico al teléfono móvil proporcionado por el cliente. Banca móvil vía app. Es posible iniciar el proceso de alta a través de la aplicación para dispositivos móviles, pero, tras el proceso de instalación, en el momento en que se inicia la toma de datos del interesado, la aplicación redirige al interesado a la aplicación web descrita en el punto anterior. Telefónicamente. No se realizan altas por este medio.
- b)Se realiza una demostración sobre el procedimiento de modificación de los consentimientos de un cliente a través de su espacio personal: Situación inicial: todos los consentimientos “No acepto” Tratamiento de datos: No acepto Publicidad: No acepto Publicidad telemarketing: No acepto Publicidad por medios electrónico: No acepto Publicidad por correo postal: No acepto Publicidad gestor personal: No acepto Cesión de datos: No acepto Modificación: se modifica el segundo nivel y no el primer nivel Tratamiento de datos: No admite Publicidad: No acepto Publicidad telemarketing: No acepta Publicidad por medios electrónico: No acepta Publicidad por correo postal: No acepta Publicidad gestor personal: Si acepta Cesión de datos: No acepta Se detecta que, aunque se haya seleccionado no recibir comunicaciones comerciales de forma genérica, al poder marcar uno de los medios, se acepta la recepción de comunicados por esa vía y queda reflejado el otorgamiento en el documento que firma el cliente (en relación con esta cuestión, con fecha 10/12/2019 se recibió escrito de CAIXABANK, advirtiendo que ha incluido un texto informativo para señalar al interesado que, al marcar uno de los medios, acepta la recepción de comunicados por esa vía: “Si a pesar de no querer que nos pongamos en contacto contigo de manera general, te interesa recibir información por alguno de los siguientes canales, solo tienes que marcarlo y lo utilizaremos para trasladarte nuestras novedades y ofertas”). Se adjunta captura de pantalla en la que constan denegados todos los consentimientos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/177 copia del documento generado a partir de la modificación de consentimientos. La estructura y contenido de esta pantalla coincide que el detalle reseñado en el Antecedente Segundo, apartado 2.B.b), en relación con la revocación de consentimientos a través del espacio privado del cliente en la web de Caixabank Now. Se adjunta captura de pantalla de habilitación de un consentimiento de segundo nivel estando el primero en “No acepto” para comunicaciones comerciales y documento generado a partir de la modificación de consentimientos. El contenido de los documentos generados una vez reflejadas las manifestaciones del cliente coincide con el texto reseñado en Anexo II (“Contrato de Consentimientos”), con las variaciones que se indican a continuación y que se reseñan igualmente en dicho Anexo II: . En el rótulo del documento se añade el término “revocación” y queda “Autorización/revocación para el tratamiento de datos de carácter personal con finalidades comerciales por CaixaBank, S.S. y empresas del grupo CaixaBank”. . Desaparece la mención al “repositorio común” en la presentación del documento, en la que aparecía con la indicación “Para ello, sus datos se gestionarán desde un repositorio común de información de las empresas del Grupo CaixaBank. Los datos que se incorporarán a este repositorio común serán…”. . El apartado dedicado a “los datos que se tratarán” se desplaza desde la presentación del documento para asociarlos a las finalidades 1 (análisis y estudio de datos) y 2 (oferta comercial de productos y servicios). Además, en el apartado
- c)se añade la mención a las empresas del Grupo CaixaBank, y queda “Todos los que CaixaBank o las empresas del Grupo CaixaBank obtengan de la prestación de servicios a terceros, cuando el servicio tenga como destinatario al firmante, tales como la gestión de transferencias o recibos”. . Se añade el siguiente texto: “Las autorizaciones que usted otorgue permanecerán vigentes hasta su revocación o, en ausencia de esta, hasta transcurridos seis meses desde que usted cancele todos sus productos o servicios con CaixaBank o cualquier empresa del Grupo CaixaBank”. . En la autorización (
- ii)del apartado correspondiente a la finalidad 1 (Tratamientos de análisis, estudio y seguimiento para la oferta y diseño de productos y servicios ajustados al perfil de cliente) se añade la posibilidad de asociar los datos del firmante con los de otros clientes con los que tenga algún tipo de vínculo familiar o social, relación de propiedad o administración, al efecto de analizar posibles interdependencias económicas en el estudio de ofertas de servicios, solicitudes de riesgo y contratación e productos. . En el apartado dedicado al ejercicio de derechos se añade la mención a los mismos, que no consta en el texto del Anexo II, se indica una dirección postal para ejercicio de derechos, que tampoco constaba, y se amplía la posibilidad de ejercer los derechos a través de las aplicaciones móviles. . Se han añadido dos apartados correspondientes al delegado de protección de datos y a la vigencia del “Contrato Marco” una vez haya sido suscrito por todos los intervinientes.
- c)Ejercicio de derechos. Cualquier canal en el que se haya identificado el cliente está habilitado para el ejercicio de derechos. La revocación del consentimiento se aplica en el instante en que se realiza y se aplica a todas las empresas del grupo.
- d)Sobre la información facilitada al cliente para que consienta el acceso a datos de redes sociales: se accede desde el área personal de la banca online y se especifica qué red C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/177 individualmente de entre Facebook, Twitter y LinkedIn se consiente el acceso. Aparece el texto “Información sobre el tratamiento de datos de carácter personal y comunicaciones comerciales” en una caja de texto y un botón con el texto “Aceptar y continuar”. En Anexo III se reseña la información que facilita CAIXABANK a sus clientes para recabar su consentimiento para el acceso y utilización de datos de redes sociales.
- e)El servicio de agregación de cuentas requiere una contratación especial, aunque el consentimiento se da en el “Contrato Marco”. Al iniciar el proceso aparece un texto “Contrato” en una región de texto, con posibilidad de generar un documento en formato pdf. En Anexo IV se reseña el contrato que formaliza el cliente solicitar este servicio de agregación de cuentas, que incluye la información ofrecida en materia de protección de datos personales.
- f)No se realiza el tratamiento descrito en el punto 7.3.5. sobre las cuentas agregadas de otras entidades. Se puede ejercer el derecho de oposición al tratamiento recogido en este punto a través de la banca on line y por los demás canales habilitados
- g)Con respecto al contenido del 8.ii.h), se ha especificado esta posibilidad para posibles utilizaciones. Cuando se produzca un tratamiento de este tipo se valorará por el comité de evaluación de impacto.
- h)Sobre los mecanismos empleados para informar de la actualización de la “Política de Privacidad” y la obtención del consentimiento a los clientes, los representantes de CAIXABANK manifestaron que con la primera versión del “Contrato Marco”, de 20 de junio de 2016, se comenzaron a recabar los nuevos consentimientos. En mayo de 2018 se configuraron todos los consentimientos en formato antiguo a “No Acepto”. Desde esta fecha se han recabado los consentimientos de los clientes por diferentes canales. Durante las diversas actualizaciones se han enviado más de 15 millones de comunicados de los cuales 5.663.683 se enviaron por correo postal y 10.253.824 se pusieron a disposición de los clientes a través de su banca on line mediante una ventana emergente de aviso. El contenido de la comunicación es puramente informativo.
