1/89 Expediente N.º: EXP202213437 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES..........................................................................................................4 PRIMERO:.................................................................................................................4 SEGUNDO:................................................................................................................ 6 TERCERO:................................................................................................................. 6 CUARTO:...................................................................................................................6 QUINTO:.................................................................................................................. 20 SEXTO:.................................................................................................................... 20 SÉPTIMO:................................................................................................................ 20 OCTAVO:.................................................................................................................. 36 NOVENO:................................................................................................................. 36 DÉCIMO:.................................................................................................................. 37 HECHOS PROBADOS................................................................................................58 PRIMERO:............................................................................................................... 58 SEGUNDO:.............................................................................................................. 58 TERCERO:............................................................................................................... 60 CUARTO:................................................................................................................. 60 QUINTO:.................................................................................................................. 61 SEXTO:.................................................................................................................... 61 SÉPTIMO:................................................................................................................ 61 OCTAVO:.................................................................................................................. 61 NOVENO:................................................................................................................. 61 DÉCIMO:.................................................................................................................. 62 DÉCIMO PRIMERO:................................................................................................62 DÉCIMO SEGUNDO:...............................................................................................63 DÉCIMO TERCERO:................................................................................................64 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/89 DÉCIMO CUARTO:..................................................................................................64 DÉCIMO QUINTO:...................................................................................................65 DÉCIMO SEXTO:.....................................................................................................65 DÉCIMO SÉPTIMO:.................................................................................................66 FUNDAMENTOS DE DERECHO.................................................................................67 I Competencia.......................................................................................................... 67 II Cuestiones previas................................................................................................67 III Respuesta a las alegaciones del acuerdo de inicio..............................................68 IV Respuesta a las alegaciones a la propuesta de resolución..................................71 V Artículo 5.1.
- f)del RGPD........................................................................................83 VI Tipificación de la infracción del artículo 5.1.
- f)del RGPD......................................84 VII Sanción por infracción del artículo 5.1
- f)del RGPD............................................85 VIII Artículo 32 del RGPD.........................................................................................88 XI Artículo 25 del RGPD...........................................................................................94 XII Tipificación de la infracción del artículo 25 del RGPD.........................................97 XIII Sanción del artículo 25 del RGPD......................................................................97 XIV Responsabilidad..............................................................................................100 XV Medidas............................................................................................................ 101 RESUELVE:............................................................................................................... 101 ANTECEDENTES PRIMERO: Con fecha 19 de octubre de 2022, A.A.A., en representación de B.B.B. y C.C.C. (en adelante, reclamante 1 y reclamante 2 respectivamente) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CAIXABANK, S.A. con NIF A08663619 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La representante de los reclamantes manifiesta que sus representados son clientes de la parte reclamada. La reclamante 1 tiene tres cuentas abiertas con dicha entidad, figurando en dos de ellas como titular y su madre como autorizada. En la tercera cuenta (terminada en ***REFERENCIA.1, en adelante cuenta compartida) figuran la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/89 reclamante 1 y el reclamante 2 como cotitulares, no figurando ninguna persona más ni como titular ni como autorizado. Manifiesta que, al intentar la reclamante 1 realizar cualquier operativa con sus cuentas a través de la banca online, se precisa de la firma de la persona autorizada no solo si la realiza desde alguna de las dos cuentas en las que está autorizada sino también en caso de que quieran realizar una operación en la cuenta de la que es cotitular el reclamante 2 (la terminada en ***REFERENCIA.1) y en la que no figura la madre de la reclamante 1 como autorizada. Asimismo, cuando la persona autorizada en dos de las cuentas de las que la reclamante 1 es titular accede al área personal a través de "CaixaBankNow", puede visualizar no solo la información relativa a las cuentas y a los productos vinculados a las mismas en las que figura como autorizada, sino que también visualiza la información relativa a las tarjetas vinculadas a la tercera cuenta (terminada en ***REFERENCIA.1) respecto de la cual no ostenta ninguna capacidad, ni como titular, ni como persona autorizada. A raíz de lo ocurrido, presenta numerosas reclamaciones ante la parte reclamada, así como una reclamación ante el Banco de España, sin que se haya solucionado la incidencia. En la reclamación se dice que “La respuesta inicial que se da a la reclamante 1 es que en algún momento del año 2009 suscribió un “contrato de futuro”, sin precisar cuál ni facilitar el supuesto documento firmado por B.B.B. y D.D.D., por el que esta última tendría acceso a toda esa información”. Documentación relevante aportada por la parte reclamante: -Hilo de los mensajes de correo electrónico mantenidos por la reclamante 1 con su gestor de CaixaBank (desde el 14 de enero al 17 de febrero de 2021). -Copia del escrito de reclamación de la reclamante 1 en el que consta sello de recepción de la parte reclamada de fecha 17 de febrero de 2021. -Respuesta de fecha 23 de marzo de 2021 confirmando la recepción de la reclamación. -Intercambio de correos electrónicos mantenidos por la reclamante 1 con el Departamento de Protección de Datos de la parte reclamada (en fechas 19 y 21 de febrero de 2021). -Documentación relativa al procedimiento seguido ante el Banco de España(reclamación presentada el ***FECHA.1) entre la que destaca la siguiente: Propuesta de solución amistosa de Caixabank (***FECHA.2) por la que se ofrece una compensación económica y la firma de un acuerdo de desistimiento de la reclamación, añadiendo la parte reclamada lo siguiente: o o "Parece ser que existió una incidencia técnica con los usuarios de la reclamante 1 y su madre y que debería ser resuelta con la entrega de nuevas claves con acceso correctos a la reclamante 1 y a su madre". Escrito de la reclamante 1 dirigido al Banco de España en la que comunica que la incidencia no ha sido solucionada, rechaza la propuesta de solución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/89 amistosa y solicita la continuación de la tramitación de la reclamación presentada. o Informe del Banco de España (de fecha ***FECHA.3) indicando que la actuación de la parte reclamada podría haber quebrantado la normativa de transparencia, además de no haber corregido con diligencia la incidencia o error. Entre la argumentación de dicho informe (apartado 1, criterios generales) se encuentra la siguiente: Los autorizados son personas que, con el consentimiento expreso de los titulares, pueden disponer con carácter general del saldo existente en la cuenta. No están facultados para modificar las condiciones del contrato, ni para cancelar la cuenta, ni para realizar disposiciones contra la cuenta tras el fallecimiento del titular. La condición de autorizado se obtiene por autorización expresa del titular o titulares de la cuenta y habitualmente por escrito, siendo uso y práctica bancaria que se recojan en ese momento tanto las firmas de los titulares como de las personas autorizadas. En el apartado 2 (estudio de las particulares circunstancias que aquí concurren) se indica lo siguiente: La entidad, en sus dos escritos de alegaciones, reconoce la incidencia o error y comunica que lo ha solucionado. Como documentación adjunta a sus alegaciones, solo aporta el correo electrónico que dirigió a la reclamante el 8 de julio de 2021, en el que sus letrados manifestaban que, según comentado telefónicamente, deseaban hacer llegar a la reclamante la voluntad de CaixaBank de encontrar una solución amistosa a la situación y que, había existido una incidencia técnica con los usuarios, la oficina iba a iniciar los trámites para verificar que las claves se emitían de forma correcta, antes de citarlas para hacerle entregas de las mismas, y para compensarle por la demora en la resolución del caso le ofrecerían una compensación de 150 € -Copia de la reclamación presentada por el reclamante 2 ante la parte reclamada (el 5 de octubre de 2021) -Copia de la respuesta de la parte reclamada a este escrito presentado por la parte reclamante 2 (de fecha 27 de octubre de 2021) indicando que el asunto está siendo dilucidado ante el Banco de España. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/89 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 21 de febrero de 2022, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 10/02/2023 la parte reclamada presenta escrito de contestación al traslado indicando lo siguiente: “Con motivo de la reclamación trasladada por esta Agencia, se ha revisado por parte de CaixaBank la operativa y autorizaciones habilitadas en el servicio de Banca Online (CaixaBank NOW) de la reclamante, de esta revisión no se ha podido comprobar lo alegado en su reclamación respecto a la visibilidad de sus productos por parte de otros autorizados en su Banca Online y la necesidad de firma de estos autorizados al realizar la reclamante operaciones en los productos sobre los que se pretende operar. Por todo ello, hemos solicitado a la reclamante mantener una entrevista personal con el equipo técnico especializado en CaixaBank NOW, así como el gestor habitual de la clienta, con la finalidad de restaurar y reconfigurar las autorizaciones de sus productos de acuerdo a sus indicaciones y precisiones. Se adjunta comunicación enviada a la dirección de correo electrónica facilitada por la clienta, del cual esperamos respuesta a fecha de contestación de este escrito. Anexo I”. La comunicación a la que hace referencia el Anexo I del escrito de contestación al traslado es un correo electrónico enviado de: DELEGADO PROTECCION DATOS al correo electrónico de la reclamante 1 en fecha 09/02/2023. TERCERO: Con fecha 19 de enero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: La reclamante 1 puso en conocimiento de la parte reclamada los hechos contenidos en la reclamación presentada ante la AEPD: Así, aporta diversos correos de fechas 11/01/2021 y 14/01/2021 entre ella y atencion.clientes@contactcenter.caixabank.com en los que se incorporan capturas de pantalla de la hucha digital en los que figuran los siguientes mensajes: “Has preparado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/89 correctamente la operación y la has enviado a firmar a los firmantes requeridos” figurando como firmantes la reclamante 1 y como firmante 2 su madre y “Su petición de multifirmas se ha realizado correctamente pero no hemos podido avisar a todos los firmantes. La operación finalizará cuando la hayan confirmado todos los firmantes necesarios” si bien no queda claro cuál es la cuenta asociada a la hucha digital. También aporta varios correos mantenidos con su gestor personal de CAIXABANK, entre el 10/02/2021 y el 17/02/2021, en los que la reclamante 1 vuelve a poner de manifiesto que su madre tiene acceso a la visualización de sus cuentas, tanto de las que es titular en exclusiva como de la que es cotitular junto con el reclamante 2, pudiendo ver esas cuentas así como las tarjetas asociadas a las mismas, la hipoteca, el PIAS, etc. También aporta escrito de reclamación sobre cesión de datos a terceros dirigido al Defensor del Cliente o Servicio de Atención al cliente, de fecha 16/02/2021 en los que pone de manifiesto los siguientes hechos: 1º.- Que para poder realizar operaciones tipo “creación de huchas” en cualquiera de sus cuentas, ya sea de titularidad exclusiva o compartida con el reclamante 2, la reclamante 1 necesita tanto su firma como la de su madre. 2º.- Cesión de datos por parte de La Caixa a un tercero sin autorización: - Todas las tarjetas vinculadas a la cuenta acabada en ***REFERENCIA.1 (son 3 tarjetas) son vistas por una persona que no es ni titular ni autorizada de dicha cuenta. -Todo lo vinculado a las cuentas ***REFERENCIA.2 y ***REFERENCIA.3, hipotecas, seguro de vida, seguro del hogar, tarjetas PIAS… es visualizado por la persona autorizada en esas cuentas. -Que estos hechos ya han sido comunicados de forma reiterada a su sucursal, sin que se haya corregido estas incidencias a fecha de este escrito. Solicita que se ordenen las instrucciones oportunas para: - Que La Caixa solucione el error de firma. - Se envíe el contrato de futuro. - Soluciones para el enorme problema de cesión de los datos tanto de la reclamante 1 y como del reclamante 2 a una persona sin previa autorización. - Anulación del supuesto contrato a futuro. Asimismo, aporta la respuesta de fecha 23/03/2021 del Servicio de Atención al Cliente de CaixaBank en el que manifiesta que se ha recibido la reclamación y que tratarán de resolverla a la mayor brevedad posible. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/89 También aporta las comunicaciones con el correo electrónico delegado.proteccion.datos@caixabank.com entre el 19/02/2021 y el 21/02/2021 poniendo en su conocimiento los hechos objeto de la reclamación. Y, aporta las comunicaciones con caixabank@fyrlegal.com. En estas comunicaciones y actuando como letrados de CAIXABANK se le envía una propuesta de acuerdo para resolver la reclamación formulada por la reclamante 1, indicando que se han solventado las incidencias de la reclamación y que a cambio de que renuncie a presentar cualquier reclamación le van a indemnizar con 150 €. La reclamante 1 en estas comunicaciones muestra su disconformidad con que se hayan resuelto las incidencias de la reclamación y en ningún momento acepta la indemnización propuesta. La parte reclamada era consciente de los hechos reclamados desde que se pusieron en su conocimiento los mismos por diversos hilos de correos. En el Informe del Departamento de Conducta de Entidades del Banco de España en relación con la reclamación presentada por B.B.B., contra la entidad CAIXABANK, S.A., de 23 de diciembre, tras centrar el objeto de la reclamación presentada ante el Banco de España en el hecho de que “la reclamante
