PS-00531-2023

1/49  Expediente N.º: EXP202213634 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ING BANK N.V., SUCURSAL EN ESPAÑA (en adelante, ING). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 10 de febrero de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202213634 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 3 de noviembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ING BANK N.V., SUCURSAL EN ESPAÑA (en adelante, ING) con NIF W0037986G. Los motivos en que basa la reclamación son los siguientes: La parte reclamante abrió, hace años, una "Cuenta sin Nómina" con la parte reclamada. Manifiesta que, hace unos meses, dicha entidad le comunicó que su cuenta pasaría a denominarse "Cuenta no Cuenta" y que si su saldo superaba los 30.000 euros (como era el caso), se le aplicarían comisiones, por lo que recomendaban que abriese otra "Cuenta no Cuenta" y repartir el saldo entre ambas, por lo que se trataba de traspasar un saldo cuyo origen se justificó en su día. No obstante, manifiesta que, como requisito para poder contratar la nueva cuenta, la parte reclamada exige que preste su consentimiento expreso para que dicha entidad, en su nombre, solicite a la Tesorería General de la Seguridad Social información de su actividad económica, realizar una comprobación de la misma y cumplir así con lo establecido en la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/49 y de la financiación del terrorismo (LPBCFT). Junto a la reclamación aporta pantallazo (de fecha 3 de noviembre de 2022) relativo a la contratación de la "Cuenta no Cuenta" en la que se indica que para finalizar la contratación "es necesario que consultes y descargues la información precontractual y el documento informativo de comisiones", añadiéndose a continuación, una cláusula en la que se indica que se confirma la prestación del consentimiento expreso para que ING solicite a la Tesorería de la Seguridad Social (TGSS) información sobre su actividad económica, figurando el botón "confirmar". Asimismo, se añade que, "Al pulsar Aceptar confirma y acepta que ha leído el Contrato de Prestación de Servicios y sus Anexos...". La parte reclamante afirma que ING recaba de sus clientes de manera indiscriminada y desproporcionada datos relativos a su situación en la Tesorería General de la Seguridad Social, en aplicación de una mala interpretación de la LPBCFT, dado que el R.D. 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, establece que "los sujetos obligados comprobarán las actividades declaradas por los clientes en los siguientes supuestos:

1. a)Cuando el cliente o la relación de negocios presenten riesgos superiores al promedio, por disposición normativa o porque así se desprenda del análisis de riesgo del sujeto obligado.
2. b)Cuando del seguimiento de la relación de negocios resulte que las operaciones activas o pasivas del cliente no se corresponden con su actividad declarada o con sus antecedentes operativos". Dado que la parte reclamante no se encuentra ni en el caso
3. a)ni en el b), considera que ING usa como excusa la LPBCFT para hacer firmar una autorización, vulnerando así principios protegidos por la Constitución y la Ley de Protección de Datos. Por otra parte, en su reclamación considera que ING vulnera derechos fundamentales, al incluir, para poder finalizar la contratación de las cuentas, una cláusula en la que se da autorización para que pueda solicitar en nombre de los clientes información a la Tesorería General de la Seguridad Social: Cláusula ING: "Confirmo que he sido informado por ING BANK N.V., Sucursal en España, que la legislación vigente sobre prevención de blanqueo de capitales obliga a las entidades bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de verificación de la información facilitada, presto mi consentimiento expreso a ING BANK N.V., Sucursal en España para que en mi nombre pueda solicitar ante la Tesorería General de la Seguridad Social dicha información. Los datos obtenidos de la Tesorería General de la Seguridad Social serán utilizados exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento de esta obligación por la entidad financiera y/o del personal que en ella presta servicios, se ejecutarán todas las acciones previstas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los derechos