- i)Se accede a los sistemas de información para verificar los consentimientos otorgados por el reclamante, obteniéndose los siguientes datos: Consentimientos: Tratamiento de datos: No admite Publicidad telemarketing: Si admite Publicidad por medios electrónico: Si admite Publicidad por correo postal: Si admite Publicidad gestor personal: Si admite Cesión de datos: Se comprueba que el reclamante no ha firmado el “Contrato Marco”, pero sí otorgó consentimientos el 24 de enero de 2018, mediante la firma del documento que se encuentra en su repositorio contractual (este documento se corresponde con el aportado por el reclamante, suscrito en fecha 24/01/2018, el cual consta reseñado en el Hecho Primero). Adicionalmente, consta que el reclamante modificó a través de la entidad Caixabank Consumer Finance, E.F.C., S.A.U., uno de los consentimientos en mayo de 2018, no admitiendo el tratamiento de datos (aporta un correo electrónico interno de 28/11/2019, que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/177 informa sobre esta modificación: “el consentimiento 1 llegó a “no firmado” de la empresa 6 (CCF), se firmó en mayo de 18. Los consentimientos del 3 al 6 se firmaron con el ALF00017 (momento ganador) en enero de 18. El 7 no se firma en el ALF00017, por lo que está pendiente de firmar”). Se incorpora al Acta de Inspección captura de pantallas de los sistemas de la información de CAIXABANK correspondientes a los datos del reclamante, consentimientos actuales, el contrato de cláusulas LOPD de 24 de enero de 2018 y justificación del cambio de los consentimientos otorgados para el tratamiento de datos: . La consulta sobre los datos del cliente, en su primer apartado “Lista operativa”, detalla los productos contratados y una reseña de sus datos personales (nombre, NIF, fecha de nacimiento, idioma, teléfonos y la imagen de su DNI. Incluye dos indicaciones: “Programa Family: No cumple por ingresos” y “Contrato Marco Resolver”. En el apartado “Persona” se detallan los datos personales, actividad económica y fiscalidad. Contiene, además, subapartados relativos a imágenes digitales (DNI y firma), alertas (“Edición contrato marco Resolver”), Consentimientos comerciales (Tratamiento de datos No admite, publicidad telemarketing Si admite, publicidad medios electrónicos Si admite, publicidad postal Si admite, publicidad contacto gestor Si admite, cesión de datos “Autorización/revocación tratamientos mediante la edición del contrato marco…”), histórico de consentimientos (“Último movimiento 16/10/2019”), Derecho de acceso, revocación, rectificación… (sin anotaciones). En el apartado “Documentos” se accede al “Contrato cláusulas LOPD” de 24/01/2018. En el subapartado “Digitalización” constan marcadas las casillas Línea abierta, Oficina, Cajeros y Telemarketing. SEXTO: Con fecha 07/01/2020, por los Servicios de Inspección de la Agencia se accede a la web caixabank.es, al apartado “Privacidad”, y se incorpora a las actuaciones el documento denominado “Tratamientos de datos de carácter personal en base al interés legítimo”. El contenido íntegro de este documento consta reproducido en Anexo VI. SÉPTIMO: Con fecha 26/12/2019, por la Subdirección General de Inspección de Datos se accede a la web de CAIXABANK (“caixabank.es”) y se obtiene información disponible sobre la entidad. En la “información corporativa” que consta en el apartado “Quienes somos” de dicha web se declara “líder en banca minorista Ibérica”, con 15,7 millones de clientes, 37.440 empleados, un 29,3% de cuota de penetración de particulares en España y 386.622 MM€ de activos totales. Se obtiene, asimismo, información financiera, de la que cabe destacar la relativa a la Cuenta de Resultados, que “a 30/09/2019” refleja un “Margen de explotación” de 2.035 millones de euros. Según la información que consta en el Registro Mercantil Central, el “Capital suscrito” asciende a 5.981.438.031,00 euros. OCTAVO: Con fecha 21/01/2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad CAIXABANK, de conformidad con lo previsto en el artículo 58.2 del RGPD, por la presunta infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.
- b)del citado Reglamento; por la presunta infracción del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/177 artículo 6 del RGPD, tipificada en el artículo 83.5.
- a)del citado Reglamento; y por la presunta infracción del artículo 22 del RGPD, tipificada en el artículo 83.5.
- b)del RGPD; determinando que la sanción que pudiera corresponder ascendería a un total de 6.500.000,00 euros (2.000.000, 4.000.000,00 y 500.000 euros, respectivamente), sin perjuicio de lo que resulte de la instrucción. Las actuaciones reseñadas en los Antecedentes de este acto tienen por objeto analizar la información ofrecida con carácter general por parte de CAIXABANK en materia de protección de datos personales, a través de todos los canales empleados por la entidad (“Contrato Marco” y del “Contrato de Consentimientos” -“Autorización revocación para el tratamiento de datos de carácter personal con finalidades comerciales por CaixaBank, S.A. y empresas del grupo CaixaBank”-, la “Política de Privacidad” accesible a través de la web de la entidad y la información ofrecida en relación con los datos personales de redes sociales y servicio de agregación); los distintos tratamientos de datos personales que lleva a cabo la entidad conforme a la información ofrecida, en relación con clientes o personas que mantengan cualquier otra relación con la misma, incluido el análisis de los mecanismos empleados para recabar la prestación del consentimiento de los interesados; así como el cumplimiento por parte de la citada entidad del resto de principios relativos al tratamiento establecidos en el artículo 5 del RGPD. Los motivos que fundamentan las imputaciones indicadas son, sucintamente, los siguientes:
- a)Infracción de los artículos 13 y 14 del RGPD: . La información ofrecida en los distintos documentos y canales no es uniforme. . Empleo de una terminología imprecisa para definir la política de privacidad. . Insuficiente información sobre la categoría de datos personales que se someterán a tratamiento. . Incumplimiento de la obligación de informar sobre la finalidad del tratamiento y base jurídica que lo legitima, especialmente en relación con los tratamientos de datos personales basados en el interés legítimo. . Insuficiente información sobre sobre el tipo de perfiles que se van a realizar, los usos específicos a que se van a destinar. . La información facilitada sobre el ejercicio de derechos, posibilidad de reclamar ante la Agencia Española de Protección de Datos, existencia de un Delegado de Protección de Datos y sus datos de contacto, así como la relativa a los plazos de conservación de datos no es uniforme.
- b)Infracción del artículo 6 del RGPD: . Insuficiente justificación de la base jurídica del tratamiento de datos personales, especialmente en relación con los basados en el interés legítimo. . Incumplimiento de los requisitos establecidos para la prestación de un consentimiento válido, en tanto que manifestación de voluntad específica, inequívoca e informada. . Deficiencias en los procesos habilitados para recabar el consentimiento de los clientes para el tratamiento de sus datos personales. . Cesión ilícita de datos personales a empresas del Grupo CaixaBank. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/177
- c)
- b)Infracción del artículo 22 del RGPD: invalidez del consentimiento prestado por los clientes para los tratamientos de datos regulados en este artículo. Asimismo, a los efectos previstos en el artículo 58.2.
- d)del RGPD, en dicho acuerdo de inicio se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición a la entidad CAIXABANK de la obligación de adoptar las medidas necesarias para adecuar a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos prestan su consentimiento para la recogida y tratamiento de sus datos personales, con el alcance expresado en los Fundamentos de Derecho del repetido acuerdo y sin perjuicio de lo que resulte de la instrucción. NOVENO: Notificado el citado acuerdo de inicio, CAIXABANK presentó escrito de alegaciones en el que solicita que se declare la inexistencia de infracción y, subsidiariamente, la anulación del procedimiento por caducidad y prescripción descritas en la alegación quinta; o, en su defecto, se acuerde el apercibimiento o la imposición de la cuantía de la sanción correspondiente en su grado mínimo. En síntesis, la citada entidad basa su petición en las consideraciones siguientes: 1. El acuerdo de apertura no refleja de forma correcta los procedimientos que sigue la entidad para informar y solicitar el consentimiento de sus clientes.
- a)Sobre esta cuestión previa realiza dos precisiones iniciales, para aclarar, por un lado, que sus alegaciones están referidas de forma simultáneamente a los procesos de alta presencial y online, salvo que se indique lo contrario expresamente, que siguen la misma operativa en cuanto a la información ofrecida y recogida de consentimientos, una a través del dispositivo del cliente y otra a través de la Tablet que la oficina pone a disposición del cliente, que opera libremente sirviéndose de esta herramienta. Asimismo, advierte que CAIXABANK y el Grupo CaixaBank operan bajo el mismo concepto de marca, siendo aquella entidad el eje vertebrador del Grupo, de modo que el cliente interactúa con todas las entidades a través de los distintos canales de CAIXABANK, como comercializadora de todos los productos, según se explica en la información corporativa que se ofrece en la web, en el apartado “¿Quiénes somos?”. Este esquema se traslada a las diversas facetas del tratamiento de datos, incluida la gestión de los consentimientos para tratamientos con finalidades comerciales, que se realiza de forma centralizada. Entiende que no sería operativo gestionar separadamente los consentimientos para tratamientos que van a llevarse a cabo de forma conjunta en el contexto de las actividades del Grupo para un mismo fin con los mismos medios, en relación con datos de los que las entidades del Grupo son corresponsables. (…) Se trata, además, de una necesidad regulatoria exigida por el Banco Central Europeo (…) y necesaria igualmente para cumplir obligaciones legales que deben apoyarse en la capacidad del Grupo de gestionar información de sus clientes de forma coordinada, establecida en normas como la Ley de Economía Sostenible, de Contratos de Crédito al Consumo o de Prevención del Blanqueo de Capitales y de la financiación del Terrorismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/177 Como consecuencia de la adopción de este modelo de “repositorio común”, que fue analizada en una Evaluación de Impacto, se implementaron varias medidas. Entre ellas: . Informar a los interesados que el consentimiento se otorgaba a nivel de Grupo, a todos los efectos, de modo que si no se presta para una entidad ninguna de ellas podría tratar los datos; . Gestión centralizada de los derechos de protección de datos, siendo posible ejercerlos ante una entidad o todas, justificada por la normativa sectorial que obliga a prevenir el fraude, blanqueo de capitales y control de riesgos; . Revocación del consentimiento también a nivel de Grupo (la retirada del consentimiento a un tratamiento con finalidad comercial a una entidad lo supone también para el resto).