(1)relata que tiene tres cuentas y en dos de ellas está autorizada su madre y en otra (de nº terminado en ***REFERENCIA.1) ella comparte titularidad con otra persona, C.C.C.. Muestra su disconformidad porque, según dice, su madre tiene acceso a información sobre la tercera cuenta y tarjetas asociadas así como a los productos asociadas a las dos primeras cuentas (seguros, hipoteca, préstamos, etc.), para los cuales no le otorgó autorización. Acusa a la entidad de vulnerar así sus derechos y los del otro cotitular. Afirma que comunicó ese hecho a la entidad en enero de 2021 y posteriormente reclamó, pero la entidad no le proporcionó respuesta”. También recoge las alegaciones de la parte reclamada señalando que “solicita de nuevo el archivo del expediente por allanamiento y manifiesta que ha realizado las regularizaciones oportunas de sus marcas de control (sustitución de la de “apoderada” por la de “autorizada”), fuente del error administrativo padecido, con lo que se actualizan y corrigen automáticamente las facultades de visualización de la madre de la reclamante. Habla de que en esa fecha la madre de la reclamante podía realizar consultas, a través del servicio de banca digital por internet CaixaBankNow, únicamente sobre los productos de los que es autorizada: las cuentas a la vista número …***REFERENCIA.2 y …***REFERENCIA.3:” Y las alegaciones de la parte reclamante a las manifestaciones anteriores de la parte reclamada en los siguientes términos “Afirma que, aunque la documentación aportada por CAIXABANK indica que todo está solucionado, a esa fecha (02/09/2021) es mentira y aporta videos demostrativos”. Pasando a continuación a expresar la “Opinión del Departamento” en donde tras fijar los siguientes “Criterios generales”: “Los autorizados son personas que, con el consentimiento expreso de los titulares, pueden disponer con carácter general del saldo existente en la cuenta (…)”. “(…) La condición de autorizado se obtiene por autorización expresa del titular o titulares de la cuenta y habitualmente por escrito, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/89 siendo uso y práctica bancaria que se recojan en ese momento tanto las firmas de los titulares como de las personas autorizadas”. Y que “Este Departamento ha reiterado que, en general, las facultades de actuación del autorizado dependerán del documento de autorización suscrito;” Señalando en el “Estudio de las particulares circunstancias que aquí concurren” que: “En este caso, la reclamante
(1)es titular de tres cuentas y manifiesta haber autorizado a su madre solo en dos de ellas. Aporta videos de los que resulta que su madre, con su usuario en internet, tiene acceso a información sobre todos sus productos (de la reclamante) incluyendo una cuenta y productos en los que no fue autorizada. La entidad, en sus dos escritos de alegaciones, reconoce la incidencia o error y comunica que lo ha solucionado”. Y que “La reclamante
(1), no obstante, en sus distintos escritos, el último de 2 de septiembre de 2021, indica que el problema seguía sin solucionarse y aporta videos demostrativos”. Concluyendo en su informe que “Este Departamento considera que la actuación de la entidad podría haber quebrantado la normativa de transparencia y protección de la clientela bancaria, (…), en la medida en que, habiendo puesto de manifiesto la titular de una cuenta su discrepancia con el hecho de que la autorizada accediera a información sobre sus productos, no respondió en plazo a la reclamación, ni demuestra haber corregido con diligencia la incidencia o error”. Con fecha 24/05/2023 se remitió a la parte reclamada requerimiento de información al objeto de esclarecer los hechos contenidos en la reclamación presentada por la parte reclamante en los siguientes términos: 1.- La aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. 2.- La decisión adoptada a propósito de esta reclamación. 3.- Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 4.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 5.- Cualquier otra que considere relevante. Además, se deberá aportar información sobre: 6.- Los datos que posee CAIXABANK respecto de los titulares y autorizados en las tres cuentas a las que se refiere la reclamación, y respecto de los productos vinculados a las mismas. Se deberán aportar los contratos en virtud de los cuales se poseen esos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/89 7.- Si B.B.B. y su madre firmaron en el año 2009 un “contrato de futuro” se deberá aportar copia de dicho contrato. 8.- ¿Cuál es la operatoria que sigue CAIXABANK para permitir a sus clientes operar a través de la banca online en el caso de que existan titulares y autorizados en una misma cuenta? En concreto se deberá aportar los movimientos de las tres cuentas en los que se haya exigido la firma de D.D.D., desde enero de 2021 hasta la fecha del presente requerimiento. 9.- En relación con la aplicación de banca electrónica de Caixabank (Caixabank Now), ¿Qué Protocolos tiene establecidos CAIXABANK para los accesos los titulares y autorizados en las cuentas a través de dicha aplicación, a las cuentas, a los servicios asociados a las mismas, a ambos? En concreto, ¿Qué accesos o autorizaciones ha tenido en relación con las tres cuentas objeto de reclamación D.D.D., desde enero de 2021 hasta la fecha del presente requerimiento a través de dicha aplicación? 10.- ¿Cuáles son las medidas de seguridad que en relación con la protección de datos se han establecido en la aplicación de banca electrónica de Caixabank (Caixabank Now), para garantizar que a través de la misma solo pueden acceder las personas que están realmente autorizadas? 11.- ¿Cuáles son las medidas de seguridad que tiene previstas CAIXABANK para evitar posibles incidencias técnicas para que no se produzcan hechos como los recogidos en esta reclamación? 12.- ¿Cuál ha sido la participación del Delegado de Protección de Datos en relación con las medidas adoptadas? Se deberán aportar los informes técnicos o recomendaciones que en su caso haya realizado al respecto. En fecha 16/06/2023 la parte reclamada presentó escrito de contestación al requerimiento en el que manifestaba entre otros aspectos que en relación con el mencionado escrito, remitían la siguiente información/documentación: En relación con el punto 1 del requerimiento la parte reclamada manifiesta que “El Delegado de Protección de Datos ha coordinado, junto con los responsables de seguridad de la Entidad al análisis de la reclamación de B.B.B. y, ante la imposibilidad de reproducir los incidentes descritos por la Reclamante
(1), propuso mantener una reunión con ella en la que, acompañados de especialistas en las aplicaciones de banca online de la Entidad, se intentaran reproducir los supuestos errores y, de resolverse que no había incidencia técnica sino una configuración de visualizaciones incorrecta por parte de la usuaria, se le ayudara a configurar los accesos conforme a sus requerimientos. Esta sugerencia fue adoptada y se traslado a la Reclamante
(1)y a la AEPD. En ejecución de la recomendación del DPD, desde CaixaBank se intentó mantener con la Reclamante
(1)una cita presencial en su oficina gestora con la finalidad de configurar, según sus preferencias, las facultades de operación y visualización de sus productos a los usuarios autorizados designados en su contrato de Banca Online. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/89 La Reclamante
(1)ha declinado en varias ocasiones a través de su gestor mantener esta cita presencial para la revisión de sus preferencias de visualización y operativa de sus autorizados, por lo que desde CaixaBank nos ha resultado imposible conocer si la configuración actual del contrato de Banca Online de la Reclamante
(1)se adecua, o no, a sus preferencias. A su vez, desde CaixaBank se han revisado las diferentes opciones de visualización y facultades de operación respecto al contrato de Banca Online (CaixaBankNOW) de la Reclamante
(1)desde que se dio de alta a D.D.D. en el mismo, no detectando ninguna incidencia y confirmando los siguientes aspectos: (se adjuntan pantallas de cada una de las autorizaciones) i. En fecha 03 de febrero de 2021 se realiza por parte de la Reclamante
(1), B.B.B., la contratación de la Banca Online (contrato de CaixaBankNOW). En el proceso de alta de este contrato de Banca Online, la Reclamante
(1)incluyó a su madre, D.D.D. como autorizada en este contrato, con un nivel de “Todo permitido” el cual, según se recoge en el contrato firmado por la Reclamante
(1), da autorización a este apoderado a operar sobre los productos sobre los que se permite la visualización, en concreto las cuentas acabadas en ***REFERENCIA.2 y ***REFERENCIA.3 y a los productos vinculados a estas cuentas. Se adjunta el contrato de CaixaBank NOW firmado por la Reclamante como Anexo I. ii. En fecha 4 de agosto de 2021, a petición de la Reclamante
(1), se realizó una modificación sobre las opciones descritas en el punto anterior respecto a la visualización y gestión establecidas en el alta para D.D.D., modificando el nivel de visualización de “Todo permitido” a “Personalizada”. y ampliando la visibilidad sobre las cuentas de la Reclamante. En concreto, se permitió la visibilidad de las cuentas terminadas en: ***REFERENCIA.2, ***REFERENCIA.3, ***REFERENCIA.1. iii. En fecha 10 de agosto de 2021, desde la oficina gestora, a petición de la Reclamante
(1), se excluyeron de la visibilidad de la autorizada otros productos, como se puede observar en la imagen adjunta, la visualización de las tarjetas asociadas al contrato de Banca Online no puede visualizarse por parte de la autorizada en esta fecha. iv. En fecha 11 de agosto de 2021 se realizó, por parte de la Reclamante
(1), en su oficina gestora, otra modificación respecto de las opciones de visualización de la autorizada en su contrato de Banca Online, estado en el que se encuentra a la f echa de la presente reclamación. Según esta modificación de la Reclamante, la autorizada, D.D.D., volvía a tener autorización para visualizar los contratos de tarjetas y todas las cuentas de la Reclamante. Por todo ello, y a fecha de la recepción de esta reclamación, la operativa y visualización de la autorizada de la Reclamante
(1)en su contrato de Banca Online entendemos que es correcta y se corresponde a los ejemplos que la misma aporta en sus reclamaciones, al estar la visualización de los productos permitidos por la Reclamante en su contrato de CaixaBankNOW, tal y como se detalla en las explicaciones que se adjuntan en el punto 3 posterior”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/89 En relación con el punto 2 del requerimiento. La parte reclamada manifiesta que “tal y como se informó a esta Agencia y reitera en el presente escrito, revisados los permisos de visualización de los autorizados en el contrato de CaixaBankNOW de la Reclamante
(1), no se encontró ninguna incidencia, motivo por el que se intentó mantener una entrevista personal con la Reclamante para que pudiera trasladarnos personalmente sus preferencias respecto a las opciones de visualización y gestión de la autorizada en su contrato de CaixaBankNOW. A fecha del presente escrito, la Reclamante ha declinado esta propuesta de entrevista personal. No se han adoptado más actuaciones al no tener más instrucciones de la Reclamante”. En relación al punto 3 del requerimiento la parte reclamada manifiesta que “no se ha detectado desde CaixaBank ninguna incidencia en la operativa de la Banca Online de la Reclamante
(1)y las reclamaciones sobre las funcionalidades de la banca online de la Reclamante
(1)se deben a sus propias elecciones en la configuración de las visualizaciones. Analizando en detalle el video aportado por B.B.B. como supuesta prueba de una incidencia, y en lo alegado en su reclamación donde indica que la autorizada en su Banca Online puede ver movimientos de tarjetas que no están asociadas a B.B.B. sino a C.C.C., podemos confirmar que la operativa reproducida en el video es correcta, y lo es por los siguientes motivos: • El video, fechado a 01 de septiembre de 2021, recoge como D.D.D. (autorizada) puede visualizar el contrato de tarjeta N.º (…) ***REFERENCIA.5, titularidad de B.B.B.. Visualización correcta al tener la autorizada permitida la consulta de estos productos en esa fecha. • En este contrato de tarjeta, titularidad de la Reclamante
(1), existen varias tarjetas vinculadas (beneficiarias), tres de ellas a nombre de C.C.C.. (se adjunta detalle del contrato de tarjeta y del video). Este extremo es de especial relevancia para clarificar alguna de las reclamaciones de la Reclamante
(1): los contratos de estas tarjetas no son titularidad de C.C.C., son titularidad de la Reclamante
(1), B.B.B., quien ha solicitado que se emitan tarjetas a favor de un tercero (C.C.C.). Por ello, la Reclamante
(1)como titular del contrato tiene acceso a todos los movimientos y, por ende, también los tienen las personas a las que la propia titular autoriza, en este caso, D.D.D.. no accede a un contrato de C.C.C., accede a un contrato de la Reclamante
(1), B.B.B., que ha solicitado tarjetas a nombre de un beneficiario, C.C.C.. Avanzando en el video, se observa como la autorizada, de acuerdo con las opciones de visualización establecidas por la Reclamante, puede acceder a este contrato de tarjeta N.º (…) ***REFERENCIA.5, y los movimientos de las tarjetas asociadas al mismo, al ser titularidad de B.B.B.. (se adjunta detalle de los movimientos del contrato de tarjeta y del video) Por todo lo expuesto en este punto, y a lo largo del presente escrito, se concluye que la operativa que visualiza la autorizada es correcta, ya que los movimientos de las tarjetas que visualiza el 01 de septiembre de 2021 (fecha del video aportado) son los asociados a todas las tarjetas beneficiarias del contrato de tarjeta N.º (…) ***REFERENCIA.5 titularidad de la Reclamante
(1), B.B.B., y configurada por ella la opción de visualización de tarjetas desde el 11 de agosto de
- Por ello, desde CaixaBank, al recibir la reclamación remitida por la Agencia, comprobado el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/89 funcionamiento correcto del contrato de banca online de la Reclamante y no encontrar incidencia alguna, se ha insistido a la Reclamante, y así hemos informado a esta Agencia, en mantener una entrevista personal entre ella y técnicos de la Entidad, para realizar las modificaciones que estime oportunas para que sus autorizados visualicen los productos según sus preferencias”. En relación con el punto 4 del requerimiento señala la parte reclamada que “no se han adoptado medidas adicionales a las ya implantadas para el desarrollo y seguridad de sus aplicaciones, al no detectarse incidencia alguna en la presente reclamación”. En relación al punto 6 de la reclamación la parte reclamada indica que “En la reclamación traslada por esta Agencia se hace referencia a tres cuentas titularidad de la Reclamante, en concreto: i. Cuenta terminada en ***REFERENCIA.1 En esta cuenta constan como titulares: B.B.B. y C.C.C.. A dicha cuenta se encuentran vinculados los siguientes productos: Contrato de tarjeta N.º (…) ***REFERENCIA.5: Titularidad de B.B.B.. Asociadas a este contrato de tarjeta se encuentra como beneficiario y tenedor de tres tarjetas C.C.C.. Contrato de CaixaBank NOW (…) ***REFERENCIA.7: Titularidad de C.C.C.. ii. Cuenta terminada en ***REFERENCIA.2 En esta cuenta consta como titular B.B.B. y como firmas reconocidas D.D.D. y E.E.E... A esta cuenta consta vinculado el siguiente producto: Contrato de CaixaBank NOW (..) ***REFERENCIA.