digitales." SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ING para que procediese a su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/49 análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 09/01/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 08/02/2023 se recibe en esta Agencia escrito de respuesta indicando los siguientes aspectos: - Su delegado de protección de datos no ha realizado informe específico sobre el tratamiento consistente en la verificación de los datos laborales de los clientes/potenciales, sino que se encuentra englobado en otro tratamiento más amplio denominado Proceso de Identificación y Conocimiento del Cliente (Customer Due Diligence (CDD) y Know Your Customer (KYC)). Asimismo, afirma que el sistema utilizado para compartir la información para la verificación laboral de sus clientes es monitorizado periódicamente por su departamento de seguridad. - Considera que no es necesario tomar medidas en relación con la reclamación presentada aludiendo al Convenio firmado entre la TGSS, la Asociación Española de Banca, la Confederación Española de Cajas de Ahorro y la Unión Nacional de Cooperativas de Crédito sobre cesión de información, para justificar el establecimiento de la cláusula en cuestión. Continúa reconociendo que la cláusula que la parte reclamante copia en su denuncia, efectivamente, forma parte del proceso de contratación tanto de la Cuenta Nómina como de la Cuenta no Cuenta (sin nómina), explicando el proceso que se ha de seguir. Así, detalla que, tras el acceso a la página web www.ing.es, una vez que el cliente selecciona la contratación de la Cuenta Nómina o de la Cuenta no Cuenta, lo primero que se le solicita aportar es su email, su número de DNI y la fecha de nacimiento. Posteriormente, se le solicitan otros datos personales como nombre y apellidos, nacionalidad y estado civil, y su dirección. A continuación se da paso a la pantalla de datos laborales donde se le solicita su estado laboral, actividad profesional, sector laboral, empresa, ingresos mensuales, propósito de la relación principal y origen de los fondos, y se muestra la cláusula donde se solicita el consentimiento para la verificación, con la Tesorería General de la Seguridad Social (TGSS), de los datos laborales aportados, información que también se encuentra en la Política de Privacidad para clientes y potenciales clientes que puede consultarse en la página web www.ing.es, apartado "Privacidad y Cookies" y en el Contrato de Prestación de Servicios para los clientes. El redactado de la cláusula es un texto de obligatorio uso que facilita la TGSS a las entidades que desean usar su servicio de verificación y que voluntariamente se han adherido al Convenio que se menciona a continuación, en cuyo Anexo III se recoge el modelo de cláusula a usar. Con fecha 17/01/2008 la Asociación Española de Banca (AEB), la Confederación Española de Cajas de Ahorros (CECA) y la Unión Nacional de Cooperativas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/49 Crédito (UNACC), suscriben con la TGSS un Convenio sobre cesión de información con el fin de facilitar a las entidades de crédito el cumplimiento de la normativa de prevención del blanqueo de capitales, mediante un procedimiento informático mecanizado que permite establecer un proceso diario de solicitud de datos por parte de las entidades financieras y de transmisión de información por parte de la TGSS. Este Convenio fue nuevamente firmado, en su última versión, en el mes de marzo de 2021. Este servicio es denominado el Servicio de Verificación de Fuente de Ingresos (SVFI), cuyo objetivo fundamental es poder comprobar la veracidad de la información que las entidades financieras recaban de sus clientes, a fin de conocer la naturaleza de su actividad profesional o empresarial, y que los clientes aportan con ocasión del establecimiento de relaciones de negocio. Es un proceso de periodicidad diaria por el que la entidad financiera remite un fichero con la identificación de sus clientes personas físicas, para las que solicita información sobre la naturaleza de la actividad profesional o empresarial que se derive de su afiliación a la Seguridad Social. La TGSS procesa estos ficheros diariamente cumplimentando en el mismo la información requerida. Con el NIF que el cliente ha aportado, ING realiza la consulta