- b)Sobre el proceso de alta del cliente, la información y decisiones sobre el tratamiento de los datos personales, destaca que esa decisión es libre para el cliente y no está predefinida. Esta fase de información/decisión en oficina se articula mediante una entrevista entre el empleado y el cliente pautada, con un contenido que tiene que abordarse necesariamente y que se formaliza con la firma del “Contrato Marco”, cuya primera versión con referencias al RGPD es de junio de 2018 y no noviembre. Durante la entrevista, tras recabar los datos identificativos, fiscales, regulatorios y económicos del cliente, se le consulta sobre sus preferencias y se le pide que las marque por sí mismo en la Tablet que se le facilita, en la que puede leer y analizar la información proporcionada durante el tiempo que considere necesario, y puede realizar consultas al empleado, que ha recibido formación para ello. El resultado de ello se incorpora a un archivo en formato pdf que genera el sistema de forma individualizada y única para cada cliente, que incluye en su parte inicial sus declaraciones respecto del tratamiento de sus datos personales. Teniendo en cuenta que este documento ya contiene las particularidades y preferencias del cliente, no incluye casillas de selección, lo que no debe llevar al error de pensar que dicho “Contrato Marco” no permite al cliente escoger cómo se tratarán sus datos personales. De hecho, técnicamente, el contrato no puede generarse sin que el cliente se haya pronunciado en un sentido u otro. Además, el interesado puede revisar la copia del contrato que se muestra en la Tablet, comprobar que incluye sus autorizaciones o consentimientos, pedir su modificación y firmarlo una vez esté conforme con lo reflejado en el mismo. Durante este proceso de obtención de los consentimientos, el cliente es informado sobre su significado de manera clara, sencilla y transparente, puede formular preguntas al empleado y examinar la versión propia del “Contrato Marco”. Para el alta online la operativa es esencialmente igual. En este caso, el cliente marca las casillas en su dispositivo, después de leer el significado de sus elecciones en ventanas informativas que el sistema le obliga a abrir, según se constató en inspección de 28/11/2019; puede igualmente revisar el documento y firmarlo si está conforme, o eliminarlo en otro caso. Además, aunque el “Contrato Marco” es el eje principal de la relación con el cliente, éste dispone de información complementaria en la “Política de Privacidad”, en un lenguaje adaptado al medio, más sencillo y amigable; así como en los contratos específicos de los productos o servicios que contrate. Estos contratos específicos incorporan condiciones concretas o particularidades que conlleva el nuevo producto o servicio, pero se disponen sobre la base del “Contrato Marco”, al que complementan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/177 En los casos concretos de los contratos de redes sociales y agregación, a los que se refiere el acuerdo de apertura del procedimiento, señala que no son representativos, por el escaso número de clientes que los han solicitado. Este carácter meramente complementario explica que la información sea reducida, dado que se trata de clientes que fueron informados en virtud del “Contrato Marco”. En cuanto al contrato de redes sociales, advierte que la página de acceso al servicio lleva meses suspendida y a la fecha del escrito de alegaciones no es accesible. En relación con lo expuesto, CAIXABANK aporta circulares y normas internas relativas a la información de protección de datos y prestación del consentimiento, así como algunos ejemplos de la formación impartida a los empleados en relación con esta materia y los procesos de alta de clientes en particular, que se actualiza y complementa mediante circulares. Aporta dos documentos con los rótulos “Norma 47: Confidencialidad y tratamiento de datos de carácter personal” y “Norma 122: Prevención de blanqueo de capitales y de la financiación del terrorismo”, así como algunas circulares; todos ellos dirigidos a empleados de la entidad. El primero de los documentos citados incluye, entre otros, apartados sobre el RGPD, obligaciones y principios del tratamiento, ejercicio de derechos, finalidades y comunicaciones de datos. Destacamos los aspectos siguientes: (…) Aporta dos circulares, de fechas 26/11/2019 “El cliente cumplimentará el tratamiento de sus datos personales” y 17/07/2019 “Resuelve tus dudas sobre las preguntas del Contrato Marco. Estas son algunas de las respuestas a las preguntas del Contrato Marco”. (…) Aporta, asimismo, un documento rotulado como “El Reglamento General de Protección de Datos”, también dirigido a empleados. En este documento se explican líneas básicas de la normativa y se plantean a los empleados diferentes supuestos en esta materia. Finalmente, en relación con las cuestiones mencionadas en este apartado, acompaña impresión de pantallas correspondientes al área personal de un cliente, para justificar que en la misma no figura el enlace a “Mis datos de redes sociales”.
- c)El contrato de consentimientos se utiliza para documentar la modificación de los consentimientos fuera del proceso de alta. En este caso no se requiere la firma por el cliente del “Contrato Marco”, que está diseñado para ser firmado una sola vez, salvo excepciones. Solo se presentan los textos relacionados con las circunstancias para las que se les solicita el consentimiento o que desee modificar o revocar. Se trata de un documento único y claro centrado en aquello que el cliente quiere cambiar.
- d)Como conclusión a lo indicado en este punto, CAIXABANK reitera que los diversos documentos con que cuenta para regular el tratamiento de los datos personales se utilizan en momentos y escenarios distintos, y no de forma simultánea. La experiencia del cliente es la de recibir un único documento; lo contrario a la imagen de desorganización y confusión que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/177 AEPD parece tener. 2. CAIXABANK ha informado a los interesados en los términos previstos en los artículos 13 y 14 del RGPD.
- a)Alega que cumple lo establecido en el artículo 13 del RGPD, tanto en contenido como en forma, según el procedimiento que ha descrito. El procedimiento es directo y sencillo, no responde a la imagen confusa que refleja el Acuerdo de Inicio, ofrece información completa y separada, paso a paso y de forma intuitiva. Por otro lado, la información ofrecida en el “Contrato Marco” detalla la identidad del responsable, datos de contacto del DPD, fines del tratamiento y base jurídica, tratamientos basados en el interés legítimo, plazos de conservación, derechos, revocación del consentimiento, posibilidad de presentar una reclamación ante la AEPD, comunicaciones de datos, existencia de decisiones automatizadas, e incluye un enlace a la “Política de Privacidad”. Sobre el resto de documentos (“Política de Privacidad”, contratos de productos y servicios y “Contrato de Consentimientos”), señala CAIXABANK que, considerando que el “Contrato Marco” informa sobre los extremos exigidos por el RGPD, no es necesario que vuelvan a reproducirlos. Estos otros documentos no tienen por objeto cumplir lo mandado por el artículo 13 de dicho Reglamento, ya que se dirigen a clientes ya informados.
- b)CAIXABANK no lleva a cabo, en el marco de los establecido en el “Contrato Marco”, tratamientos que conlleven decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles. Refiere la entidad alegante la clasificación realizada por el Grupo de Trabajo del Artículo 29, conformadas por el Comité Europeo de Protección de Datos, en las Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del RGPD, que distingue las siguientes formas de utilizar la elaboración de perfiles (Directrices WP251): “Existen tres posibles formas de elaborar perfiles:
- i)
- i)
- ii)Elaboración de perfiles general; decisiones basadas en la elaboración de perfiles; decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que producen efectos jurídicos en el interesado o le afecten significativamente de modo similar (artículo 22, apartado 1). La diferencia entre
- ii)y iii) se observa mejor con los siguientes ejemplos en los que una persona solicita un préstamo a través de internet: . el caso en el que un ser humano decide si aprueba un préstamo sobre la base de un perfil elaborado únicamente mediante el tratamiento automatizado corresponde a la opción ii); . el caso en el que un algoritmo decide si el préstamo debe aprobarse y la decisión se traslada automáticamente a la persona en cuestión, sin ninguna evaluación previa y significativa por parte de un ser humano, corresponde a la opción iii)”. CAIXABANK simplemente elabora perfiles generales (opción
- i)y toma decisiones en base a perfiles (opción
- ii)de las enumeradas en las Directrices. Por ello, no es aplicable el artículo 22 del RGPD y tampoco el deber de información incluido en el artículo 13.2
- f)del mismo texto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/177 legal. Aun así, CAIXABANK informa voluntaria y adecuadamente a los interesados de los extremos previstos en el último artículo citado en cumplimiento de las recomendaciones establecidas en aquellas Directrices, que determinan: “Aunque la decisión automatizada y la elaboración de perfiles no cumplan la definición del artículo 22, apartado 1, seguirá siendo aconsejable ofrecer dicha información. En cualquier caso, el responsable del tratamiento debe ofrecer suficiente información al interesado para que el tratamiento sea leal y cumpla el resto de requisitos de información de los artículos 13 y 14”. En consecuencia, aunque no está obligada a ello, por transparencia y voluntariamente, informa de todos los extremos previstos en el artículo 13.2
- f)y 22 del RGPD: . En la Clausula 8 del “Contrato Marco” se informa a los interesados de su derecho a obtener intervención humana en los tratamientos, a expresar su punto de vista, a obtener una explicación de la decisión tomada en base al tratamiento automatizado y a impugnar dicha decisión; es decir, se informa en la línea de lo previsto en el artículo 22.3 del RGPD, a pesar de no ser necesario. . En línea con lo previsto en el artículo 13.2 f), se informa sobre la existencia de perfilado, la importancia del tratamiento (muy menor al estar basada en el consentimiento) y la consecuencia para el interesado (“Si lo autorizo, las ofertas que se me remitan estarán adatadas a mi perfil”). . En relación con la lógica aplicada, la actuación de CAIXABANK concuerda con las recomendaciones de la AEPD publicadas en la “Guía de Adecuación al RGPD de tratamientos que incorporan inteligencia artificial. Una introducción”. Manifiesta que CAIXABANK coincide en que “cumplir con esta obligación ofreciendo una referencia técnica a la implementación el algoritmo puede ser opaco, confuso, e incluso conducir a la fatiga”. Por ello, facilita en la Cláusula 8 (
- i)del “Contrato Marco” una descripción de las distintas operaciones que lleva a cabo y que “permita entender el comportamiento del tratamiento”. . Considera que no es aplicable la obligación de informar sobre el derecho de oposición, por cuanto no se toman decisiones basadas únicamente en el tratamiento automatizado. Añade que, no obstante, en distintos lugares advierte que el interesado puede retirar su consentimiento e informa de manera genérica sobre el derecho de oposición en el apartado que versa sobre los derechos de protección de datos.