- Titularidad de B.B.B. y donde consta D.D.D. como autorizada. Este contrato firmado por la titular esta adjunto ya a este escrito como anexo I. iii. Cuenta terminada en ***REFERENCIA.3 En esta cuenta consta como titular B.B.B. y como firma reconocida D.D.D.. “A dicha cuenta se encuentran vinculados los siguientes productos”: 5 contratos de tarjetas con diversas tarjetas asociadas a los mismos y todos ellos de titularidad de la parte reclamada 1; 1 préstamo hipotecario, donde figuran la parte reclamada 1, como titular, y, otros dos avalistas; 3 contratos de seguro titularidad de la parte reclamante 1 y; 1 plan de pensiones, también, de titularidad de la parte reclamante
- En relación con el punto 7 del requerimiento manifiesta la reclamada que: “No se ha podido identificar el “contrato de futuro” a que se hace referencia, no existiendo, salvo error, en la cartera de productos de la entidad un contrato con esa denominación, y no habiendo localizado en el año citado ningún contrato de la Reclamante y su madre que pudiera atender a esta denominación”. En relación con el punto 8 del requerimiento de información la parte reclamada manifiesta que sus clientes “pueden permitir el acceso de terceros autorizados a su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/89 banca digital; en consecuencia, cuando una persona consta como autorizada por el cliente titular (el supuesto que nos ocupa), esta persona, en su condición de tercero autorizado (en este caso, la madre de la Reclamante
(1)) dispone del correspondiente acceso a la información del cliente titular autorizante (la Reclamante
(1)). Esta operativa de los autorizados en el contrato de Banca Online, se encuentra descrita en el contrato que firman los clientes y que, para el caso concreto que nos ocupa, firmó la Reclamante
(1)y consta como adjunto a este escrito como anexo I. En dicho contrato, se recoge expresamente: “1.2. Adicionalmente, usted puede nombrar a otras personas para que puedan usar su CaixaBankNOW: ➢ Usuarios autorizados: ➢ Usuarios personalizados: de acuerdo con los siguientes niveles: • Básico • Consulta • Consulta y • Todo permitido. • Detallado”. A su vez, todos los clientes tienen disponible, en todo momento en su banca online, la consulta del detalle de su contrato de CaixaBankNOW. Dentro de configuración personal tienen la opción habilitada “Consultar mi contrato de banca digital CaixaBankNOW”, donde aparecen todos los datos del contrato, usuarios autorizados y nivel de acceso. Adjuntamos pantalla de ejemplo. Y no solo la operativa de consulta se encuentra disponible para todos los clientes titulares de contratos de CaixaBankNOW, también pueden realizar ellos mismos las modificaciones de visualización sobre los productos de sus autorizados según sus preferencias”. Y que, “Revisada la operativa realizada por la Reclamante
(1)en su banca online, así como por su autorizada, D.D.D., no se han encontrado operativas donde se haya exigido la firma de la autorizada para la ejecución de operaciones iniciadas por la Reclamante”. En relación con la aplicación de banca electrónica de CaixaBank (CaixaBankNOW) a la que se refiere el punto 9, manifiesta la parte reclamada que: “Los protocolos de acceso de los titulares y autorizados a las cuentas y servicios por titulares y autorizados son los que se han descrito en el apartado 8 de este escrito, que están definidos por el cumplimento de los requisitos establecidos por la normativa PSD2 (Payment Services Directive). (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/89 En concreto, ¿Qué accesos o autorizaciones ha tenido en relación con las tres cuentas objeto de la reclamación D.D.D., desde enero de 2021 hasta la fecha del presente requerimiento a través de la aplicación? Se adjunta detalle de los accesos y autorizaciones de D.D.D. a las tres cuentas objeto de la reclamación como anexo IV. El ultimo acceso a los productos de la Reclamante a través de la Banca Online que consta en nuestros sistemas por parte de D.D.D. es de septiembre de 2021”. En relación con el punto 10 del requerimiento manifiesta la parte recurrente que “tiene implantados unos reglamentos internos de obligado cumplimiento, realizados en virtud de la Política de Seguridad de la Información del Grupo CaixaBank, que recogen los requerimientos de seguridad en todo tipo de banca que se realice por medios electrónicos, los cuales garantizan la aplicación de los requisitos mínimos de seguridad en este ámbito. Respecto a las medidas de seguridad relativas al acceso de los clientes de CaixaBank a su banca online, adicionalmente a las medidas adicionales implantadas por la entidad, la normativa vigente aplicable a CaixaBank en este ámbito, como entidad de pago, conocida como normativa PSD2 (Payment Services Directive), y en concreto: • El Reglamento Delegado (UE) 2018/389 de la Comisión, de 27 de noviembre, por el que se complementa la Directiva (UE) 2015/2633 del Parlamento Europeo y del Consejo en lo relativo a las normas técnicas de regulación para la autenticación reforzada, • Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, Obliga a CaixaBank a establecer unos controles de seguridad relativos al acceso de sus clientes a su cuenta en línea, y obliga, entre otros aspectos, a que cuando accedan lo hagan con autenticación reforzada. (…). En concreto, para el desarrollo y funcionamiento de la banca electrónica (CaixaBankNOW) se detallan a continuación las medidas de seguridad, genéricas y concretas, implantadas que garantizan, en todo momento, tanto el acceso seguro por parte de los titulares de los contratos de banca electrónica, como la certeza o garantía de acceso únicamente de las personas legitimadas para acceder a la información. (…) Y una serie de “REQUERIMIENTOS DE SEGURIDAD ESPECÍFICOS (…). En relación con el punto 11 del requerimiento señala en su escrito que “no se establecerán medidas de seguridad adicionales a las ya implantadas para el desarrollo y funcionamiento de su Banca Online al no detectarse incidencia técnica que haga necesaria la implantación de nuevas medidas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/89 En relación con el punto 12 del requerimiento manifiesta que: “El delegado de Protección de Datos de CaixaBank participa e interviene en la fase inicial de diseño de todos los tratamientos de datos personales que se realizan en la entidad como asesor y supervisor del cumplimiento de la normativa sobre privacidad, participando de forma adecuada y en tiempo oportuno en todas las cuestiones de protección de datos. Tal como exige la normativa de protección de datos, CaixaBank se ha dotado tanto de la metodología necesaria para realizar las evaluaciones de impacto de todos los tratamientos que vaya a realizar la entidad, como de un Comité específico, en concreto el Comité de Gestión del Riesgo y Evaluaciones de Impacto: comité delegado del Comité de Privacidad, encargado del análisis y la aprobación de cualquier Nuevo Tratamiento, donde la participación del DPD está presente en todo momento. En el presente escrito se recogen los análisis realizados tanto por el Delegado de Protección de Datos como por el área de Seguridad de la Información de CaixaBank respecto de las medidas de seguridad implantadas para el acceso y gestión de la banca electrónica por parte de los clientes que garantizan la protección de los datos personales de los clientes y usuarios de los canales de atención electrónica”. De lo expuesto, los Servicios de Inspección destacan los aspectos siguientes: Los términos en los que se plantea la cuestión que subyace en la reclamación consiste en determinar si el procedimiento de la parte reclamada en el que se recoge la operativa para el acceso a la información de productos financieros por terceros distintos de los titulares, permitía a la madre de la reclamante 1 el acceso a las cuentas de titularidad única de la reclamante 1 y a la cuenta de titularidad conjunta de la reclamante 1 y del reclamante 2, así como a los productos a tales cuentas asociados y a sus movimientos; y si para la realización de ciertas operaciones en las cuentas de los reclamantes se requería también la firma de la madre de la reclamante 1. Del escrito de contestación al requerimiento y de la documentación incorporada al mismos se observan, los siguientes extremos: La parte reclamada manifiesta que tiene un procedimiento que recoge la operativa para el acceso a la información de productos financieros por terceros distintos de los titulares, donde se recoge cómo es el sistema de autorizaciones, las tipologías de permisos que hay, y alcance de éstos, señalando que: “Esta operativa de los autorizados en el contrato de Banca Online, se encuentra descrita en el contrato que firman los clientes (…)”. En las condiciones generales del contrato firmado por la reclamante 1 se recoge expresamente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/89 “1.2. Adicionalmente, usted puede nombrar a otras personas para que puedan usar su CaixaBankNOW: ➢ Usuarios autorizados: usted autoriza a estas personas para que puedan acceder a su CaixaBankNOW en los niveles de Acceso básico, Consulta o Consulta y preparación (vea el punto siguiente), excepto que usted nos indique lo contrario. Esta autorización queda sin efecto cuando termina el plazo de tiempo por el que usted la ha autorizado, o si nos comunica que ya no quiere que la persona sea autorizada. ➢ Usuarios personalizados: usted puede decidir el grado de acceso que otorga a estas personas, de acuerdo con los siguientes niveles: • Básico: permite al usuario presentar documentos para realizar distintas operaciones, como domiciliaciones, transferencias, etc., que requieren la firma del titular o de un usuario con plenas facultades. La finalidad es que el usuario prepare las operaciones para que usted, como titular, las consienta con posterioridad. • Consulta: permite al usuario consultar los servicios contratados, así como su operativa concreta. • Consulta y preparación: es la suma de los dos niveles anteriores. • Todo permitido: el usuario puede acceder a todos los servicios que ofrece CaixaBankNOW. • Detallado: el usuario puede tener distintos niveles de acceso, según el tipo de servicio: cuenta corriente, fondo de inversión, seguro, etc.” A su vez, todos los clientes tienen disponible, en todo momento en su banca online, la consulta del detalle de su contrato de CaixaBankNOW. Dentro de configuración personal tienen la opción habilitada “Consultar mi contrato de banca digital CaixaBankNOW”, donde aparecen todos los datos del contrato, usuarios autorizados y nivel de acceso. Y no solo la operativa de consulta se encuentra disponible para todos los clientes titulares de contratos de CaixaBankNOW, también pueden realizar ellos mismos las modificaciones de visualización sobre los productos de sus autorizados según sus preferencias”. La parte reclamada aporta copia del contrato CaixaBankNOW nº (…) ***REFERENCIA.6 de la reclamante 1 en el que ésta figura como primer y único titular, de fecha 03/02/2021, asociada a la cuenta acabada en ***REFERENCIA.2 en el apartado de este contrato “USUARIOS AUTORIZADOS” Personas que pueden acceder a su CaixaBankNow figura la madre de la reclamante 1, que tiene asignado como número de usuario el terminado en ***REFERENCIA.8 y Nivel Operativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/89 También aporta copia del contrato CaixaBankNOW nº (…) ***REFERENCIA.7 del reclamante 2 en el que éste figura como primer titular, de fecha 18/01/2021, asociado a la cuenta acabada en ***REFERENCIA.1, y en la que no figura ningún usuario autorizado. Aplicación al caso particular de los reclamantes La parte reclamante 1 es titular en exclusiva de los siguientes productos: i. Cuenta acabada en ***REFERENCIA.2 En esta cuenta consta como titular B.B.B. y como firmas reconocidas D.D.D. y E.E.E... A esta cuenta consta vinculado el siguiente producto: Contrato de CaixaBank NOW (…) ***REFERENCIA.6. Titularidad de B.B.B. y donde consta D.D.D. como autorizada. i. Cuenta corriente acabada en ***REFERENCIA.3 En esta cuenta consta como titular B.B.B. y como firma reconocida D.D.D.. “A dicha cuenta se encuentran vinculados los siguientes productos”: 5 contratos de tarjetas con diversas tarjetas asociadas a los mismos y todos ellos de titularidad de la parte reclamada 1; 1 préstamo hipotecario, donde figuran la parte reclamada 1, como titular, y, otros dos avalistas; 3 contratos de seguro titularidad de la parte reclamante 1 y; 1 plan de pensiones, también, de titularidad de la parte reclamante 1. La parte reclamante 1 y la parte reclamante 2 son cotitulares del siguiente producto: i. Cuenta acabada en ***REFERENCIA.1. A dicha cuenta se encuentran vinculados los siguientes productos de la parte reclamante: - Contrato de tarjeta N.º (…) ***REFERENCIA.5: Titularidad de B.B.B.. Según declara la parte reclamada asociadas a este contrato de tarjeta se encuentra como beneficiario y tenedor de tres tarjetas C.C.C.. En relación con la información facilitada hay que señalar que si bien se adjunta copia del contrato de la tarjeta N.