a la TGSS y verifica la información aportada en el campo estado laboral (todos sus clientes) y, posteriormente, también el pagador (clientes de riesgo medio/alto). ING no solicita otra información a la TGSS, ni la vida laboral del cliente ni ninguna distinta de la que ya disponemos porque nos ha sido aportada por éste. Únicamente, verifica que dicha información aportada por el cliente es verdadera y con el fin de cumplir con una obligación legal. Tal y como el propio Convenio indica, el fin propio de este servicio que la TGSS presta a las entidades adheridas es el siguiente: "La cesión de la información procedente de las bases de datos de la TGSS a las Entidades miembros de AEB/CECA/UNACC tiene como finalidad exclusiva comprobar la veracidad de la información que las Entidades Financieras recaban de sus clientes, a fin de conocer la naturaleza de su actividad profesional o empresarial y que los clientes aportan con ocasión del establecimiento de relaciones de negocio". TERCERO: Con fecha 3 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Según la información disponible en ING.es ( ing.es/sobre-ing/sala-prensa/ing-impulsasu-crecimiento-resultados-anuales), ING España y Portugal cuenta con un volumen de negocios de 1.091.000.000 euros en el año 2023. QUINTO: Con fecha 27 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/49 6.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: 1.- SOBRE EL SUPUESTO DE HECHO - La reclamante es cliente de ING desde el mes de diciembre de 2013 y en octubre de 2023, solicitó la contratación de otra cuenta corriente, denominada “Cuenta No Cuenta” y de conformidad con la normativa de Prevención de Blanqueo de Capitales, ING debe identificar y verificar al cliente. - ING informa a todos sus clientes, incluido a la Reclamante, de que en virtud de la Normativa de PBC, deberá facilitar información sobre su actividad económica. - ING, a través de la Asociación Española de Banca, como entidad firmante del Convenio con la Tesorería General de la Seguridad Social (“TGSS”), la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre cesión de información (en lo sucesivo, se refiere al mismo como, “el Convenio”) se encuentra facultada para poder utilizar un procedimiento mecanizado que permite a las entidades financieras verificar la información sobre la actividad económica de sus potenciales clientes a través de la TGSS, de cara a ejecutar la verificación de la información que viene exigida por la Normativa de PBC. - Por lo anterior, en virtud del referido Convenio y en cumplimiento de la Normativa de PBC, ING realiza la verificación de la actividad económica de los potenciales clientes, en el marco de la contratación de una cuenta bancaria mediante la consulta de tales datos ante la TGSS. -En el caso concreto, la contratación se realiza a través de medios online (como es habitual, por ser ING un Banco eminentemente digital). Por ello, a la Reclamante se le informa de tal tratamiento, su legitimación y alcance en el proceso digital de contratación, siendo necesario que el cliente pulse el botón “Continuar” como señal de haber leído la información acerca de dicho tratamiento y su deseo de continuar con el proceso. Asimismo, este tratamiento se encuentra informado en la Política de Privacidad para clientes y potenciales clientes (apartado 3) que puede consultarse, en todo momento, en la página web www.ing.es, apartado “Privacidad y Cookies” y también se incluye en el Contrato de Prestación de Servicios para los clientes. Tal y como se hizo constar en la notificación de la apertura del periodo de práctica de pruebas, se ha procedido a diligenciar la actual política de privacidad de la entidad que consta en su página web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/49 2.