- c)Informa sobre el contenido previsto en el artículo 14 del RGPD, a pesar de que la Agencia considere que se incumple esta exigencia de manera significativa en relación con los datos “complementados y enriquecidos” por datos obtenidos de otras fuentes. Señala que, como ya explicó en el expediente E/01475/2018, que CAIXABANK considera caducado, únicamente complementaba datos con bases que en aquel momento no estaban sujetas a la LOPD, obtenidos de empresas proveedoras de información comercial, fuentes públicas y con datos estadísticos y socioeconómicos. (…) Actualmente, se informa sobre las fuentes y categorías de datos en la Cláusula 8 del “Contrato Marco”, aunque la entidad está trabajando para actualizar sus cláusulas informativas y ganar aún más transparencia en este punto. Además, se informa que la recogida de datos de terceros se realizará verificando que cumplen los requisitos establecidos, lo que se garantiza mediante el proceso de Evaluación de impacto, recientemente compartido con la Agencia. La aplicación de ese protocolo garantiza que cualquier hipotética adquisición de base de datos conlleve medidas para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/177 informar a sus titulares.
- d)las afirmaciones sobre la vaguedad y falta de claridad de la información realizadas por la Agencia son subjetivas y constituye una mera opinión carente de fundamento y sin prueba que determine esa falta de claridad de los términos empleados o que muestre lo que comprenden o no los clientes, que no es extrapolable a la generalidad de interesados y no puede ser tomada como criterio de lo que constituye información comprensible o no. Por el contrario, CAIXABANK si realiza de manera periódica test con usuarios y especialistas para garantizar que sus procesos de alta son sencillos y transparentes, de los que surgen iniciativa que se ponen en producción. En 2018 encargó a la entidad externa especializada en lingüística una revisión de distintos documentos contractuales con el fin de verificar qué podía entenderse sin dificultad para un perfil del cliente medio. Uno de estos documentos analizados fue el “Contrato Marco”, sobre el que plantearon dudas y sugirieron modificaciones menores, concluyendo que el texto era comprensible por el cliente medio (cita un ejemplo referido a la información sobre cesión de datos a terceros, en el que la citada empresa redujo el formato original sin cambiar el sentido del texto). Estos trabajos se encuentran suspendidos hasta que pueda evaluarse el impacto de este procedimiento. Otro elemento que no ha sido considerado es el escaso volumen de reclamaciones (dos casos).
- e)Por otra parte, la AEPD critica la falta de uniformidad entre los distintos documentos de CAIXABANK, en relación con los derechos de los interesados, la posibilidad de reclamar ante la Agencia, el período de conservación, los datos de contacto del DPD. No obstante, entiende CAIXABANK que el deber de información se cumple con el “Contrato Marco” y no con el resto de documentos, que son meramente complementarios. No son uniformes porque persiguen fines específicos y las diferencias se producen mientras se actualizan los documentos en cuestión.
- f)Sobre la falta de motivación del período de conservación de seis meses posterior a la finalización de la relación contractual, manifiesta que se trata de una medida autoimpuesta para proteger a sus clientes. Considera que el consentimiento para finalidades comerciales podría haberse configurado como vigente hasta su revocación, a diferencia de los tratamientos de datos en base a la relación contractual, a cuyo término opera lo dispuesto en los artículos 17 RGPD y 32 LOPDGDD. En los tratamientos basados en el consentimiento, las normas de estos artículos operarían con su revocación, no en función del paso del tiempo. Señala, además, que las Directrices sobre transparencia del GT29 y la Guía de la AEPD no indican ni recomiendan informar sobre las razones que motivan un plazo de conservación. Por último, manifiesta que la diferencia de plazo (6 meses en unos casos y doce en otros) está motivada porque cada cliente tiene un contrato, lo que significa que para cada cliente existe un único plazo de conservación. Si bien, admite que la situación no es deseable e informa que está en vías de unificación.
- g)Respecto del contrato de agregación, informa que ha sido actualizado. Considera correcta la indicación sobre la imposibilidad de ofrecer el servicio en caso de retirada del consentimiento, por cuanto en ese caso se vería frustrado el objeto del contrato, que consiste, precisamente, en el acceso a datos de otras cuentas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/177 Además, es el cliente el que elige las fuentes de las que se obtiene información al seleccionar las cuentas que desea agregar y se informa sobre las categorías de datos obtenidas, que son aquellos incluidos en esas cuentas. No comparte la indicación recogida en el acuerdo de apertura sobre el sentido que da la Agencia a la recogida de información que conlleva este servicio y destaca que el mismo está sometido a normas regulatorias, en concreto, el artículo 39 del Real Decreto-ley 19/2018, según el cual el prestador del servicio no utilizará, almacenará o accederá a ningún dato para fines distintos de la prestación del servicio y de conformidad con las normas de protección de datos. La utilización de los datos con fines comerciales solo se realizará si el interesado ha consentido dicho uso, según está previsto en el “Contrato Marco”. Entiende CAIXABANK que lo novedoso del servicio parece haber confundido a la Agencia, cuando el mecanismo es exactamente igual al de una cuenta corriente (los datos que se generan en el extracto de cuenta se usan con finalidades comerciales si el cliente lo autoriza). En el nuevo modelo de Contrato que acompaña se indica lo siguiente: (…) 3. CAIXABANK solicita y obtiene el consentimiento libre, informado, específico e inequívoco de los interesados. Interés legítimo.
- a)En la actualidad, el consentimiento se solicita con total transparencia, según el procedimiento antes descrito, para cuatro finalidades: . Actividades de perfilado: se informa claramente sobre este consentimiento y las operaciones que se llevan a cabo con esta finalidad, con la motivación de ser transparentes en relación con lo que implica perfilar. . Oferta comercial: recibir publicidad y ofertas comerciales, con opción a marcar el canal a través del cual se desea recibir las ofertas. . Cesión a terceros: considera que esta finalidad es auto-explicativa y advierte que no ha llevado a cabo ninguna cesión. . Uso de datos biométricos para verificar la identidad y firmar: se trata de una cláusula dinámica. Alega que la cláusula sobre el tratamiento de datos a que se refiere la Agencia, incluida en la versión del contrato firmada el 06/11/2019 corresponde al canal presencial, mientras que la plantilla facilitada se centraba en el canal online.
- b)Los tres consentimientos que se recaban con finalidad comercial (perfilados, envío de comunicaciones comerciales y cesión de datos) son independientes y se prestan libremente por el interesado mediante un acto afirmativo que refleja una voluntad libre, específica, informada e inequívoca. El consentimiento es libre porque puede elegirse si se presta o no, se presenta en una parte diferenciada y se da la oportunidad de analizar y marcar las casillas correspondientes por sí mismo, habiéndose establecido un procedimiento igual de fácil para retirarlo; es específico porque se otorga para fines bien definidos y delimitados; es inequívoco, considerando la acción de marcar deliberadamente la casilla mediante la que consiente el tratamiento con los fines indicados; y es informado porque se ha proporcionado toda la información suficiente según las Directrices sobre el consentimiento del Grupo de Trabajo del Artículo 29 y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/177 Considerando 42 del RGPD.