(…) ***REFERENCIA.5 cuya titularidad es de la parte reclamante 1, en dicho contrato no figura ningún beneficiario/tenedor de otras tarjetas asociadas a este contrato; si bien, si aparece un apartado “Mantenimiento tarjeta adicional (beneficiario) 48 euros al año por tarjeta” Y que en el captura de pantalla presentada como documentación justificativa de que la parte reclamante 2 es el beneficiario/tenedor de tres tarjetas solicitadas por la parte reclamante 1 se ha realizado la consulta por “Tarjetas del contrato” donde aparecen cuatro tarjetas en 1 de ellas figura como titular la reclamante 1 y en las otras 3 figura como titular el reclamante 2, y figurando en dos de estas tarjetas en el campo “Tipo” “Apple Pay – Smart Phone”. Mientras que en el resto de capturas de pantalla referidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/89 a las otras cuentas la consulta para mostrar las tarjetas asociadas es por “Personas relacionadas”. - Contrato CaixaBankNOW (…) ***REFERENCIA.7: Titularidad de C.C.C.. La parte demanda sostiene en su escrito de contestación al requerimiento de información que si la madre de la reclamante tuvo acceso a los productos financieros de los reclamantes 1 y 2 es porque contaba con los permisos de visibilización adecuados para verlos al estar como autorizada en el contrato CaixaBankNOW de la reclamante 1, habiendo sido ésta quien solicitó a la parte reclamada que realizara las modificaciones para que en cada fecha su madre pudiera tener visibilidad de los productos a los que accedía. Al respecto cabe señalar que si bien aporta capturas de pantalla de las modificaciones a las que hace referencia, indicando que se han hecho a petición de la parte reclamante 1, no aporta evidencia alguna de la existencia de la petición de la parte reclamante 1, o de que ésta haya realizado personalmente las modificaciones. Además, cabe señalar que en su escrito de alegaciones complementarias presentado ante el Departamento de Conducta de Entidades del Banco de España en respuesta al escrito remitido por ese Departamento de fecha ***FECHA.4, la parte reclamada tras manifestar en su alegación única “Que CaixaBank ha procedido a realizar las regularizaciones oportunas de sus marcas de control (sustitución de la de “apoderada” por la de “autorizada”), fuente del error administrativo padecido, con lo que se actualizan y corrigen automáticamente las facultades de visualización que la madre de la reclamante tiene de los productos de ésta, gracias a lo cual actualmente consta que a través del servicio de banca digital por internet CaixaBankNow la madre de la reclamante puede realizar consultas únicamente sobre los productos de los que es autorizada, que son actualmente las cuentas a la vista número (…) ***REFERENCIA.2 y (…) ***REFERENCIA.3” manifiesta que justifica “las regularizaciones realizadas en este sentido, tanto respecto a las cuentas como de limitación de los movimientos de tarjetas” aportando dos capturas de pantalla, de fecha ***FECHA.4, la primera es la misma captura de pantalla que la presentada en el escrito de contestación al requerimiento de información donde, aparece marcada con un click de verificación en verde el acceso a las cuentas acabadas en ***REFERENCIA.3 y en ***REFERENCIA.2 y con un aspa rojo las cuentas acabadas en ***REFERENCIA.4 y ***REFERENCIA.1, esta misma captura de pantalla también aparece, después de otra captura de pantalla en la que aparece como fecha de modificación 03/02/2021, siendo el objeto de la modificación: el usuario; la acción realizada: el alta; el número de usuario: el acabado en 01; el nombre del usuario: el de la madre de la recurrente 1; y como valor después de la modificación: Todas permitidas. Y el segundo, es el mismo pantallazo que el recogido en el escrito de contestación al requerimiento de información, donde se indica que “En fecha 10 de agosto de 2021, desde la oficina gestora, a petición de la Reclamante, se excluyeron de la visibilidad de la autorizada otros productos, como se puede observar en la imagen adjunta, la visualización de las tarjetas asociadas al contrato de Banca Online no puede visualizarse por parte de la autorizada en esta fecha”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/89 En relación con los accesos y autorizaciones de D.D.D. a las tres cuentas objeto de la reclamación que la parte reclamada aporta como anexo IV, conviene, señalar que este anexo IV es una Hoja de Excel con tres pestaña: “Accesos CaixabankNOW”, en la que figuran accesos entre 04/02/2021 y 03/08/2021, durante este periodo la madre de la reclamante 1 tiene acceso a las cuentas con dos perfiles distintos como usuario acabado en 01, accede con el perfil de apoderada; y entre el 10/08/2021 y 29/09/2021 como usuario acabado en 02, accede con el perfil de autorizada); “Consultas Cuentas CaixabankNOW”, en la que figura que como usuario 02 consultó los movimientos de las tres cuentas objeto de la reclamación presentada en las fechas antes indicadas y que el 10/08/2021 como usuario 02 realizó 15 consultas a la cuenta acabada en ***REFERENCIA.1 entre las 15:07 y las 15:48 horas; y, “Movimientos Firmados”, donde figuran dos movimientos realizados como usuario 01 entre marzo y julio de 2021. QUINTO: La entidad CAIXABANK, S.A. tiene un volumen de negocio de 964.711 millones de euros, de conformidad con los datos indicados en la página 11 de la presentación de resultados publicada por la propia entidad en octubre de 2023. SEXTO: Con fecha 16 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 25 del RGPD y del artículo 32 del RGPD, tipificadas en el artículo 83.4 del RGPD y del artículo 5.1.
- f)del RGPD tipificada en el artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta dos alegaciones: El procedimiento sancionador debe archivarse por ausencia de tipicidad, apoyando su afirmación en lo siguiente: El ejercicio de los derechos a través de terceros. D.D.D. estaba autorizada por B.B.B. para visualizar la información relativa a la Cuenta Compartida, actuando válidamente como sustituta en el ejercicio de su derecho. Ejercicio de la Autonomía informativa Y como segunda alegación señala que actuó con base en una interpretación coherente, histórica y consolidada de la norma de conformidad con el código civil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/89 Las alegaciones presentadas por la entidad reclamada se respaldaron con las siguientes afirmaciones: “El procedimiento sancionador debe archivarse por ausencia de tipicidad. El acceso a la cuenta compartida por la representante de la cotitular fue consentido porC.C.C.: la cuenta compartida se sujeta al régimen de solidaridad. La cuenta compartida es de naturaleza solidaria, por lo que cualquiera de sus cotitulares está facultado para consultar de forma individual la información de la cuenta, siendo irrelevante si tal derecho se ejercita por el cotitular o por un tercero autorizado por este. La titularidad compartida de una situación jurídica exige determinar el régimen al que deberá sujetarse el ejercicio de los derechos por parte de los sujetos que forman parte de esa titularidad compartida. El ejercicio de los derechos por parte de los titulares de una situación jurídica compartida puede organizarse de dos modos: a través de la “solidaridad”, o por medio de la “mancomunidad”. La solidaridad implica que cada uno de los cotitulares puede ejercer la totalidad de los derechos relativos a la situación jurídica compartida de forma individual e independiente de los demás, de suerte que cada uno de los cotitulares tiene “derecho a pedir…íntegramente las cosas objeto de la misma” (artículo 1.137 del Código Civil), como si fuera un titular único. Por el contrario, la mancomunidad (arg. artículo 1.139 del Código Civil), exige la concurrencia simultánea de todos los titulares para que el acto jurídico sea producido de forma válida. Los derechos deben ejercerse “en mano común” por todos los cotitulares, que no pueden ejercer los derechos de forma individual, como es propio de la solidaridad. En este sentido, la diferencia de que una cuenta bancaria sea solidaria o mancomunada es que en el primer caso los cotitulares podrán ejercitar los derechos que les atribuya el contrato con la entidad bancaria de forma independiente y sin requerir la concurrencia del otro cotitular. En cambio, si la cuenta bancaria se sujeta al régimen de mancomunidad, será necesario el consentimiento de todos los cotitulares para ejercitar cualquier derecho previsto en el contrato de cuenta corriente. Lo anterior resulta expresamente de la cláusula 1 de las condiciones generales del Contrato de Cuenta Corriente, al establecer lo siguiente: “1.3. Usted puede ser único titular (titularidad individual) o compartir cotitularidad con otras personas. Si comparte cotitularidad con otras personas, puede hacerlo en la modalidad de responsabilidad «solidaria» o en la de responsabilidad «mancomunada». 1.4.ILa responsabilidad solidaria es la que aplicaremos si no nos dice lo contrario; significa que cada uno de los titulares puede operar por sí solo y ejercitar todos los derechos del contrato, incluso cancelarlo, excepto que una ley indique lo contrario. 1.5.ISolo si nos lo pide expresamente, y consta en las condiciones particulares, aplicará la modalidad de responsabilidad mancomunada. Esto significa que será C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/89 necesaria la firma y aceptación de todos o de varios titulares para realizar cualquier operación”. Pues bien, en el caso que nos ocupa, las partes del Contrato de Cuenta Corriente pactaron que cada uno de los titulares de la Cuenta Compartida podría ejercer de forma válida sus derechos en relación con esa cuenta de forma independiente del otro, sin la concurrencia del otro titular. Lo anterior resulta del apartado cuarto de las condiciones particulares en los siguientes términos: 4. DECISIONES SOBRE EL CONTRATO Modalidad Solidaria (si tiene dudas diríjase a la cláusula 1 de las condiciones generales) Así las cosas, cada uno de los cotitulares tenía “derecho a pedir” (artículo 1.137 del Código Civil) cuanto resulte de la Cuenta Compartida, de forma que tanto B.B.B. comoC.C.C. pueden actuar de forma independiente, sin necesidad de que concurra el otro cotitular para operar y ejercitar los derechos previstos en el Contrato. Lo anterior resulta expresamente de la cláusula 1.4 de las condiciones generales del Contrato cuyo tenor literal establece lo siguiente: 1.4.ILa responsabilidad solidaria es la que aplicaremos si no nos dice lo contrario; significa que cada uno de los titulares puede operar por sí solo y (…), excepto que una ley indique lo contrario. Pues bien, uno de los derechos reconocidos en las condiciones generales del Contrato es precisamente el acceso a la cuenta y, en particular, la consulta del saldo y los movimientos, estableciéndose como posible canal para el ejercicio de ese derecho la plataforma de banca digital. Así, la cláusula 2.1 de las condiciones generales del Contrato establece lo siguiente: “Usted puede [...] acceder al resto de los servicios de pago y consultar el saldo y los movimientos [...] a través de CaixaBank Now”. Atendiendo al régimen de solidaridad establecido por las partes del Contrato, cualquiera de los cotitulares de la Cuenta Compartida está facultado para consultar el saldo y los movimientos de esa cuenta de forma independiente y sin requerir de la concurrencia del otro cotitular. En eso consiste la solidaridad. El ejercicio de los derechos a través de terceros. El ejercicio individual de un derecho comprende de forma inherente la decisión de su titular sobre cómo quiere ejercitar tal derecho, bien por cuenta propia o bien a través de un tercero autorizado que, siendo una suerte de alter ego del representado, actúe en su sustitución. En particular, en el ámbito de la autonomía de su voluntad, el titular del derecho puede decidir ejercitarlo por sí mismo o por medio de un tercero habilitado al efecto, a través de un apoderamiento. Este régimen es el mismo que se establece, sin condicionantes, en el artículo 12 de la LOPD, el derecho de acceso (reconocido en el artículo 15 del RGPD) puede “ejercerse directamente o por medio de representante legal o voluntario”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/89 Esta decisión sobre la forma de ejercitar del derecho (por cuenta propia o a través de un tercero) está comprendida en el ámbito de la autonomía de la voluntad de su titular, según recuerda de forma ilustrativa la Audiencia Provincial de A Coruña en su sentencia núm. 396/2008 de 22 de septiembre (AC 2008/1960) en los siguientes términos: “El fundamento de todo apoderamiento y representación radica en la voluntad del dominus que, al amparo de la libre autonomía de la voluntad dimanante del art. 1255 del CC, confiere su representación a otra persona, el apoderado, para que actúe en su nombre en el tráfico jurídico, generándose de tal forma la denominada hetero eficacia representativa. La voluntad de conferir dicha representación se manifiesta a través de un negocio jurídico: el apoderamiento. Salvo excepciones (poder para contraer matrimonio o el general para pleitos, sin perjuicio de su otorgamiento apud acta ante el Secretario Judicial) rige en la materia el principio de libertad de forma [...].” En el mismo sentido, las “Guidelines 01/2022 on data subject rights - Right of access. Version 2.0. Adopted on 28 March 2023” emitida por el “European Data Protection Board recuerdan que la forma y el alcance del apoderamiento es una cuestión