- SOBRE EL TRATAMIENTO DE DATOS De todos los datos obtenidos directamente del interesado para el proceso de contratación de la cuenta nómina y la cuenta no cuenta, los únicos que son sometidos a una verificación posterior son los datos de ‘estado laboral’ y ‘pagador’, este último, únicamente en el caso de que así proceda. ING no verifica ni consulta la vida laboral del cliente ni ningún dato adicional que pueda tener la TGSS. Los datos obtenidos no constituyen datos de carácter sensible o especialmente protegido, en el sentido del artículo 9 del RGPD, sino que constituyen datos de carácter económico básico. No se produce un tratamiento o acceso a datos del interesado distintos a los ya aportados, por lo que el impacto para el interesado no aumenta ni resulta un tratamiento más invasivo. Con relación a la finalidad de dicha verificación, ésta se reduce a la comprobación de que los datos facilitados por el interesado son correctos, exactos y veraces. En ningún caso esta verificación se realiza o ejecuta con otros fines que no tengan el objetivo de cumplir con la Normativa de PBC. Así, ING únicamente verifica que la información aportada por el cliente coincide con la que figura en la base de datos de TGSS. 3.- SOBRE LA NECESIDAD DE VERIFICAR LOS DATOS E INFORMACIÓN APORTADOS POR LOS CLIENTES ANTE LA TGSS La obligación encomendada a las entidades bancarias de verificar la información aportada por los clientes o potenciales clientes, en relación con sus actividades laborales, se materializa con la firma del Convenio que permite que éstas comprueben la veracidad de la información recabada, a partir de la cesión de la información procedente de las bases de datos de la TGSS. La utilización de un método alternativo a la consulta a la TGSS constituiría la utilización de un sistema menos fiable, menos seguro y con mayor riesgo de fraude (por ejemplo, la aportación por el propio interesado de los documentos que, actualmente, son susceptibles de modificarse o alterarse de forma fraudulenta mediante tecnologías al alcance de cualquier usuario, métodos que no permitirían detectar o impedir la comisión de ilícitos tanto en materia de PBC como de fraude). En definitiva, la verificación de datos ante la TGSS realizada por ING se encuentra amparada por la propia Normativa de PBC, no resultando posible, por tanto, considerar tal tratamiento como excesivo o desproporcionado, mucho menos como una infracción del RGPD. Asimismo, como ya se ha reseñado, no existe, ni para ING ni para ninguna entidad financiera, un mecanismo o herramienta alternativa que ofrezca garantías superiores o equivalentes a las que proporciona la Administración Pública, a través de la TGSS. 4.- SOBRE LA LICITUD DEL TRATAMIENTO DE DATOS EFECTUADO POR ING C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/49 El tratamiento de datos efectuado por ING, consistente en la verificación de los datos facilitados por los clientes, en el marco del Proceso de Identificación y Conocimiento del Cliente, constituye un tratamiento lícito en el sentido del artículo 6 del RGPD. En primer lugar, el mismo viene regulado y habilitado por el Convenio firmado entre la Tesorería General de la Seguridad Social, la Asociación Española de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre cesión de información, cuya última versión (vigente actualmente) data del año 2021. En contra de lo que se indica por la AEPD, la Resolución de 12 de abril de 2021, de la Secretaría General Técnica, por la que se publica el Convenio entre la Tesorería General de la Seguridad Social, la Asociación Española de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito, sobre cesión de información no estipula la necesidad de prestar el consentimiento por los clientes de las entidades financieras en el sentido del Artículo 6.1
4. a)del RGPD, para realizar la referida comprobación, sino que alude a una mera autorización, tal y como se puede comprobar en la Sexta Cláusula del Convenio: “Sexta. Responsabilidad por el funcionamiento del SVFI. Las Entidades Financieras Colaboradoras adheridas al presente Convenio deberán adoptar las medidas técnicas y organizativas necesarias para asegurar la confidencialidad e integridad de los datos obtenidos por el SVFI y para garantizar su correcto funcionamiento. Las Entidades Financieras Colaboradoras adheridas al presente Convenio únicamente serán responsables de los intercambios telemáticos en los que participen y respecto de las tareas que realicen conforme al procedimiento descrito en el anexo II. Asimismo, cada Entidad Financiera Colaboradora se obliga a garantizar, respecto a cada solicitud que realice:
5. a)Que las peticiones se refieren a personas físicas que inician relaciones de negocio con la Entidad Financiera o a personas respecto de las que, transcurrido un tiempo razonable, resulta necesario actualizar su información.