- c)Sobre la información que facilita en torno a los consentimientos, CAIXABANK considera que la AEPD afirma que los clientes no son conscientes del hecho de que dan su consentimiento y la medida en que lo hacen sin motivar esta afirmación y sin prueba alguna, y tampoco prueba que falten ninguno de los elementos que integran la información. En todo caso, a efectos aclaratorios, destaca que existen tratamientos sobre los que se informa en el “Contrato Marco” que no se han llevado a cabo en la práctica (el caso más evidente, el relativo a las cesiones a terceros, ya mencionado) y que, por tanto, no pueden considerarse para apreciar infracción alguna. Entre las operaciones relativas al perfilado se incluyen tratamientos como consecuencia de que la cláusula se redactó en 2016, cuando no se disponía de criterios claros sobre la interpretación del RGPD, cuando lo cierto es que algunos de los tratamientos devienen en obligaciones legales (control de fraudes y gestión de riesgos) o son necesarios para la relación contractual (seguimiento de la relación o adopción de medidas recuperatorias). La información puede ser mejorable al explicar en qué consiste “perfilar”, pero esto no invalida el consentimiento. De hecho, suprimiendo parte de la información, queda más claro aún que solo se pide autorización para perfilar. Detalla el siguiente ejemplo de cláusula reducida: (…) No se ha producido una falta de información, sino, en todo caso, un exceso de información, pero no se esconden tratamientos disfrazados. Se pretende, simplemente, explicar qué es “perfilar” con finalidad comercial. Por tanto, en relación con esta cláusula no se requieren casillas adicionales para recabar otras autorizaciones. El hecho de que alguna información sea mejorable no debería llevar aparejada una sanción, sino tal vez el apercibimiento para la implementación de ciertos cambios. A la vista de estas posibles mejoras, CAIXABANK se encuentra en un proceso de autoevaluación para mejorar sus textos y clarificar sus finalidades y bases legales, así como para eliminar tratamientos que no se llevan a cabo. Y está planificando un proceso de comunicación personalizado a la totalidad de clientes en el que se recuerden los consentimientos otorgados y se explique de nuevo el significado de los mismos mediante una cláusula depurada de errores y mejorada.
- d)También en relación con las operaciones de perfilado, se refiere CAIXABANK a la agrupación de consentimientos discutida por la Agencia. Indica que ha diseñado sus consentimientos para las cuatro finalidades señaladas, describiendo las distintas operaciones de tratamientos de cada finalidad, sin buscar un consentimiento en bloque que cubra una finalidad que sorprenda al cliente. Lo que la entidad pretende, indica, es facilitar su comprensión y detalle, en forma ajustada a lo establecido en el Considerando 32 del RGPD (“El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines”); así como a lo indicado por la Agencia en el punto 2.4.1 de las Consultas Frecuentes (FAQS) y en el “Informe sobre políticas de privacidad en Internet, adaptación al RGPD” (página 4). Si se analiza la Cláusula 8 (
- i)del “Contrato Marco”, llevando a cabo las depuraciones que se han indicado antes, se observa que las operaciones que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/177 indican son matices de un mismo perfilado.
- e)CAIXABANK es el Grupo CaixaBank. La forma en la que ha sido articulado este Grupo responde a motivos regulatorios, según se indicó anteriormente. Las entidades que lo integran, desde la entrada en vigor del RGPD han ostentado una suerte de responsabilidad compartida sobre los datos que se recogen y tratan en el contexto de sus actividades. Así, resultaría absurdo solicitar consentimientos diferentes para tratamientos que van a llevarse a cabo conjuntamente en el contexto de las actividades del Grupo para un mismo fin y con los mismos medios, en relación con datos de los que todas las entidades del Grupo son responsables. Lo contrario supondría un mayor riesgo para los interesados que perderían el control real de los mismos. Dada la responsabilidad compartida, carece de sentido solicitar un consentimiento separado para la “cesión de datos” a otras entidades que, a efectos regulatorios, estratégicos y operativos son igualmente responsables. No hay una finalidad propia en la cesión, al ser todas las entidades responsables directas y conjuntas. Por ello, el consentimiento es conjunto y por finalidad. En lugar de confundir con construcciones extrañas, se plantea al cliente una pregunta sencilla: si quiere o no que el Grupo trate sus datos con finalidad comercial. El interesado es libre de aceptarlo o no. Esta opción de “todas o ninguna” no limita la capacidad de decidir del cliente. Es simplemente consecuencia de la estructura societaria del Grupo y de sus obligaciones regulatorias.
- f)En relación con el tratamiento de datos con finalidades comerciales en base al interés legítimo, CAIXABANK aclara la operativa que sigue desde la aplicación de RGPD en mayo de 2018, (…) los datos de aquellos clientes que no han consentido el tratamiento de sus datos con finalidades comerciales, o ha revocado el consentimiento prestado anteriormente para ello, tampoco son tratados en base al interés legítimo. Para clientes anteriores a esa fecha, distingue entre los que firmaron el “Contrato Marco” o el de consentimientos, (…) y aquellos a los que se preguntó y no ha contestado, que son los únicos clientes cuyos datos son utilizados en base al interés legítimo (hasta que el cliente firma el contrato). Así, el tratamiento en base al interés legítimo queda reducido a casos marginales, como una situación temporal. Además, elaboró una evaluación de impacto y decidió no enviar el “Contrato de Consentimientos” a aquellos clientes pre-RGPD que, sin tener firmado el “Contrato Marco”, ya habían expresado el “No”. Añade que las afirmaciones que realiza la AEPD no son ciertas. Sobre esto, señala que ha realizado una evaluación de impacto sobre todos los tratamientos que realiza con esta base legitimadora y, dentro de esa evaluación, ha realizado el juicio de ponderación entre el interés legítimo de la entidad y los derechos de los interesados; en segundo lugar, aclara que la política descrita evita que puedan realizarse tratamientos en base al interés legítimo que hubiesen sido negados por el titular de los datos. Equipara la revocación del consentimiento a la oposición al tratamiento para aquellos casos en los que CAIXABANK puede realizar tratamientos en base a su interés legítimo (como, por ejemplo, la AEPD analiza y valora en su Informe 195/2017, y según informa en la cláusula 7 y en su página web (véase el Hecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/177 Quinto del Acuerdo de Inicio). En el citado Informe Interés Legítimo del Acta del Comité de Privacidad de CAIXABANK, de 15/05/2018, se indica: (…)
- g)Sobre los consentimientos con las finalidades indicadas en el Contrato de Agregación y los Términos de Redes Sociales, advierte que en estos documentos adicionales se informa del consentimiento, pero no se obtiene uno nuevo; el consentimiento se otorga en el “Contrato Marco”. Este hecho ha sido confundido por la AEPD, al entender que en dichos contratos se otorga un consentimiento separado 4. Se solicita el consentimiento para el perfilado con fines comerciales; y no para la adopción de decisiones automatizadas, que no se producen en este contexto. Según CAIXABANK, la presunta infracción del artículo 22 del RGPD se basa en un supuesto erróneo, por cuanto no adopta decisiones automatizadas con fines comerciales que producen efectos jurídicos significativos en los titulares de los datos basadas en la ejecución de tratamientos automatizados. Simplemente se elaboran perfiles generales y toma decisiones en base a perfiles (opción (
- i)y (
- ii)de las Directrices WP251). A este respecto, se remite a las alegaciones ya realizadas sobre el deber de información y la validez del consentimiento otorgado y alega que la Agencia ni siquiera ha probado que efectivamente CAIXABANK esté llevando a cabo estos tratamientos. 5. Subsidiariamente, alega CAIXABANK la nulidad del Acuerdo de Inicio por caducidad de las actuaciones previas número E/01475/2018 y porque sanciona infracciones que estarían prescritas conforme a la LOPD. La AEPD se sirve de unas actuaciones previas iniciadas en enero de 2018 que fueron archivadas por caducidad, las cuales se incorporan a otras nuevas mediante un simple “encadenamiento” que convierte las actuaciones de la AEPD en perennes, en contra de lo perseguido por el artículo 122 de Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007. Estas actuaciones número E/01475/2018 se iniciaron en enero de 2018, a raíz de una denuncia, y fueron archivadas por caducidad el 1 de febrero de 2019. Sin embargo, cuando se iniciaron las actuaciones previas de investigación señaladas con el número E/01481/2019, que desembocaron en el acuerdo de inicio del presente procedimiento sancionador, una de las primeras acciones fue integrar las mencionadas actuaciones caducadas. Esta acción deja patente que lo que se persigue con este procedimiento es enjuiciar y resolver aquellos hechos pasados que dieron lugar a las actuaciones caducadas, que se prolongaron artificiosamente hasta dos años, casi duplicando el límite de doce meses señalado en el RLOPD. Además, los hechos analizados en las previas E/01475/2018, de ser infracciones habrían prescrito en los términos previstos en la LOPD aplicable en enero de 2018. Ello sería el caso de las infracciones consideradas leves bajo la LOPD. Esta conducta supone un fraude de ley (artículo 6.4 del Código Civil), al escudarse la AEPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/177 en una actuación aparentemente legal para lograr un resultado prohibido por el ordenamiento jurídico; es contraria al artículo 95.3 LPAC; y conlleva la nulidad del acuerdo de inicio y del procedimiento, procediendo su archivo. 6. También de forma subsidiaria, solicita que se imponga una sanción de apercibimiento o, de no considerarse dicha petición, que se sancione dentro de la escala prevista en los apartados cuarto y quinto del artículo 83 del RGPD.