que escapa del ámbito de la protección de datos, al establecer que “las legislaciones nacionales que regulan la representación (por ejemplo, los poderes notariales), [...] deben tenerse en cuenta, ya que el RGPD no regula esta cuestión”. En el ordenamiento jurídico español, como se ha expuesto, el negocio jurídico del apoderamiento no está sujeto a ninguna formalidad. Aplicando lo anterior a las situaciones de cotitularidad solidaria, cada uno de los titulares puede ejercitar los derechos que le corresponden de forma independiente del otro cotitular, bien por sí mismo, bien a través de un tercero que lo represente. Estamos ante una consecuencia necesaria del régimen jurídico de solidaridad: el titular del derecho puede ejercitarlo como considere más oportuno. Por tanto, en el momento en que se acordó que la Cuenta Compartida se sujetara a la “modalidad solidaria” (cláusula 4 de las condiciones particulares del Contrato de Cuenta Corriente) ambos Cotitulares consintieron que cada uno de ellos pudiera ejercitar sus derechos de forma individual, consintiendo por tanto que, en el marco del ejercicio individual y al amparo de la autonomía de la voluntad de cada cotitular, los derechos fueran ejercitados por cuenta propia del cotitular o por un tercero autorizado por este. Así las cosas, y en el momento en que los cotitulares ( B.B.B. y C.C.C.) consintieron que la Cuenta Corriente se sujetara al régimen de solidaridad, aceptaron como consecuencia necesaria que cada uno de ellos de forma independiente pudiera ejercitar los derechos relativos a esa Cuenta (en particular el derecho de acceso a la información de la Cuenta) de la forma que considerase oportuna: por sí mismo o bien autorizando a un tercero debidamente habilitado para el ejercicio de ese derecho. Eso es precisamente lo que sucedió en nuestro caso, en el que B.B.B. (una de las cotitulares solidarias) podía acceder a los datos de la Cuenta Compartida por sí o autorizando a un tercero. Con base en lo anterior, B.B.B. autorizó a su madre (D.D.D.) para que en su representación accediera a los datos de la Cuenta Compartida. Lo anterior es una manifestación concreta del régimen de solidaridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/89 que los cotitulares pactaron con CaixaBank (y que debía ser respetado por CaixaBank en cumplimiento de la documentación contractual). (…) La representación se define en términos genéricos como aquella figura jurídica en virtud de la cual se confiere a una persona (representante) la facultad de actuar jurídicamente por cuenta e interés de otra persona (representado). Atendiendo a su fundamento, la representación puede ser voluntaria (si surge de un acto de autonomía privada del representante) o legal (si la representación es imperativa por emanar de una disposición legal). En relación con la diferencia entre representación voluntaria y representación legal resulta especialmente ilustrativa la sentencia de la Sala de lo Civil del Tribunal Supremo de 22 de junio de 1979 (RJ 1979/2908) al establecer lo siguiente: “[...] es de tener en cuenta que netamente existe una clara y precisa distinción entre la representación legal y la representación voluntaria, en cuanto mientras la primera encuentra estrictamente su fundamento en la Ley, y por tanto fuera del ámbito de la autonomía privada, la segunda tiene su causa en el hecho de que el representado confiere voluntariamente su representación al apoderado, teniendo en consecuencia su origen en dicha autonomía privada y encontrando en ella la razón de su eficacia, revelando en definitiva, que en el ordenamiento jurídico español mientras la representación voluntaria es una mera concesión de legitimación de representante, la representación legal emana de un poder de representación que descansa inmediatamente en una disposición legal [...]”. Por tanto, a diferencia de la representación legal, la representación voluntaria se configura como una manifestación de la autonomía privada del titular de derechos individuales, que decide libremente que un tercero le sustituya en el ejercicio de tales derechos en los términos encomendados. El negocio jurídico a través del que se materializa la relación representativa a efectos externos es el apoderamiento, que es precisamente el acto jurídico en virtud del cual una persona concede voluntariamente a otra un poder de representación con el alcance concreto que se determine. Debe señalarse que la esencia del apoderamiento se encuentra en el hecho de que el representante despliega una actuación por cuenta del representado que tiene efectos en la esfera jurídica de aquel. Por tanto, la representación es la institución por la cual un sujeto (representante) sustituye a otro (representado) en la realización de la actividad jurídica. De forma coherente con lo anterior, y en tanto que la representación determina la sustitución del representado por el representante en el tráfico jurídico, la base de la relación representativa es la confianza y la fidelidad entre representante y representado, configurándose así como una relación de carácter personal. Debe recordarse que el negocio jurídico de apoderamiento, basado en una relación de confianza y fidelidad, se sujeta al mismo esquema legal que el mandato y, por tanto, no está sujeto a ninguna formalidad, pudiendo incluso ser tácito, según establece el artículo 1710 del Código Civil en los siguientes términos: “El mandato puede ser expreso o tácito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/89 El expreso puede darse por instrumento público o privado y aun de palabra. La aceptación puede ser también expresa o tácita, deducida ésta última de los actos del mandatario”. Por consiguiente, la regla general es la libertad de forma de la declaración de voluntad del principal, lo que ha sido confirmado por la jurisprudencia. Así a modo de ejemplo, la Sala de lo Civil del Tribunal Supremo en su sentencia 133/1994 de 25 de febrero (RJ 1994/1263) recordó lo siguiente: “[...] es doctrina jurisprudencial que el apoderamiento no viene sujeto a forma «ad solemnitatem» tal como establece el artículo 1710, párrafo 2.º, CC, e incluso puede nacer de una declaración de voluntad tácita sin que a ello se oponga la exigencia formal señalada en el número 5.º [...] ”. Entrando a analizar el caso concreto, es preciso poner de manifiesto que CaixaBank Now permite a sus usuarios “nombrar a otras personas para que puedan usar su CaixaBank Now”, pudiendo conceder distintos “grados de acceso” a favor de los terceros autorizados. Así el apoderamiento que se realice con base en el sistema de CaixaBank Now es jurídicamente completo y, desde luego, de obligado cumplimiento para CaixaBank. En particular, y según resulta de la cláusula 1.2 de las condiciones generales del Contrato de CaixaBank Now, se diferencian los siguientes “grados de acceso” que pueden concederse a los terceros autorizados, cuya elección concreta determinará el alcance de la autorización: “Básico: permite al usuario presentar documentos para realizar distintas operaciones, como domiciliaciones, transferencias, etc., que requieren la firma del titular o de un usuario con plenas facultades. La finalidad es que el usuario prepare las operaciones para que usted como titular, las consienta con posterioridad. (…) Por tanto, de conformidad con la documentación contractual, el titular del contrato de CaixaBank Now puede autorizar a terceros para que accedan a los servicios de la plataforma digital, pudiendo determinar en cada caso el alcance de la autorización otorgada (eligiendo en cada caso el “grado de acceso” que concede). Lo anterior evidencia que CaixaBank permite a los clientes definir el alcance del apoderamiento que conceda caso a caso. Y ese apoderamiento (con el concreto alcance en el que haya sido conferido) debe respetarse por CaixaBank, de forma que si no permitiese acceder a la plataforma el tercero autorizado incurriría en un incumplimiento del Contrato CaixaBank Now. Así las cosas, el sistema de apoderamiento que ofrece CaixaBank Now se configura como un verdadero sistema de apoderamiento digital, permitiendo que los titulares de los correspondientes contratos puedan autorizar a terceros para que actúen por su cuenta en los términos en los que hayan sido expresamente autorizados en el ámbito de acceso a la plataforma digital. Este es un instrumento muy útil: el titular de la cuenta corriente puede acceder a aquella a través de CaixaBank Now y, además, puede apoderar, por ejemplo, a asesores fiscales, gestores, administradores o, en general, a cualquier tercero C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/89 para que acceda a las cuentas del titular. El apoderamiento documental tradicional viene a ser sustituido por el apoderamiento virtual a través de CaixaBank Now. Pues bien, en el presente caso, y en virtud del Contrato CaixaBank Now, B.B.B. autorizó a su madre (D.D.D.) para que pudiera acceder a la información de las cuentas de las que es titular, de forma que, amparada en su autonomía de la voluntad, autorizó a su madre para que pudiera acceder a la plataforma digital por su cuenta. Este es un apoderamiento jurídicamente completo. En este sentido, importa destacar que el alcance del apoderamiento concedido a favor de B.B.B. incluía la visualización de los datos de la Cuenta Compartida. Así, y habiendo podido limitar el objeto de la autorización a los datos de las cuentas de su única titularidad, B.B.B. decidió libre y unilateralmente que la autorización concedida a favor de D.D.D. comprendiera los datos de la Cuenta Compartida, de forma que CaixaBank debía permitir a D.D.D. acceder a los datos de la Cuenta Compartida. Ejercicio de la Autonomía informativa Es muy importante destacar que el alcance de la autorización fue expresamente decidido por B.B.B. amparada en su autonomía de la voluntad. En efecto, el sistema de CaixaBank Now permite a los usuarios seleccionar expresamente las opciones de visualización que se conceden a los terceros autorizados, sin que en ningún caso CaixaBank imponga un sistema por defecto del que el usuario no sea consciente. El sistema de representación voluntaria desarrollado por CaixaBank es plenamente respetuoso con la autonomía informativa de los usuarios. Permite decidir al usuario con absoluta precisión facultar al representante o autorizado bien para consultar (i.e. visualizar) bien para operar (i.e. disponer), y dentro del ámbito de consulta delimitar también los concretos productos. CaixaBank es el destinatario del alcance de la autorización concedida por el cliente. Si el cliente concede una autorización a un tercero, CaixaBank deberá atender al alcance de la autorización concedida. Y, por tanto, deberá permitir el acceso autorizado, así como, en hipótesis, entregar los datos que en su caso solicite ese tercero autorizado incluidos en el ámbito de la autorización. A continuación, se exponen los hitos temporales relevantes de los que resulta que, efectivamente, el alcance de la autorización concedida a favor de B.B.B. comprendía el acceso a la Cuenta Compartida. En particular: El 3 de febrero de 2021 B.B.B. suscribió el Contrato de CaixaBank Now y en el proceso de alta de ese Contrato incluyó a D.D.D. como autorizada, según resulta de las capturas de pantalla que se aportaron con el escrito de 15 de junio de CaixaBank contestando al requerimiento de la AEPD (y que se reproducen a continuación para mayor facilidad). En esta primera configuración, B.B.B. limitó el acceso de D.D.D. a las cuentas de las que B.B.B. era la única titular, excluyendo la posibilidad de acceder a información relativa a la Cuenta compartida. Esto quiere decir que D.D.D. no incluía la visibilidad de la Cuenta Compartida (que acaba en 462), por haberse excluido expresamente por B.B.B., titular del Contrato de CaixaBank Now. No obstante, la configuración sobre la visibilidad de las cuentas se modificó expresamente por B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/89 En particular, el 4 de agosto de 2021 se modificó la configuración de visualización inicial, permitiendo a D.D.D. visualizar la operativa concreta de la Cuenta Compartida. Concretamente, como consecuencia de ese cambio de configuración (que se realizó a petición de B.B.B.), D.D.D. no solo quedó facultada para visualizar las Cuentas de las que únicamente es titular B.B.B., sino que también quedó autorizada para visualizar la Cuenta 462 (que es la Cuenta Compartida). Así, a partir del 4 de agosto de 2021, B.B.B. autorizó expresamente que D.D.D. pudiera acceder a información de la Cuenta compartida a través de la plataforma de banca digital, de forma que el alcance del apoderamiento pasó a comprender también el acceso a la Cuenta Compartida. El 10 de agosto de 2021 se realizó una nueva modificación de la autorización conferida a D.D.D. modificando así su alcance y excluyendo de tal autorización la visualización de las tarjetas asociadas al Contrato CaixaBank Now. Por tanto, como consecuencia de la referida modificación, se limitó la autorización otorgada a favor de D.D.D., excluyendo de sus facultades la visualización de los movimientos que se realizaran con las tarjetas asociadas a las distintas cuentas. El 11 de agosto de 2021 B.B.B. volvió a modificar el alcance de la autorización otorgada a favor de D.D.D., reintegrando la