6. b)Que previamente a la solicitud de información por parte de la Entidad Financiera Colaboradora ésta dispone de la correspondiente autorización expresa, firmada por el interesado, y acordada entre las partes. (Ver anexo III)”. El Convenio no sólo establece el término ‘autorización’, término que hace referencia y habilita a ejecutarse en múltiples formas documentales, sino que alude además al acuerdo entre las partes. Es decir, somete el eventual protocolo por el que se autorice la comprobación a las condiciones que se acuerden y acepten entre ING y sus clientes. El concepto de autorización difiere sustancialmente del consentimiento expreso y específico que viene exigiendo la AEPD, en el sentido del artículo 6 de la LOPDGDD. Es cierto que, en determinados contextos, estos términos pueden utilizarse indistintamente, pero sus requisitos y alcance son claramente diferenciados a nivel jurídico En el caso que nos ocupa, ING, como Responsable del Tratamiento, no basa en el consentimiento del interesado el tratamiento de datos consistente en la verificación de la información económica facilitada por el mismo ante la TGSS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/49 El Convenio hace alusión al concepto de “consentimiento” en el sentido del artículo 1262 del Código Civil, que recoge la prestación de consentimiento necesaria para formalizar una contratación: “El consentimiento se manifiesta por el concurso de la oferta y de la aceptación sobre la cosa y la causa que han de constituir el contrato. Hallándose en lugares distintos el que hizo la oferta y el que la aceptó, hay consentimiento desde que el oferente conoce la aceptación o desde que, habiéndosela remitido el aceptante, no pueda ignorarla sin faltar a la buena fe. El contrato, en tal caso, se presume celebrado en el lugar en que se hizo la oferta. En los contratos celebrados mediante dispositivos automáticos hay consentimiento desde que se manifiesta la aceptación”. No puede obviarse que la prestación de este consentimiento por parte de los clientes de ING se contextualiza en el marco de una contratación de un producto bancario, de forma que la autorización que se exige se corresponde con el consentimiento que el interesado presta a la aceptación del producto a nivel contractual y no en el sentido del consentimiento que recoge la LOPDGDD. Por lo anterior, la AEPD no puede aludir a la necesidad de obtener el consentimiento de los clientes, cuando lo que establece el Convenio es la pertinencia de otorgar una mera autorización. La responsabilidad sobre el tratamiento se atribuye al Responsable de este, así como la adopción de medidas que se requieran para el mismo. Por tanto, también le corresponde al mismo el ejercicio de ponderar, valorar y configurar el mismo. En este sentido, corresponde a ING realizar la valoración y diseño del proceso de verificación de datos exigido por la Normativa de PBC. Consiguientemente, corresponde también al Responsable del Tratamiento, ING en el presente, establecer su legitimación. A tenor del análisis efectuado por ING, el consentimiento no constituye una legitimación adecuada para el tratamiento de datos consistente en la verificación de los datos económicos facilitados por los clientes en la medida en la que viene exigido por la Normativa de PBC, como se ha justificado exhaustivamente en la Alegación Tercera y, tampoco el Convenio que regula su ejecución e interacción con la TGSS lo exige. En este sentido, el Artículo 6.1 apartado
7. c)del RGPD, cuando regula el tratamiento de datos legitimado en el cumplimiento de una obligación legal, no exige que la norma en concreto que provoca su realización estipule una forma específica para obtener los datos ni determina qué datos deberán solicitarse, sino que permite su tratamiento cuando este sea necesario para el cumplimiento de una obligación legal, como es, en el caso que nos ocupa, la Normativa de PBC para ING: “6.1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: (...)
8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”. El CEPD alude tanto a la posibilidad de basar el tratamiento de los datos para la prevención del fraude en el artículo 6.1.
9. c)relativo al cumplimiento de una obligación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/49 legal, como incluso al interés legítimo (artículo 6.1.f)) del Responsable del Tratamiento. Así, si bien ambos organismos coinciden en la utilización de la legitimación basada en el cumplimiento legal, ninguno menciona la posibilidad de basar el tratamiento de datos con las finalidades de PBC y prevención del fraude en el consentimiento del interesado. En la medida en la que tal verificación resulta necesaria en virtud de la LPBCFT, la única vía conocida por las entidades obligadas es a través de la TGSS, es decir, que es necesaria para el cumplimiento de una obligación a la que ING está sujeta. De lo contrario, si bien podría considerarse que la aportación de documentación por el potencial