- a)Considera aplicables los siguientes criterios de graduación en calidad de atenuantes: . Las medidas tomadas por el responsable (artículo 83.2.
- c)del RGPD): CAIXABANK ha realizado un importante esfuerzo a lo largo de los últimos años, especialmente desde la entrada en vigor del RGPD, para proporcionar a sus clientes la información pertinente, incluso disponiendo la intervención de terceros para verificar la adecuación de los textos legales. Este esfuerzo queda patente con la implementación de las medidas recomendadas por FACUA (aporta copia de correos electrónicos relativos a las acciones llevadas a cabo para atender las recomendaciones de esta entidad) y por las acciones que tiene previstas para afianzar la información, que contemplan la elaboración de una nueva versión del “Contrato Marco” y el envío a sus clientes de una comunicación para recordar los consentimientos otorgados y su significado, así como la posibilidad de revocarlos o modificarlos; en una clara voluntad de reparar los posibles errores de enfoque que puedan haberse producido. . El grado de cooperación con la autoridad de control con el fin de poner remedio a la situación y mitigar los posibles efectos adversos (artículo 83.2.
- f)del RGPD). CAIXABANK ha mostrado su disposición a colaborar y a la puesta en marcha de medidas dirigidas a solventar las posibles carencias, indicadas en el propio escrito de alegaciones. Indica como muestra de esta disposición la atención prestada por el DPD a la reclamación formulada por FACUA y la información facilitada sobre dicha actuación a la AEPD.
- b)LA AEPD omite los criterios antes mencionados y se refiere a una serie de criterios que enumera, sin motivación ni justificación alguna y sin especificar si se aplican como agravantes o atenuantes, lo cual genera indefensión a la entidad. Manifiesta CAIXABANK que, debido a la desproporción de las sanciones, entiende que los criterios mencionados se interpretan por la AEPD como agravantes. Considera dicha entidad que los siguientes criterios chocan con la realidad: . La naturaleza, gravedad y duración de la infracción (artículo 83.2.
- a)del RGPD). Considera que la AEPD pretender poner una sanción elevada por cuestiones que no revisten una especial gravedad, considerando que no estamos ante un supuesto en el que no se haya proporcionado ninguna información, sino que se proporciona toda la información, aunque la AEPD considere que algún aspecto es mejorable; no se tratan categorías especiales de datos. Hasta la fecha, los casos de falta absoluta de información se han sancionado con apercibimiento (PS/00224/2019 o PS/00041/2019), habiéndose impuesto la sanción más alta, por importe de 250.000 euros, para un supuesto mucho más grave (PS/00326/2018). La desproporción en este caso es ostentosa. Además, destaca que bajo la antigua LOPD y la LOPDGDD, a efectos de prescripción, la infracción por falta de información se considera como leve. Sin embargo, la sanción propuesta en el acuerdo de inicio supera las sanciones anteriores impuestas, y resulta radical frente al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/177 nuevo talante adoptado en los últimos tiempos para tratar de buscar una solución colaborativa con las entidades que estuvieran dispuestas y de recurrir al apercibimiento. Destaca, por otra parte, que solo existen dos reclamaciones, que no se ha causado perjuicio a los clientes dado que los tratamientos de datos personales que se realizan son los necesarios para el desarrollo de la actividad y se llevan a cabo conforme a los requisitos exigidos por la normativa, aun cuando algún aspecto pueda ser objeto de mejora. Esta falta de perjuicio es resaltada por el Grupo de Trabajo del Artículo 29 en sus Directrices sobre la aplicación y fijación de multas administrativas (WP253), asumidas por el Comité Europeo de Protección de Datos. Tampoco el denunciante impugnó el archivo de su denuncia, lo que podía haber hecho; y no se han producido otras denuncias ni acciones judiciales. Es decir, no se ha producido daño. . En contra de lo apreciado por la Agencia, considera que el criterio relativo a la intencionalidad o negligencia apreciada en la comisión de la infracción (artículo 83.2.
- b)del RGPD) debe apreciarse como una atenuante por la actuación diligente de la entidad, el establecimiento de procedimientos claros en relación con la información y la prestación de los consentimientos, la formación impartida a los empleados y la colaboración mostrada con la Agencia, adaptando y perfeccionando sus textos. . De apreciarse la comisión de alguna infracción, CAIXABANK no ha obtenido beneficio financiero alguno (artículo 83.2.
- k)del RGPD), mientras que sí supondría, en cambio, un daño reputacional. No monetiza los datos personales de sus clientes, ni como venta con fines comerciales ni para otras acciones. El Grupo CaixaBank tuvo en los primeros nueve meses de 2019 un crecimiento de volumen de negocio (+4,4%), alcanzando los 609.012 millones de euros, que se deben “al impulso comercial y a la mejora de la vinculación” de los clientes (tal y como se indica en nota de prensa adjunta, publicada el 31/10/2019 bajo el título “CaixaBank obtiene un beneficio de 1.266 millones y alcanzo los 6.201 millones de ingresos”). . La Agencia incluye entre los criterios de graduación concurrentes el elevado volumen de datos y tratamientos, entre los que destaca las cesiones a terceros. Sin embargo, estas cesiones no se producen ni se han probado en forma alguna. . No se tratan datos personales de especial sensibilidad, lo que debe apreciarse como una atenuante. . Se dice también en el acuerdo de inicio que CAIXABANK no tiene implementados procedimientos adecuados en la recogida y tratamiento de datos personales, y que la infracción es consecuencia de un defecto del sistema de gestión diseñado. A este respecto, dicha entidad alega que el proceso sistemático y por capas de información y solicitud de consentimientos es ejemplar y otorga al interesado un mayor control. Añade que un posible defecto de información no puede entenderse como un defecto del sistema. . Sobre el grado de responsabilidad del responsable, al que acude la Agencia en relación con la infracción del artículo 6 del RGPD, señala que las medidas tomadas durante los últimos años han ido encaminadas a favorecer la transparencia y al cumplimiento de los principios de protección de datos, como reflejo del principio de responsabilidad proactiva y de privacidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/177 desde el diseño y por defecto. Por ello, este criterio ha de interpretarse como atenuante. Como conclusión, destaca que ha de tenerse en cuenta la colaboración diligente y proactiva, las medidas adoptadas para paliar posibles errores de información, la falta de intencionalidad y que la posible infracción se trataría de cuestiones de información que no revisten una especial gravedad; y en base a ello, conforme a la postura tomada por la AEPD, procedería una sanción de apercibimiento o, de no apreciarse así, una sanción dentro de la escala prevista en los apartado cuarto y quinto del artículo 83 del RGPD. Como propuesta de prueba, indica que pretende valerse de la documental que ya consta en los expedientes de actuaciones previas E/01475/2018, E/03677/2019 y E/01481/2019, así como de la documentación aportada con su escrito de alegaciones. DÉCIMO: Con fecha 02/07/2020 se acordó la apertura del período de pruebas. El escrito remitido en esa fecha a CAIXABANK, a través de su representación, resultó rechazado, según consta en el certificado emitido por el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada. Mediante escrito de 16/07/2020, notificado un día después, se reiteró dicha comunicación a CAIXABANK, informando a dicha entidad que se tiene por reproducida a efectos probatorios la reclamación interpuesta y su documentación anexa, así como los documentos y declaraciones obtenidos por la Subdirección General de Inspección de Datos en relación con dicha reclamación en el trámite de solicitud informativa previa a la admisión a trámite; así como los documentos obtenidos y generados por los Servicios de Inspección. Asimismo, se tuvieron por presentadas las alegaciones al acuerdo de inicio formuladas por CAIXABANK y la documentación que a ellas acompaña. Por otra parte, se acordó requerir a la entidad CAIXABANK para que en un plazo de diez días hábiles aportase la información y/o documentación siguiente: “
- a)Copia del registro de todas las actividades de tratamiento de datos personales efectuadas bajo la responsabilidad de CAIXABANK a las que se hace mención en el formulario de recogida de datos personales denominado “Declaración de actividad económica y política de protección de datos personales”, en su versión inicial, junto con cualquier adición, modificación o exclusión en el contenido del mismo.