facultad de consultar la operativa de las tarjetas asociadas a las cuentas titularidad de B.B.B.. Lo anterior resulta de la siguiente captura de pantalla: (…) Así las cosas, el alcance del apoderamiento a favor de D.D.D. en los términos modificados el 11 de agosto de 2021 incluye la consulta de los movimientos de la Cuenta Compartida, así como los movimientos de las tarjetas asociadas a esas cuentas. Debe señalarse que este era el alcance del apoderamiento en el momento en que se formuló la reclamación de la que trae causa el Acuerdo de inicio. Y ese era precisamente el alcance que CaixaBank debía respetar en cumplimiento del Contrato CaixaBank Now. Por todo lo anterior debe concluirse que el alcance del apoderamiento a favor de D.D.D. en los términos expresamente conferidos por B.B.B. comprende el acceso a la plataforma de la banca digital respecto de todas las cuentas de B.B.B. (incluyendo la Cuenta Compartida), así como el acceso a la información vinculada a las tarjetas asociadas a esas cuentas. Ese es el alcance del apoderamiento que confirió B.B.B. de forma libre y unilateral y, por tanto, ese es el apoderamiento que CaixaBank tenía que respetar. Lo anterior, como se avanzaba, tiene consecuencias muy relevantes, tanto desde una perspectiva contractual civil como por lo que se refiere al ámbito de la protección de datos. En particular, si, en relación con los datos de una cuenta solidaria, CaixaBank no permite acceder a un tercero autorizado por uno de los cotitulares, estará incumpliendo el contrato, así como el apoderamiento concedido por aquel. En efecto, y en este caso concreto, si CaixaBank (contraparte del Contrato de Cuenta Corriente) hubiera impedido el ejercicio de los derechos que correspondían de forma solidaria a B.B.B. a través de un tercero (D.D.D.) habría incumplido de forma clara el Contrato de Cuenta Corriente, así como el Contrato CaixaBank Now. En efecto, B.B.B. tenía “derecho a pedir” (artículo 1.137 del Código Civil) lo que resulta del Contrato de Cuenta Corriente, por sí o por medio de cualquier tercero y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/89 CaixaBank (artículos 1.090, 1.254 y 1.258 del Código Civil) debía permitir el ejercicio de los derechos de la contraparte a que se obligó en virtud del Contrato de Cuenta Corriente, con independencia de que el sujeto que los ejerciera fuera uno de los titulares de la Cuenta Compartida o un tercero debidamente apoderado a través del sistema CaixaBank Now. En este sentido, importa destacar que la forma y el alcance del apoderamiento es una cuestión que escapa del ámbito de la protección de datos, según recuerdan las “Guidelines 01/2022 on data subject rights - Right of access. Version 2.0. Adopted on 28 March 2023” al establecer expresamente lo siguiente: En este sentido, las legislaciones nacionales que regulan la representación (por ejemplo, los poderes notariales), [...] deben tenerse en cuenta, ya que el RGPD no regula esta cuestión. De conformidad con el principio de responsabilidad, así como de los demás principios de protección de datos, los responsables del tratamiento deberán poder demostrar la existencia de la autorización pertinente para [...] recibir la información solicitada, salvo si la legislación nacional difiere (por ejemplo, si la legislación nacional contiene normas específicas relativas a la fiabilidad de los responsables del tratamiento). En el ordenamiento jurídico español, como se ha expuesto, el negocio jurídico del apoderamiento no está sujeto a ninguna formalidad, de suerte que el apoderamiento para el acceso a la Cuenta Compartida realizado con base en el Contrato CaixaBank Now es jurídicamente completo y, desde luego, de obligado cumplimiento para CaixaBank.Procedería, llegados a este punto, hacerse la siguiente pregunta retórica: Si D.D.D. hubiera acudido a CaixaBank con un poder notarial que la amparara a solicitar el derecho de acceso a los datos de B.B.B., ¿debería CaixaBank haberle únicamente entregado la información relativa a los contratos en los que B.B.B. era titular única, por no aportar autorización de los cotitulares del resto de contratos? Y si generalizamos, cuando un apoderado (el representante legal o voluntario que indica el artículo 12 LOPD) solicite un ejercicio del derecho de acceso, ¿deben los responsables de los datos negar al acceso a los datos de los productos con cotitulares hasta que se aporte autorización de los cotitulares? Claramente la respuesta, atendiendo a la práctica actual y las instrucciones y resoluciones de la propia AEPD, es que se debe atender el derecho de acceso completo, pese a que se ejerza mediante representante, salvo que la AEPD pretenda cambiar el criterio mediante esta resolución. Y debe tenerse en cuenta que lo habitual es que los clientes tengan diversidad de productos, con diversidad de cotitulares en ellos (familiares, parejas, socios, etc.), y esta modificación del criterio supondría una afectación muy profunda a la capacidad de ejercer el derecho de acceso (u otros) mediante representante. Y dicho todo lo anterior, ¿Qué diferencia hay entre el ejercicio del derecho de acceso y la consulta de la información por un servicio de banca on line? Por lo demás, el acceso de D.D.D. a los datos de la Cuenta Compartida es acorde a Derecho por ser coherente con la naturaleza solidaria de la Cuenta Compartida. En efecto, en el momento en que C.C.C. consintió que la Cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/89 Compartida fuera solidaria (como efectivamente hizo al firmar el Contrato de Cuenta Corriente), consintió que B.B.B. pudiera ejercitar sus derechos en calidad de cotitular de forma individual y, por tanto, consintió que B.B.B., amparándose en su autonomía privada, pudiera ejercitar tales derechos de la forma que considerara oportuna, bien por su cuenta, bien por medio de un tercero autorizado. Y si el cotitular decide libremente ejercitar su derecho por medio de un tercero y le apodera a tal efecto a través del sistema ofrecido en CaixaBank Now (que se configura como un sistema jurídicamente completo atendiendo a la libertad de forma del negocio del apoderamiento), CaixaBank debe respetarlo y, por tanto, debe permitir el acceso al tercero autorizado. En definitiva, en el momento en que C.C.C. consintió que la cuenta fuera solidaria, consintió que B.B.B. accediera a la información de la cuenta a través de CaixaBank Now y, por tanto, consintió que tal acceso pudiera realizarlo bien B.B.B. por su cuenta, bien un tercero que B.B.B. autorizara a tal efecto (como efectivamente sucedió al apoderar a D.D.D.). Lo anterior determina que D.D.D., amparándose en la autorización concedida por B.B.B., pudiera, por un lado, acceder a los datos de la Cuenta Compartida (en tanto que tales datos estaban comprendidos en el alcance del poder a su favor) y, por otro lado, requerir a CaixaBank que le entregara los referidos datos. En caso de que CaixaBank no hubiera permitido el acceso o se hubiera negado a entregarle los datos solicitados, CaixaBank habría incurrido en un incumplimiento del Contrato CaixaBank Now y del Contrato de Cuenta Compartida. Como consecuencia de lo anterior, el procedimiento sancionador debe archivarse por ausencia de tipicidad. En efecto, el acceso a la Cuenta Compartida por la representante de la cotitular fue consentido por C.C.C.. Como consecuencia de lo anterior, el procedimiento sancionador debe archivarse por ausencia de tipicidad. En efecto, el acceso a la Cuenta Compartida por la representante de la cotitular fue consentido por C.C.C.. El Acuerdo de inicio considera de forma improcedente, dicho sea con el debido respeto, que supuestamente CaixaBank habría incurrido en determinadas infracciones tipificadas en el RGPD. En particular, las infracciones cuya imputación trata de sostener el Acuerdo de incoación son las siguientes:
- i)Supuesta vulneración del artículo 5.1.
- f)del RGPD que establece el principio de confidencialidad de los datos. En particular, el Acuerdo de incoación considera que se habría vulnerado tal principio en tanto que, según su entender (improcedente dicho sea con el debido respeto), C.C.C. “no ha dado autorización a la madre de [ B.B.B.] para que acceda a los datos de la tarjeta asociada a la cuenta de las que los dos reclamantes son titulares”. El Acuerdo de incoación califica la supuesta vulneración del principio de confidencialidad como una infracción muy grave al amparo del artículo 72 del RGPD.
- i)C/ Jorge Juan, 6 28001 – Madrid Supuesta infracción del artículo 32 del RGPD que establece la obligación de los responsables del tratamiento de aplicar “medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”. www.aepd.es sedeagpd.gob.es 29/89 En particular, el Acuerdo de incoación considera que CaixaBank no contaría con medidas de seguridad adecuadas en tanto que “se ha seguido manteniendo el acceso de la madre de la reclamante a la cuenta que los reclamantes tienen en común, pese a que la madre de la parte reclamante 1, no es titular ni persona autorizada para acceder a dicha cuenta”. El Acuerdo de incoación califica la supuesta ausencia de medidas de seguridad adecuadas como una infracción grave al amparo del artículo 73 del RGPD.
- ii)Supuesta infracción del artículo 25 del RGPD por supuestamente haber vulnerado la protección de los datos “desde el diseño de la aplicación informática”. En particular, el Acuerdo de incoación considera que CaixaBank habría vulnerado la protección de los datos “desde el diseño”, en la medida en que según la AEPD “a través de la banca online no se debería poder nunca permitir que una persona accediese a datos personales obrantes en cuentas en las que no se es titular ni persona autorizada”. El Acuerdo de incoación califica la supuesta vulneración de la protección de los datos “desde el diseño” como una infracción grave al amparo del artículo 73 del RGPD. Debe advertirse inmediatamente que el fundamento en el que el Acuerdo de incoación trata de sostener la comisión de las infracciones indicadas es la supuesta falta de consentimiento de C.C.C. a que B.B.B. accediera a la información de la Cuenta Compartida. Lo anterior resulta de forma ilustrativa del siguiente párrafo del Acuerdo de incoación: “Sin embargo, de conformidad con los hechos constatados, parece que la banca online de la entidad reclamada no exige el consentimiento de todos los titulares, sino que le basta con tener el consentimiento de uno de los titulares para permitir el acceso a terceros, lo cual vulnera la protección de datos de los titulares que formando parte de una cuenta de titularidad conjunta no hayan dado su consentimiento o autorización para que terceros puedan acceder a los movimientos de una cuenta de su titularidad, cuando dicha cuenta es compartida con otros titulares”. En efecto, sobre la base de esta supuesta falta de consentimiento de C.C.C. (lo que se niega en todo caso) el Acuerdo de incoación construye la supuesta vulneración del principio de confidencialidad, la supuesta ausencia de medidas adecuadas para proteger los datos personales y el supuesto diseño deficiente de la plataforma de la banca digital. No obstante, el planteamiento del Acuerdo de incoación ignora un elemento de cabal importancia: La Cuenta Compartida está sujeta al régimen de solidaridad (y no de mancomunidad). En efecto, como se ha expuesto, la Cuenta Compartida es solidaria, de modo que C.C.C. en el momento de suscribir el Contrato de la Cuenta Compartida consintió que B.B.B. accediera a la información de la cuenta a través de CaixaBank Now y, por tanto, consintió que tal acceso pudiera realizarlo bien B.B.B. por su cuenta, bien a través de un tercero que B.B.B. autorizara a tal efecto (en este caso D.D.D.). La decisión sobre el ejercicio de los derechos reside en el ámbito de la autonomía de la voluntad de su titular, siendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/89 indiferente si lo ejercita por su cuenta o a través de un tercero por medio de un apoderamiento. Y si el cotitular decide libremente ejercitar su derecho por medio de un tercero y le apodera a tal efecto a través del sistema ofrecido en CaixaBank Now (que se configura como un sistema jurídicamente completo atendiendo a la libertad de forma del negocio del apoderamiento), CaixaBank debe respetarlo y, por tanto, debe permitir el acceso al tercero autorizado. De lo contrario CaixaBank incurriría en un incumplimiento del Contrato CaixaBank Now. Se sigue de lo anterior, que el planteamiento del Acuerdo de incoación únicamente sería correcto en caso de que la Cuenta Compartida fuera mancomunada. En ese caso B.B.B. debería solicitar el consentimiento de C.C.C. para ejercitar el derecho de acceso a la cuenta. Pero ese planteamiento no se corresponde con la realidad de los hechos. En definitiva, el acceso de D.D.D. fue consentido por C.C.C., en tanto que la Cuenta Compartida se sujetó por expreso consentimiento de las partes a la “modalidad solidaria”. Partiendo de la anterior premisa, decaen los tipos infractores sobre los que el Acuerdo de incoación pretende basar el procedimiento sancionador. En efecto:
- i)No se vulneró el principio de confidencialidad (en tanto que C.C.C. consintió que B.B.B. ejercitara su derecho de acceso de forma individual, lo que comprende el apoderamiento de un tercero para su ejercicio).