cliente o el cliente es alternativa para el cumplimiento de la Normativa de PBC, no cumple con el deber de ING y de todas las entidades financieras de implementar medidas eficaces para la prevención del fraude, considerando las tecnologías y contexto actual. Al ser la única medida en la que se asegura la intervención de una entidad independiente e imparcial, que habilita a realizar el cotejo de la información aportada por los clientes, consideramos que no existe una vía o canal de análoga validez y eficiencia para cumplir con la normativa de forma diligente, incluso cuando este canal no esté reflejado en la Normativa de PBC de forma expresa. Por otro lado, si bien existe como base de legitimación el cumplimiento de una obligación legal, debe tenerse en cuenta que, en este supuesto, tanto en el caso de ING como de otros actores del sistema financiero, no sólo concurre uno de los supuestos del artículo 6 del RGPD para legitimar el tratamiento, sino que, como se ha expuesto, existe adicionalmente un interés legítimo de prevenir el fraude y delitos financieros como el blanqueo de capitales. Por ello, el tratamiento de datos por ING para esta finalidad no configura una infracción tipificada en el artículo 83.5 del RGPD dado que existe al menos una de las bases de legitimación aplicable a este tratamiento, tal como exige el artículo 6.1 del RGPD. 5.- SOBRE LA AUSENCIA DE DAÑO A LOS INTERESADOS La consulta de datos a la TGSS realizada por ING no es más que una comprobación que verifica la exactitud y veracidad de la información facilitada por los clientes, como ya se ha señalado por esta parte, con el objetivo de cumplir con la Normativa de PBC por lo que en ningún caso supone una consulta adicional de información. Así, dicha consulta, que versa sobre datos previamente facilitados por el interesado, no eleva el impacto del tratamiento de datos en la esfera de la privacidad del interesado. Por ello, en el supuesto que nos ocupa, no se produce ni se genera un impacto en el bien jurídico protegido. De hecho, el único supuesto donde desencadenaría consecuencias o dicha comprobación tendría efectos, sería en el caso de que el interesado haya facilitado a la entidad datos falsos o irreales. En conclusión, el tratamiento que nos ocupa, consistente en la verificación de datos ante la TGSS, no genera la producción de perjuicio alguno para los interesados, resultando además conforme a la normativa de protección de datos. 6.- SOBRE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/49 ING ha demostrado haber actuado con la diligencia debida en la implementación de medidas en los procesos verificación de la procedencia de los ingresos de los clientes y potenciales clientes de esta mercantil. Sin perjuicio de lo anterior, y en el hipotético caso de que la Agencia considerase que existe algún tipo de incumplimiento, la sanción ya incluida en el Acuerdo de Inicio resulta, en todo caso, desproporcionada, atendiendo a las circunstancias y contenido de la supuesta infracción, que ING niega rotundamente. SÉPTIMO: Con fecha 14/01/2025, el instructor del procedimiento acordó practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por ING BANK N.V. ,SUCURSAL EN ESPAÑA, y la documentación que a ellas acompaña. 3. Se procede a diligenciar la actual política de privacidad de la entidad que consta en su página web. 4. Se solicita la remisión de la política de privacidad vigente en el momento de la reclamación. OCTAVO: El 06/02/2025, ha tenido entrada escrito de contestación a la notificación de práctica de pruebas, en el que, dentro del plazo concedido, y dando cumplimiento al trámite referido, la parte reclamada adjunta la política de privacidad solicitada por la Agencia. NOVENO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: De conformidad con las alegaciones al acuerdo de inicio presentadas por ING el 24 de abril de 2024, afirman que en el marco del tratamiento de datos personales para la contratación tanto de la Cuenta Nómina como de la Cuenta no Cuenta, recogen datos personales como nombre y apellidos, nacionalidad, estado civil, dirección, estado laboral, actividad profesional, sector laboral, empresa, ingresos mensuales, propósito de la relación principal u origen de los fondos, entre otros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/49 “Posteriormente, se le solicitan otros datos personales como nombre y apellidos, nacionalidad y estado civil entre otros y su dirección. Aportada esa información se da paso a la pantalla de datos laborales (recogida en el informe aportado en su apartado 4) donde se le solicita sus datos laborales y es en ese momento donde se le muestra la cláusula. Los datos obligatorios (marcados con *) solicitados al cliente son los que se indican a continuación, debiendo el cliente seleccionar una de las opciones del desplegable: - Estado laboral - Actividad profesional - Sector laboral - Empresa - Ingresos mensuales - Propósito de la relación principal - Origen de los fondos”. SEGUNDO: En el escrito de alegaciones al acuerdo de inicio presentadas por ING el 24 de abril de 2024 indican, respecto de la reclamante que, “1º.