- b)Copia de la/s evaluación/es del impacto en la protección de datos personales relativa/s a cualquier tipo de operaciones de tratamiento de datos personales efectuadas bajo la responsabilidad de CAIXABANK, de las mencionadas en el formulario “Declaración de actividad económica y política de protección de datos personales”, que entrañen un alto riesgo para los derechos y libertades de las personas físicas, en su versión inicial y, en su caso, con el detalle de las modificaciones o actualizaciones que pudieran haberse realizado. Asimismo, de haberse producido un cambio del riesgo que representen las operaciones de tratamiento y de haberse estimado necesario, se solicitó el resultado del examen que CAIXABANK haya podido realizar para determinar si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos (artículo 35.11 del RGPD).
- c)Copia de los documentos en los que conste la evaluación realizada por la entidad CAIXABANK sobre la prevalencia o no de los intereses y derechos fundamentales de los interesados frente a los intereses de CAIXABANK en relación con las operaciones de tratamiento de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/177 efectuadas bajo la responsabilidad de CAIXABANK, de las mencionadas en el formulario “Declaración de actividad económica y política de protección de datos personales”, con las que se pretenda la satisfacción de intereses legítimos perseguidos por la propia entidad CAIXABANK o por un tercero”. En atención a lo solicitado por CAIXABANK, el plazo concedido fue ampliado en cinco días hábiles. Con fecha 07/08/2020, se recibió escrito de respuesta al que CAIXABANK acompañó la documentación siguiente: 1. Registro de las actividades de tratamiento de datos personales. (…) 2. Evaluaciones de impacto en la protección de datos personales. (…) 3. Evaluación sobre la prevalencia del interés legítimo de CAIXABANK o de terceros frente a los intereses y derechos fundamentales de los interesados. (…) DECIMOPRIMERO: Con fecha 24/11/2020, se emitió propuesta de resolución en el sentido siguiente: “1. Que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad CAIXABANK, S.A., por una infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.
- b)y calificada como leve a efectos de prescripción en el artículo 74.
- a)de la LOPDGDD, con una multa por importe de 2.000.000 euros (dos millones de euros). 2. Que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad CAIXABANK, S.A., por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
- a)y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- b)de la LOPDGDD, con una multa por importe de 4.000.000 euros (cuatro millones de euros). 3. Que, por falta de evidencias, se declare la inexistencia de infracción en relación con la imputación por una posible vulneración de lo establecido en el artículo 22 del RGPD 4. Que por la Directora de la Agencia Española de Protección de Datos se proceda a imponer a la entidad CAIXABANK, S.A., en el plazo que se determine, la adopción de las medidas necesarias para adecuar a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos deben prestar su consentimiento para la recogida y tratamiento de sus datos personales, con el alcance expresado en el Fundamento de Derecho X” de la propuesta de resolución. DECIMOSEGUNDO: Notificada a la entidad CAIXABANK la citada propuesta de resolución, se recibió en esta Agencia escrito de alegaciones, de fecha 18/12/2020, en el que solicita la anulación del Procedimiento Sancionador por (
- i)la flagrante indefensión producida a esa entidad al conculcar su presunción de inocencia, (
- ii)la quiebra del principio de confianza legítima, (iii) la indefensión materializada en las actividades previas de investigación sin sujeción a garantía alguna y (
- iv)la caducidad del Procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/177 Subsidiariamente, solicita el archivo de las actuaciones por inexistencia de infracción y, en su defecto, que se acuerde el apercibimiento o la imposición de la cuantía de la sanción correspondiente en su grado mínimo. Basa sus peticiones en las consideraciones siguientes: - 1. Conculcación del artículo 24.2 de la Constitución, presunción de inocencia. La presunción de inocencia se quiebra si quien instruye el expediente o quien lo va a resolver no tienen la capacidad de valorar dichas pruebas de manera imparcial, sin ningún tipo de “pre-juicio”, o si han formado su voluntad antes de tener a su vista todos los elementos probatorios. En este caso, las alegaciones a la apertura del procedimiento se presentaron en fecha 04/03/2020. Un día antes, el 03/03/2020, sin haber recibido siquiera las primeras alegaciones de CAIXABANK, en un acto de ISMS Fórum celebrado en Madrid, la Directora de la AEPD, máxima autoridad de la institución y persona competente para resolver el presente expediente y de la que depende jerárquicamente el instructor, señaló públicamente que “Tenemos ya dos o tres procedimientos sancionadores de alto impacto que van a tener mucha repercusión mediática en relación con el sector financiero, serán las primeras multas cuantitativas importantes por parte de la Agencia”. No en condicional, sino como algo que necesariamente va a ocurrir. A juicio de CAIXABANK, es difícil encontrar una mayor muestra de desprecio a la presunción de inocencia. Añade que así consta en el resumen que de esta intervención hizo la prestigiosa publicación El Derecho, Francis Lefebvre. Asimismo, en un tuit de una persona presente en el acto se manifestó que “Mar España anuncia que en breve se harán públicas dos sanciones ejemplarizantes en el sector financiero. Un bombazo” (aporta impresión de pantalla relativa a este tuit). A este respecto, CAIXABANK manifiesta en sus alegaciones que “una sanción ya la conocemos, la de BBVA. Y, o mucho nos equivocamos, o la otra es la nuestra”. Aporta “Acta notarial de comprobación web”, que incorpora la información obtenido mediante el enlace “https:/elderecho.com/los-pensaron-la-aprobacion-la-entrada-vigor-del-rgpd-laproteccion-datos-iria-declive-me-temo-se-equivocaron”. Corresponde a una reseña del “XII Foro de la Privacidad” celebrado el 03/03/2020, organizado por ISM Forum y Data Privacy Institute (DPI). Incluye un apartado sobre la intervención protagonizada por la Directora de la AEPD, en el que se recogen las manifestaciones destacadas anteriormente por CAIXABANK. Ex arts. 24.2, 103. 1 y 3 CE –y art. 6.1 del CEDH-, cualquier procedimiento debería haber estado guiado por la objetividad y la imparcialidad. Conforme indica el TEDH (sic) “la justicia no sólo tiene que aplicarse, sino que también debe ser aparente que se administra” (cfr. De Cubber contra Bélgica 26 de octubre de 1984) y “no sólo debe hacerse justicia, sino parecer que se hace” Sentencia Delcourt de 17 de enero de 1970. En cambio, en este caso, según CAIXABANK, antes de conocer las alegaciones de la entidad, la persona que ha de resolver, lejos de guardar ninguna apariencia de justicia, ya ha decidido (públicamente) sancionar. Conforme al artículo 12.2
- i)del Estatuto Orgánico de la AEPD (RD 428/1993 de 26 de marzo), la Directora de la Agencia tiene la función de “Iniciar, impulsar la instrucción y resolver los expedientes sancionadores referentes los responsables de los ficheros privados”. Es la Directora de la Agencia la que informa aquél impulso instructor y la que determinará la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/177 venidera resolución. Con ello, se ha producido una flagrante conculcación del derecho fundamental a la presunción de inocencia, que debería llevar al inmediato archivo del presente expediente sancionador. - 2. Quiebra de la confianza legítima Se ha producido una quiebra absoluta del principio de confianza legítima (artículo 3 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público -LRJSP), interrelacionado con el principio de buena fe y seguridad jurídica. Este principio comporta que “la autoridad pública no pueda adoptar medidas que resulten contrarias a una razonable esperanza inducida sobre la estabilidad en las decisiones de aquélla, y en función de las cuales los particulares han adoptado determinadas decisiones” (STS 173/2020). En este caso, señala CAIXABANK que las valoraciones de la AEPD se refieren a una estructura documental que fue expresamente comunicada a dicha Agencia poco después de la publicación del RGPD. Concretamente, mediante correo electrónico de 02/08/2016, dirigido al Director Adjunto de la AEPD, en el que se explicaban todos los puntos del “Contrato Marco”. Dicho correo se encabezaba de la siguiente manera “De conformidad con lo hablado, adjunto va el contrato que pretendemos implementar este otoño. Para que sea más comprensible, te acompaño una pequeña explicación de su finalidad y contenido”. Sobre esta consulta, CAIXABANK manifiesta que la AEPD “contesta telefónicamente (obviamente no tenemos grabación), haciendo alguna sugerencia menor (que se implementó), sin que llegara a haber reunión (fue declinada expresamente tal posibilidad). Aquel contrato marco es prácticamente el mismo (si acaso es peor) que el que hoy es presuntamente merecedor de 6 millones de euros de sanción y, lo que casi es más grave, una amenaza de nulidad de todo lo actuado bajo el mismo”. Un año más tarde, también previa conversación, CAIXABANK remite al mismo destinatario una presentación general sobre la implementación de RGPD y vuelve a pedir una reunión, que es nuevamente denegada. En las páginas 11 y 12 de esta presentación vuelve a hacer referencia al “Contrato Marco”, con por ejemplo una clarísima mención al ahora denostado repositorio común de empresas del grupo. 4 años y medio, 2 correos detallados enviados, 2 reuniones denegadas y 14 millones de contactos con clientes después, y desconociendo absolutamente el legítimo convencimiento de CAIXABANK de estar actuando correctamente, se realiza una petición de nulidad de todo lo realizado. Dice CAIXABANK: “No afirmamos aquí que todo lo que hayamos hecho esté bien, pero ¿podíamos tener una “razonable esperanza inducida”, de que nuestra manera de proceder era conforme a derecho? Parece difícil señalar que no”. Esta clara quiebra de la confianza legítima debería llevar al archivo del expediente o, como mínimo, a reconsiderar la decisión de declarar nulos los consentimientos recabados. Aporta copia de los correos electrónicos a los que se refiere esta alegación, dirigidos por el firmante de las alegaciones a la propuesta de resolución al Director Adjunto de la AEPD y las respuestas de este. - 3. Conculcación del artículo 24 de la CE: indefensión generada a CAIXABANK por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/177 extensión artificial y antijurídica de las actuaciones previas, ignorando además su caducidad.