- ii)CaixaBank cuenta con las medidas de seguridad adecuadas, no siendo exigible que establezca medidas de seguridad para que los terceros autorizados por un cotitular accedan a información de cuentas compartidas. Si la cuenta es solidaria (como lo es en este caso) cualquiera de los cotitulares puede autorizar a un tercero para que ejerza su derecho consistente en el acceso a las cuentas, teniendo en cuenta que tal autorización se consiente en el momento en que se somete la cuenta a la “modalidad solidaria”. De hecho, entender lo contrario implicaría vulnerar el régimen de solidaridad acordado por las partes contractualmente. iii) La plataforma de banca digital no adolece de un defecto en el diseño, no siendo exigible que requiera el consentimiento de todos los cotitulares para que terceros autorizados por uno de ellos puedan acceder a la información de la cuenta, siempre que la cuenta se haya sometido al régimen de solidaridad y, por tanto, siempre que los cotitulares puedan ejercitar sus derechos del modo que estimen oportuno. Lo anterior sería equivalente a obviar el régimen solidario de la Cuenta Compartido que fue expresamente consentido por los cotitulares y que debe respetarse por CaixaBank Now. A mayor abundamiento, en ningún caso podría fundamentarse un deficiente diseño de la plataforma teniendo en cuenta que, según se ha visto, esta permite a los titulares de la cuenta configurar las opciones de acceso de los terceros. En efecto, y atendiendo a la cláusula 1.2 de las condiciones generales del Contrato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/89 CaixaBank Now, los “grados de acceso” que se pueden otorgar a los terceros autorizados son los siguientes: “Básico: permite al usuario presentar documentos para realizar distintas operaciones, como domiciliaciones, transferencias, etc., que requieren la firma del titular o de un usuario con plenas facultades. La finalidad es que el usuario prepare las operaciones para que usted como titular, las consienta con posterioridad. Consulta: permite al usuario consultar los servicios contratados así como su operativa concreta. Consulta y preparación: es la suma de los dos niveles anteriores. Todo permitido: el usuario puede acceder a todos los servicios que ofrece CaixaBank Now. Detallado: el usuario puede tener distintos niveles de acceso, según el tipo de servicio: cuenta corriente, fondo de inversión, seguro, etc.” Así las cosas, no existe un diseño deficiente en tanto que, precisamente, la plataforma de la banca digital permite a los titulares configurar como consideren oportuno el acceso de terceros, incluso permitiendo configurar este acceso de forma personalizada en “distintos niveles de acceso, según el tipo de servicio: cuenta corriente, fondo de inversión, seguro, etc.” En definitiva, el acceso de D.D.D. a los datos de la Cuenta Compartida en sustitución de B.B.B. y al amparo de una autorización expresamente concedida por esta fue consentido por C.C.C., que al consentir que la Cuenta Compartida fuera solidaria, consintió que B.B.B. pudiera ejercitar sus derechos individuales del modo que considerara oportuno. Así las cosas, la actuación de CaixaBank al permitir el acceso de B.B.B. es atípica, toda vez que tal acceso estaba amparado por la documentación contractual que suscribieron los cotitulares de la Cuenta Compartida. De hecho, exigir el consentimiento de C.C.C. hubiera supuesto vulnerar los términos del Contrato de la Cuenta Compartida, toda vez que hubiera supuesto aplicar el régimen de mancomunidad a una cuenta cuyos cotitulares pactaron expresamente que fuera solidaria. En este sentido, debe recordarse que tanto el Contrato de Cuenta Corriente como el apoderamiento a favor de D.D.D. son negocios jurídicos válidos que fueron celebrados conforme al Código Civil y de los que resulta, precisamente, que B.B.B. en ejercicio independiente de su derecho pudiera autorizar libremente a D.D.D. para que lo ejercitara por su cuenta (siendo absurdo exigir el consentimiento expreso de C.C.C. a tal efecto). La AEPD no puede pretender alterar, más allá de su competencia, el régimen jurídico de un contrato válidamente celebrado para derivar consecuencias impropias del régimen jurídico civil propio de ese contrato. En este sentido, resultan ilustrativas las Guidelines al establecer expresamente que “las legislaciones nacionales que regulan la representación (por ejemplo, los poderes notariales), [...] deben tenerse en cuenta, ya que el RGPD no regula esta cuestión”. En efecto, el RGPD no regula cómo deben C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/89 ser los apoderamientos a favor de terceros. Esta es una cuestión civil sobre la que la AEPD no tiene ninguna competencia. Por todo lo anterior, es preciso que se archive el presente procedimiento por ausencia de tipicidad. En efecto, y como se ha visto, el acceso a la Cuenta Compartida por la representante de la cotitular fue consentido por C.C.C. al consentir que la Cuenta Compartida fuera solidaria, lo que implica que decaigan los tipos infractores sobre los que el Acuerdo de incoación pretende basar el procedimiento sancionador. (…) Aun cuando pudiera entenderse que CaixaBank incurrió en las infracciones del RGPD indicadas (quod non), la imputación que Acuerdo de incoación seguiría resultando improcedente. Y ello, porque en todo caso no concurre el elemento subjetivo de culpabilidad imprescindible para ejercer la potestad sancionadora, según resulta expresamente del artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, la “Ley 40/2015”) al establecer que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas [...] que resulten responsables de los mismos a título de dolo o culpa”. Así lo recuerda el Tribunal de Justicia de la Unión Europea en su sentencia de 5 de diciembre de 2023 (Asunto C-807/2021), que en relación con la imputación de infracciones de la normativa de protección de datos, estableció lo siguiente: “En consecuencia, procede declarar que el artículo 83 del RGPD no permite imponer una multa administrativa por una infracción contemplada en sus apartados 4 a 6 sin que se demuestre que dicha infracción fue cometida de forma intencionada o negligente por el responsable del tratamiento y que, por lo tanto, la culpabilidad en la comisión de la infracción constituye un requisito para la imposición de la multa. [...] Habida cuenta de las consideraciones anteriores, procede responder a la segunda cuestión prejudicial que el artículo 83 del RGPD debe interpretarse en el sentido de que solo puede imponerse una multa administrativa con arreglo a esa disposición si se demuestra que el responsable del tratamiento, que es a la vez una persona jurídica y una empresa, cometió, de forma intencionada o negligente, una infracción contemplada en los apartados 4 a 6 de dicho artículo”. Por tanto, en cualquier caso, debe concurrir el elemento subjetivo para sancionar una conducta que se considere típica. En este sentido, debe señalarse que una consolidada jurisprudencia de la Sala Tercera del Tribunal Supremo se ha pronunciado en numerosas ocasiones sobre la exoneración de responsabilidad en el ámbito sancionador como consecuencia de la aplicación razonable de las normas, en este caso la interpretación histórica, consolidada y, hasta el momento, no cuestionada del funcionamiento de las facultades solidarias. Pueden citarse, entre otras muchas, las Sentencias de esta Excma. Sala de 6 de julio de 1995 (RJ 5796), 12 de enero de 2002 (RJ 549) y 30 de junio de 2003 (RJ 5754), 9 de diciembre de 1997 (RJ 485). Conforme a esta última: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/89 “Para que una discrepancia jurídica pueda ahuyentar la culpabilidad de un incumplimiento normativo objetivamente acreditado es necesario que resulte razonablemente justificada. Y esto último, a su vez, exige que se precisen los puntos polémicos que susciten esa discrepancia, la alternativa interpretativa que en contra del órgano administrativo sancionador se sustente sobre esos puntos y las argumentaciones jurídicas utilizadas para defender esa interpretación diferenciada”. Pues bien, en el caso que nos ocupa se dan todas las condiciones para aplicar esta doctrina y estimar que no cabe apreciar el elemento subjetivo en la conducta de CaixaBank que permita imponerle la sanción pretendida y que, por ello, la imputación de la infracción efectuada en el Acuerdo de incoación es improcedente. En particular, la interpretación de CaixaBank del RGPD le lleva de forma razonable a concluir que el acceso de D.D.D. a la Cuenta Compartida es correcta, en la medida en que es coherente con el régimen de solidaridad al que se sometió la referida Cuenta. En este sentido la exigencia del consentimiento de C.C.C. para que D.D.D. (en sustitución de B.B.B.) pudiera acceder a información pierde todo el sentido cuando se contextualiza con el resto del ordenamiento jurídico y, en particular, con lo dispuesto en el Código Civil, que contempla las relaciones solidarias, así como figura del mandato, para el que se permite total libertad de forma. Entender lo contrario supondría desnaturalizar la dinámica de las relaciones solidarias (que permiten el ejercicio independiente de los derechos de la forma que se estime conveniente), así como desnaturalizar el apoderamiento, que permite el ejercicio independiente de derechos a través de un tercero (que actúa como una suerte de alter ego en el tráfico jurídico). Tanto es así, que exigir el consentimiento en los términos pretendidos por la AEPD hubiera supuesto un incumplimiento del Contrato de Cuenta Corriente, en la medida en que este Contrato permite a sus cotitulares ejercitar sus derechos de forma independiente (con independencia de la forma de ejercicio) y sin que sea precisa la concurrencia del otro titular. Por otro lado, debe señalarse que la actuación de CaixaBank fue diligente en la medida en que mi representada permitió el acceso de D.D.D. en los términos expresamente autorizados por B.B.B. en cada momento (respetando así la naturaleza solidaria de la Cuenta Compartida y la autorización conferida a favor de D.D.D.). En efecto, el acceso que tuvo D.D.D. a las cuentas de las que B.B.B. era titular (de forma individual o compartida) se ajustaba a la configuración de visualizaciones que libremente había elegido B.B.B., poniéndose CaixaBank a su disposición para modificarla según sus preferencias. A mayor abundamiento, en ningún caso puede considerarse que la conducta de CaixaBank fue culpable en tanto que CaixaBank trató de colaborar con B.B.B. ofreciéndole concertar una reunión presencial para que pudiera configurar el alcance de la autorización conferida a favor de D.D.D. (y, en particular, para configurar las opciones de visualización de las que disponía). No obstante, B.B.B. declinó la propuesta de CaixaBank, según se expuso en el escrito de 15 de junio presentado ante la AEPD por mi representada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/89 “El Delegado de Protección de Datos ha coordinado, junto con los responsables de seguridad de la Entidad al análisis de la reclamación de B.B.B. y, ante la imposibilidad de reproducir los incidentes descritos por la Reclamante
(1), propuso mantener una reunión con ella en la que, acompañados de especialistas en las aplicaciones de banca online de la Entidad, se intentaran reproducir los supuestos errores y, de resolverse que no había incidencia técnica sino una configuración de visualizaciones incorrecta por parte de la usuaria, se le ayudara a configurar los accesos conforme a sus requerimientos. Esta sugerencia fue adoptada y se trasladó a la Reclamante
(1)y a la AEPD. En ejecución de la recomendación del DPD, desde CaixaBank se intentó mantener con la Reclamante
(1)una cita presencial en su oficina gestora con la finalidad de configurar, según sus preferencias, las facultades de operación y visualización de sus productos a los usuarios autorizados designados en su contrato de Banca Online. La Reclamante
(1)ha declinado en varias ocasiones a través de su gestor mantener esta cita presencial para la revisión de sus preferencias de visualización y operativa de sus autorizados, por lo que desde CaixaBank nos ha resultado imposible conocer si la configuración actual del contrato de Banca Online de la Reclamante
(1)se adecua, o no, a sus preferencias”. Así las cosas, en ningún caso puede considerarse que la conducta de CaixaBank fue culpable en tanto que el acceso que tenía D.D.D. se ajustaba a la configuración de visualizaciones que libremente había elegido B.B.B. y CaixaBank trató de colaborar con B.B.B. a fin de que pudiera configurar el alcance de la autorización conferida, a pesar de su negativa a reunirse con mi representada. En efecto, CaixaBank mantuvo en todo momento una conducta diligente y se ofreció a mantener una cita personal, que nunca llegó por la negativa de B.B.B.. Por todo lo anterior, incluso en el hipotético y negado caso de considerar que los hechos imputados son típicos (quod non), no procedería sancionar a CaixaBank por las supuestas y negadas infracciones identificadas en el Acuerdo de incoación, toda vez que su conducta estuvo motivada por una interpretación razonable de las normas aplicables y su actuación fue en todo momento diligente, de forma que no concurre el elemento subjetivo necesario para sancionar.” OCTAVO: Con fecha 6 de marzo de 2024, el instructor del procedimiento acordó dar por reproducidos a efectos probatorios la reclamación interpuesta por B.B.B. y C.C.C. su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por CAIXABANK, S.A., y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/89 NOVENO: Con fecha 28 de octubre de 2024 se notifica propuesta de resolución, donde se propone: Que por la Directora de la Agencia Española de Protección de Datos se sancione a CAIXABANK, S.A., con NIF A08663619, por las siguientes infracciones: Del artículo 5.1. f), RGPD, tipificada en el art. 83.5
- a)calificada como muy grave a efectos de prescripción en el artículo 72.1
- a)de la LOPDGDD, con una multa de 500.000 euros (quinientos mil euros) Del artículo 32 del RGPD, tipificada en el art. 83. 4
- a)del RGPD calificada como grave a efectos de prescripción en el artículo 73
- f)de la LOPDGDD, con una multa de 300.000 euros (trescientos mil euros). Del artículo 25 del RGPD, tipificada en el art. 83. 4
- a)del RGPD y calificada como grave a efectos de prescripción en el artículo 73
- d)de la LOPDGDD, con una multa de 3.000.000 (tres millones de euros). La suma de las multas propuestas hace un total de 3.800.000 millones de euros. Que por la Directora de la Agencia Española de Protección de Datos se ordene a CAIXABANK, S.A., con NIF A08663619, que en virtud del artículo 58.2.
- d)del RGPD, acredite, en el plazo de tres meses desde la ejecutividad de la resolución que sea dictada, la adopción de las medidas adoptadas por la entidad responsable para garantizar que el tratamiento de datos personales que realiza se ajusta a las disposiciones del RGPD, en concreto, en lo relativo a las garantías de confidencialidad de los datos que se traten y de la adopción de las medidas técnicas y organizativas de seguridad que sean apropiadas en función del riesgo derivado del tratamiento. En relación con la infracción del artículo 25 del RGPD, las medidas correctivas consisten en notificar, en el plazo de nueve meses desde que la resolución que ponga fin al presente procedimiento sancionador sea ejecutiva, la adopción de medidas técnicas y organizativas de seguridad desde el diseño y por defecto, que garanticen que la aplicación de la banca online de la entidad reclamada proteja los datos de carácter personal con carácter general a todos los clientes de la entidad reclamada. DÉCIMO: Con fecha 19 de noviembre de 2024, la entidad reclamada presentó alegaciones a la propuesta de resolución, indicando literalmente las siguientes alegaciones: (…) Como se expuso en el escrito de Alegaciones contra el Acuerdo de incoación, al que nos remitimos íntegramente, la imputación a CaixaBank carece de sentido, toda vez que la actuación de mi representada ni fue típica ni fue culpable. Lo anterior debió llevar necesariamente al archivo del presente procedimiento sancionador. En particular:
- i)C/ Jorge Juan, 6 28001 – Madrid B.B.B. y C.C.C. formalizaron un contrato de cuenta corriente con CaixaBank, con base en el cual pasaban a ser cotitulares de una cuenta www.aepd.es sedeagpd.gob.es 36/89 corriente compartida (en adelante, la “Cuenta Compartida” y el “Contrato de Cuenta Corriente”). De acuerdo con el Contrato de Cuenta Corriente, al ser una cuenta corriente “solidaria”, cada uno de los titulares de la Cuenta Compartida podría ejercer de forma válida sus derechos en relación con esa cuenta de forma independiente del otro, sin la concurrencia del otro titular.
- ii)Según resulta del Contrato de Cuenta Corriente y del Código Civil, el ejercicio de los derechos derivados de la Cuenta Compartida puede ser realizado de forma personal por los titulares o por medio de un representante apoderado al efecto, que de este modo sustituye al titular en el ejercicio de sus derechos. iii) C.C.C., al firmar el contrato de Cuenta Corriente, consintió el ejercicio de la totalidad de los derechos que de ella resultan por parte de B.B.B., tanto de forma personal por esta como como por cualquier representante que esta pudiera designar y con el alcance que B.B.B. considerara oportuno.
- iv)B.B.B. apoderó a su madre, D.D.D., a través de la plataforma “CaixaBank Now” para acceder a las cuentas corrientes de que aquella es titular (incluyendo la Cuenta Compartida) en ejecución del contrato de “servicio CaixaBank Now” suscrito el 3 de febrero de 2021 (el “Contrato CaixaBank Now”). En particular, el alcance del apoderamiento (que incluía la Cuenta Compartida) y, por tanto, el ámbito al que podía acceder la representante apoderada (D.D.D.) fue determinado libre y unilateralmente por B.B.B., en ejercicio de la autonomía de la voluntad. En efecto, el sistema de CaixaBank Now permite a los usuarios seleccionar expresamente las opciones de visualización de las cuentas que los clientes otorgan a terceros autorizados, sin que en ningún caso CaixaBank imponga un sistema por defecto (“en bloque”) del que el usuario no sea consciente. Cuando D.D.D. estaba autorizada para visualizar la Cuenta Compartida podía visualizarla y cuando no lo estaba no. Lo anterior se acreditó por medio de las capturas de pantalla que se acompañaron al contestar el requerimiento de información formulado por la AEPD (cfr. folios 402 y ss. del expediente) y no ha sido desvirtuado en la Propuesta de Resolución.
- v)En la hipótesis de que CaixaBank se opusiera al acceso a una cuenta compartida por un representante con un apoderamiento suficiente para la visualización de los movimientos de una cuenta, estaría incumpliendo el Contrato de Cuenta Corriente (que permite el acceso pleno a la cuenta, bien por cada cotitular de forma individual, bien por una persona autorizada individualmente por uno u otro), así como la normativa de protección de datos. En particular: • C/ Jorge Juan, 6 28001 – Madrid Si CaixaBank no permite acceder a los datos de una cuenta solidaria a un tercero autorizado por uno de los cotitulares estará incumpliendo el contrato de cuenta corriente (por vulnerar el régimen de solidaridad www.aepd.es sedeagpd.gob.es 37/89 expresamente acordado), así como el apoderamiento concedido por aquel. •
- vi)Si, por otro lado, CaixaBank no entrega los datos relativos a cuentas solidarias en cotitularidad que, en hipótesis, solicite un tercero, representante legal o voluntario, en el marco de la solicitud de un derecho de acceso, CaixaBank estará incumpliendo la normativa de protección de datos, en tanto que estará impidiendo el ejercicio de derecho de acceso previsto en el artículo 15 del RGPD, y cuyo ejercicio no solo corresponde al titular sino también a ese tercero representante, según establece expresamente el artículo 12 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, la “LOPD”). En definitiva, el acceso de D.D.D. a los datos de la Cuenta Compartida en sustitución de B.B.B. y al amparo de una autorización expresamente concedida por aquella a través de la plataforma CaixaBank Now (y cuyo alcance comprendía la visualización de la Cuenta Compartida) fue consentido porC.C.C., en tanto que consintió que la Cuenta Compartida fuera solidaria y, por ende, consintió que B.B.B. pudiera ejercitar sus derechos individuales del modo que considerara oportuno (i.e. por sí misma o mediante un tercero). Así las cosas, la actuación de CaixaBank al permitir el acceso de B.B.B. es atípica, toda vez que tal acceso estaba amparado por el Contrato de Cuenta Corriente. Por otro lado, CaixaBank actuó de forma diligente y con base en una interpretación razonable de la norma de conformidad con el Código Civil. Lo anterior debió llevar necesariamente al archivo del procedimiento sancionador por ausencia de tipicidad o, subsidiariamente, por ausencia de culpabilidad. 2. Síntesis de los motivos de oposición a la Propuesta de Resolución 2.1.1 El procedimiento sancionador debe archivarse: CaixaBank no incurrió en ningún hecho típico. Ausencia de tipicidad. (…) Con el debido respeto, en este supuesto no se está “planteando una posible colisión entre el Código Civil y la normativa vigente en materia de protección de datos”. El Código Civil regula el régimen de responsabilidad solidaria y mancomunada, así como el régimen de apoderamiento, siendo estas cuestiones que no están reguladas en el RGPD y a las que debe atender la AEPD al analizar el cumplimiento de la normativa de protección de datos. En efecto, el marco legal y los requisitos para el ejercicio de los derechos del interesado mediante un representante no están armonizados por el RGPD, según recuerdan las “Guidelines 01/2022 on data subject rights - Right of access. Version 2.0. Adopted on 28 March 2023” emitidas por el “European Data Protection Board”, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/89 que es la organización coordinadora que reúne las autoridades nacionales de protección de datos, así como al Supervisor Europeo de Protección de Datos (en adelante, la Guía del Derecho de Acceso del CEPD”). En particular, la Guía establece que “las legislaciones nacionales que regulan la representación (por ejemplo, los poderes notariales), [...] deben tenerse en cuenta, ya que el RGPD no regula esta cuestión”. En coherencia con lo anterior, resulta especialmente ilustrativa la reciente sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 3 de octubre de 2024 en la que se estableció expresamente que la AEPD debe atender a la normativa civil a fin de analizar si se ha cometido una infracción en materia de protección de datos (en adelante, la “Sentencia de la Audiencia Nacional”). En efecto la AEPD no puede ignorar el régimen aplicable a la cuenta y al apoderamiento conferido a D.D.D., sino que, siguiendo su planteamiento previo y atendiendo a la Sentencia de la Audiencia Nacional, debe analizar si se produjo una vulneración de la normativa de protección de datos partiendo del régimen aplicable a la relación jurídica entre las partes. Este análisis debe llevar necesariamente a la AEPD a concluir que efectivamente D.D.D., podía acceder a la Cuenta Compartida, atendiendo a la naturaleza solidaria de la Cuenta y a la autorización conferida a su favor a través del sistema CaixaBank Now. En efecto, la AEPD no puede pretender alterar, más allá de su competencia, el régimen jurídico de un contrato válidamente celebrado para derivar consecuencias impropias del régimen jurídico civil propio de ese contrato. Debe advertirse que exigir que el cotitular autorice expresamente el acceso a la cuenta del apoderado por el otro cotitular según pretende la Propuesta de Resolución no solo supondría situar a CaixaBank en una situación de incumplimiento contractual y de la normativa de protección de datos (que expresamente prevé el derecho de acceso de los terceros apoderados), (…). Así, y a modo de ejemplo, implementar lo que propone la Propuesta de Resolución sería tanto como negar el acceso a las cuentas solidarias a aquellos que estuvieran apoderados a tal efecto por un cotitular (incluso mediante un poder notarial) hasta que se aportara una autorización de los otros cotitulares. Esta situación podría llegar al absurdo de que el apoderado de uno de los cotitulares pudiera disponer de los fondos de la cuenta solidaria sin el consentimiento expreso del otro cotitular (en aplicación del régimen de solidaridad) y en cambio no pudiera acceder a la información de esa cuenta sin el previo consentimiento expreso del otro cotitular. Por otro lado, la Propuesta de Resolución sugiere que CaixaBank habría reconocido que la “visualización de datos personales [...] por parte de tercero no autorizado se corresponde con una incidencia” en la respuesta proporcionada al Banco de España. Con el debido respeto, que en el referido escrito se calificara la “visualización de datos personales” como una incidencia técnica no implica en ningún caso que CaixaBank estuviera reconociendo responsabilidad de ningún tipo (y menos responsabilidad por una supuesta y negada infracción en materia de protección de datos). De hecho, en la respuesta al requerimiento presentada ante la AEPD, CaixaBank señaló que “la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/89 operativa que visualiza la autorizada es correcta” porque responde a la autorización expresamente conferida a favor de D.D.D. (p. 406 del expediente administrativo). En cualquier caso, la calificación que se utilizara en el procedimiento seguido ante el Banco de España a la hora de exponer los hechos es irrelevante a los efectos de determinar la responsabilidad de CaixaBank en el presente procedimiento. CaixaBank únicamente podrá ser responsable de hechos que incurran en un tipo infractor. Y en este caso no concurre el elemento de tipicidad, según se expuso en las Alegaciones contra el Acuerdo de incoación a las que nos remitimos íntegramente. Por lo demás, debe señalarse que el planteamiento de la Propuesta de Resolución parte de una premisa errónea, al confundir la figura de apoderado de una cuenta bancaria con la figura de autorizado en la banca digital. (…) Este planteamiento es incorrecto en tanto que no es necesario ser apoderado de una cuenta concreta (y, por tanto, ostentar facultades que podrían incluso comprender el cierre de la cuenta) para poder acceder a información relativa a esa cuenta a través de la plataforma de banca digital si así ha sido autorizado por el titular del contrato de CaixaBank Now, circunstancia que quedó acreditada en las Alegaciones contra el Acuerdo de incoación. Se sigue de lo anterior que CaixaBank no incurrió en ningún hecho típico: C.C.C. consintió que la representante de la cotitular de la Cuenta Compartida pudiera acceder a información de esa Cuenta en el momento en que consintió que la Cuenta Compartida fuera solidaria. Además, incluso en el negado caso de considerar que CaixaBank incurrió en las infracciones cuya imputación propone la Propuesta de Resolución, en ningún caso podrían imputarse las infracciones que responden a la supuesta ausencia de medidas adecuadas y a las supuestas deficiencias en el diseño por haber prescrito. En efecto, el plazo de prescripción de ambas infracciones (tipificadas como graves) es de dos años. Los hechos de los que trae causa la imputación de ambas infracciones se produjeron en 2021, de modo que ambas infracciones prescribieron en 2023. Es decir, antes de que se notificara el Acuerdo de incoación (de 18 de enero de 2024). 2.1.1 A mayor abundamiento el procedimiento sancionador debe archivarse, toda vez que la actuación de CaixaBank no fue culpable. Más allá de la ausencia de tipicidad y de la prescripción de dos de las infracciones, debe señalarse que en ningún caso podría imputarse responsabilidad a CaixaBank en tanto que tampoco concurre el elemento de culpabilidad. En efecto, según se expuso en las Alegaciones contra el Acuerdo de incoación, la actuación de CaixaBank fue coherente con una interpretación contextualizada de la normativa en materia de protección de datos con el resto del ordenamiento jurídico y, en particular, con lo dispuesto en el Código Civil aplicable al Contrato de Cuenta Corriente, que contempla las relaciones solidarias, así como la figura del apoderamiento, para el que se permite total libertad de forma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/89 2.1.2 Sin perjuicio de lo expuesto anteriormente, con carácter subsidiario y en el hipotético y negado caso de que no se acordara el archivo del procedimiento, la sanción propuesta debería reducirse. (…), en el hipotético y negado caso de considerar que CaixaBank incurrió en una conducta típica y culpable (quod non), deberá aplicarse el régimen del concurso medial previsto en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, la “Ley 40/2015”), que limita la imposición de una única sanción en caso de cometer infracciones que deriven necesariamente de otras. A mayor abundamiento, y para el hipotético y negado caso de no aplicar las reglas del concurso medial, en ningún caso cabría aplicar dos sanciones por la supuesta vulneración de los artículos 5 y 32 del RGPD en tanto que tal imputación se basa en los mismos hechos, de modo que en hipótesis únicamente se podría aplicar la sanción asociada a una de las infracciones, pero no a las dos. En cualquier caso, y sin perjuicio de lo anterior, las sanciones propuestas (de un total de 3.800.000 euros) son desproporcionadas y carecen de la necesaria motivación. En particular, las sanciones no atienden al principio de proporcionalidad, teniendo en cuenta que el acceso, aunque en hipótesis hubiera sido ilegítimo (quod non), en ningún caso hubiera podido generar un perjuicio real y efectivo en C.C.C.. *** Atendiendo a lo anterior, las pretensiones de mi representada son que se dicte una resolución por la que (
- i)se acuerde el archivo del presente expediente sancionador y (
- ii)subsidiariamente, y en caso de no archivarlo, se acuerde reducir la sanción atendiendo a los principios de non bis in idem y de proporcionalidad. PRIMERA.- EL PROCEDIMIENTO SANCIONADOR DEBE ARCHIVARSE POR AUSENCIA DE TIPICIDAD. EL ACCESO A LA CUENTA COMPARTIDA POR LA REPRESENTANTE DE LA COTITULAR FUE CONSENTIDO POR C.C.C.: LA CUENTA COMPARTIDA SE SUJETA AL RÉGIMEN DE SOLIDARIDAD. EN CUALQUIER CASO, LAS INFRACCIONES RELATIVAS A LA SUPUESTA AUSENCIA DE MEDIDAS ´TÉCNICAS Y A LA SUPUESTA VULNERACIÓN DE LA PROTECCIÓN DE DATOS DESDE EL DISEÑO HAN PRESCRITO. 1. El procedimiento sancionador debe archivarse por ausencia de tipicidad. La AEPD debe observar el régimen aplicable a la relación jurídica entre las partes, no pudiendo ignorarlo sobre la base del principio de especialidad. CaixaBank en ningún caso reconoció su responsabilidad. En efecto, y según se expuso en las Alegaciones contra al Acuerdo de incoación