- a)Las actuaciones previas no fueron tales: fue un procedimiento sancionador sin garantías. Considera CAIXABANK que las actuaciones previas de investigación suplantaron la actividad instructora, por cuanto se utilizaron como un verdadero procedimiento sancionador (sin garantías), lo que constituye un posible vicio de desviación de poder en la utilización de los mecanismos de instrucción y genera indefensión. Considerando el fin que se pretende con la incoación de actuaciones previas de investigación, entiende CAIXABANK que la Administración está obligada a la incoación del procedimiento sancionador tan pronto tiene certeza de la comisión de los hechos y de la identidad del responsable, aunque no se halle totalmente acreditada (STS de 09/06/2006). Cita la STS de 26/12/2007 para exponer que esas actuaciones previas sólo serán merecedoras de tal consideración en la medida en que “sirvan al fin que realmente las justifica, esto es, reunir los datos e indicios iniciales que sirvan para juzgar sobre la pertinencia de dar paso al expediente sancionador, y no se desnaturalicen transformándose en una alternativa subrepticia a este último". Y la STS 09/06/2006, que ha resaltado la necesidad de salvaguardar las garantías constitucionales del administrado en casos como el que nos ocupa: "Como resulta de esta norma, la información previa no es preceptiva, teniendo declarado esta Sala en sentencia de 6 de noviembre de 2000 que "si se dispone de datos suficientes para incoar el expediente, la información reservada no deberá ser practicada, por ser innecesaria y porque los derechos fundamentales de defensa del art. 24.2 de la C.E. exigen que no se retrase el otorgamiento de la condición de imputado o expedientado, evitándose así el riesgo de utilizar el retraso para realizar interrogatorios en los que el interrogado se encontraría en una situación desventajosa"." Pues bien, la AEPD abrió unas actuaciones previas que caducaron, se abrieron unas segundas, y después se inició un expediente sancionador. La AEPD se ha tomado 3 años para preparar una sanción ya decidida, con el soporte formal de sendas actuaciones previas (una primera caducada, que llevó a la apertura de una segunda), sin respetar ninguna garantía esencial del procedimiento sancionador, tales como informar de la imputación, recordar el derecho a no declarar contra uno mismo, y un largo etcétera, generando indefensión además de la caducidad del expediente. Así, la propuesta de resolución descansa prácticamente en su integridad en elementos de cargo recogidos durante la fase de actuaciones previas. Los únicos elementos de cargo aportados al procedimiento durante la fase de instrucción (evaluaciones de impacto, registro de las actividades de tratamiento y evaluación de prevalencia), apenas han sido considerados con posterioridad, o se trata de circunstancias cuyo requerimiento era superfluo, dado que ya constaban en poder de la AEPD. En este caso, señala CAIXABANK que, aunque las actuaciones previas de investigación se acomodan a los requisitos de competencia y procedimiento que habilitarían su adopción, no se atienen a la finalidad que deben cubrir conforme al designio del legislador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/177 Dado que la Propuesta de Resolución descansa de facto, única y exclusivamente, en los elementos de convicción y prueba recabados durante la fase de actuaciones previas, la imposibilidad de utilización de esos elementos hace que la Propuesta carezca de los elementos necesarios para enervar la presunción de inocencia.
- b)Además, supuso la incorporación al expediente sancionador de actuaciones procedentes de unas primeras actuaciones previas caducadas. El artículo 95 de la ley 39/2015, que permite expresamente incorporar a un expediente administrativo “los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad”, difícilmente puede aplicarse a un procedimiento sancionador. En el caso de un procedimiento sancionador, la caducidad deviene en garantía del justiciable, quien no puede quedar en modo alguno perjudicado por la inacción de la Administración. Además, no es aceptable la utilización de las actuaciones previas sin limitación de tiempo, más allá de la propia de la prescripción, que es el efecto que se produciría si se permitiera incorporar actuaciones caducadas a un expediente sancionador Sobre el traspaso en bloque del expediente caducado, refiere lo declarado en STS de 24/02/2004: “Sabemos que la declaración de caducidad no impide la apertura de un nuevo procedimiento sancionador en tanto en cuanto la hipotética infracción que originó la incoación del procedimiento caducado no haya prescrito... Y ello comporta: … Que no cabe, en cambio, que en el nuevo procedimiento surtan efecto las actuaciones propias del primero, esto es, las surgidas y documentadas en éste a raíz de su incoación para constatar la realidad de lo acontecido, la persona o personas responsables de ello, el cargo o cargos imputables, o el contenido, alcance o efectos de la responsabilidad, pues entonces no se daría cumplimiento al mandato legal de archivo de las actuaciones del procedimiento caducado”. Tampoco cabe, según CAIXABANK, traspasar el expediente en bloque de un procedimiento a otro pues entre ambos, dada su distinta naturaleza, existen muy divergentes principios que impiden que lo actuado en las actuaciones previas pase íntegramente al expediente sancionador o a las actuaciones previas que realmente no fueron más que la instrucción del expediente sancionador. A estas pseudo actuaciones previas, en realidad verdadera instrucción del procedimiento sancionador, no debían haber llegado “las actuaciones surgidas y documentadas en éste a raíz de su incoación para constatar la realidad de lo acontecido, la persona o personas responsables de ello, el cargo o cargo imputables, o el contenido, alcance o efectos de la responsabilidad” algo que, como se ha podido comprobar, realmente sí ha sido traspasado a través de esa pasarela de muy difícil justificación.
- c)Adicionalmente esto supone la caducidad del expediente sancionador CAIXABANK considera que las actuaciones previas han constituido una manera artificiosa y encubierta de realizar actuaciones instructoras propias del procedimiento sancionador (cita las STS de 13.05.2019 (RC 2415/2016) y de 6.05.2015 (RC 3438/2012): “...esta Sala tiene declarado que ese periodo anterior al acuerdo de iniciación <<... ha de ser forzosamente breve y no encubrir una forma artificiosa de realizar actos de instrucción y enmascarar y reducir la duración del propio expediente posterior>> (sentencia de 6 de mayo de 2015, recurso de casación 3438/2012 , F.J. 2º)". En base a ello, dicha entidad entiende que el tiempo empleado para la realización de estas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/177 actuaciones debe incluirse en el cómputo del plazo de caducidad del procedimiento. El dies a quo de este plazo coincide con el inicio de las actuaciones previas de investigación Siendo así, el plazo de caducidad habría transcurrido con suficiencia, sin que, por otro lado, la AEPD haya procedido a la eventual declaración de caducidad y “re-apertura” de un nuevo procedimiento sancionador. Finalmente, añade que, caducado el expediente, la infracción ha prescrito. - 4. CAIXABANK ha informado a los interesados en los términos previstos en los artículos 13 y 14 del RGPD y éstos lo han entendido. Antes de entrar en el fondo del asunto, aclara CAIXABANK que no sostiene que su información fuera perfecta, que no hubiera errores. De hecho, gracias en parte a la experiencia de varios años y, en parte, a algunas de las afirmaciones señaladas a lo largo de los diferentes documentos emanados de la AEPD a lo largo del expediente, ha realizado un ejercicio de mejora de sus diferentes documentos. Sin embargo, entiende que eso no quiere decir que se haya venido produciendo incumplimiento alguno: objetivamente se daba toda la información requerida en los artículos 13 y 14 RGPD y los clientes entendían la información que les estaba facilitando.
- a)Se facilitaba toda la información requerida en los artículos 13 y 14 del RGPD. 39. La información en materia de protección de datos que se facilita a los clientes a través del “Contrato Marco” cumple con lo previsto en el artículo 13 del RGPD. Se informa sobre la identidad del responsable, datos de contacto del delegado de protección de datos, fines del tratamiento y base jurídica (Cláusulas 7 y 8), tratamientos basados en e