- La reclamante, A.A.A. (en adelante, la “Reclamante”), es cliente de ING desde el mes de diciembre de 2013, cuando contrató una cuenta bancaria, denominada en dicho momento “Cuenta sin Nómina”. En octubre de 2023, la Reclamante solicitó la contratación de otra cuenta corriente, denominada “Cuenta NoCuenta””. Asimismo, en el escrito presentado por ING el 8 de febrero de 2023 consecuencia de la petición de traslado de información, ING asevera que, a la fecha de la contestación del traslado, la reclamante tiene los siguientes productos contratados: “2.-PRODUCTOS CONTRATADOS Operativos: Dispone de una Cuenta Nómina activa en la actualidad acabada en 6532, contratada en diciembre de 2013. Cancelados: Cuenta Nómina acabada en 7663, contratada y cancelada en el mes de octubre de 2022”. TERCERO: En escrito de 8 de febrero de 2023 consecuencia de la petición de traslado de información, ING afirma que, “La cláusula que la A.A.A. copia en su denuncia, efectivamente, forma parte de nuestro proceso de contratación tanto de la Cuenta Nómina como de la Cuenta no Cuenta (sin nómina) que en otros expedientes ya ha sido explicado a la AEPD. En el informe que se adjunta como Documento número 2, en su apartado 4, se recogen las dos pantallas dentro del proceso digital de contratación de la Cuenta Nómina (y de la Cuenta no Cuenta) en las que se incluye esta cláusula, con el fin de ubicar el momento y el contexto por el cual se muestra esta cláusula a la persona que quiere contratar este producto con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/49 ING. En el caso de ING, ya que las contrataciones se realizan principalmente a través de medios online (por ser un Banco eminentemente digital), se ha incluido esta cláusula en el proceso digital de contratación, siendo necesario que el cliente pulse el botón “Continuar” como señal de haber leído la información acerca de dicho tratamiento y su deseo de continuar con el proceso”. (el subrayado es nuestro) CUARTO: En escrito de 8 de febrero de 2023 consecuencia de la petición de traslado de información, ING aporta un documento denominado DOC_2_Informe.pdf, en el que incluyen pantallazos sobre “el proceso de contratación de la cuenta nómina (cláusula de verificación de datos laborales con la TGSS)”, de tal forma que explican, partiendo del supuesto de la reclamante, que cuando un interesado inicia los trámites para contratar una nueva cuenta, la parte reclamada exige que preste su consentimiento expreso para que dicha entidad, en su nombre, solicite a la Tesorería General de la Seguridad Social información de su actividad económica, realizar una comprobación de la misma y cumplir así con lo establecido en la LPBCFT. Así el literal de la cláusula indica, “Además, confirmo que he sido informado por ING BANK NV, Sucursal en España, de que la legislación vigente sobre prevención de blanqueo de capitales obliga a las entidades bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de verificación de la información facilitada, presto mi consentimiento expreso a ING BANK NV, Sucursal en España, para que en mi nombre pueda solicitar ante la Tesorería General de la Seguridad Social dicha información. Los datos obtenidos de la Tesorería General de la Seguridad Social serán utilizados exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento de esta obligación por parte de la Entidad Financiera y/o del personal que en ella presta servicios, se ejecutarán todas las acciones previstas en la LO 3/2018, de 5 de diciembre, de Protección de datos personales y garantía de derechos digitales”. (el subrayado es nuestro) Conforme al pantallazo aportado tras la cláusula citada hay opción de “volver” o “continuar” sin que exista una casilla específica para prestar o no prestar expresamente el consentimiento que se exige. En dicha cláusula no se menciona mecanismo alguno alternativo para poder verificar la información sin tener que prestar el consentimiento expreso que se exige. Asimismo, en el mismo escrito indican que, “Posteriormente, antes de formalizar la contratación de la cuenta e ir pasando por las distintas pantallas y fases (identificación, etc.) de nuevo se le vuelve a mostrar al cliente la pantalla con el contrato y la cláusula, que debe leer antes de cerrar dicha contratación:”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/49 Aportan un pantallazo del momento anterior a cerrar dicha contratación en el que indica literalmente que, “Al introducir el código, ratificas tu voluntad de contratar con ING, confirmas que has consultado la Información Precontractual y el Documento Informativo de Comisiones, y que has leído y aceptas la Política de Privacidad y el Contrato de Prestación de Servicios y sus Anexos, que no desplegará sus efectos hasta que no finalices con tu identificación. Además, ratificas tu consentimiento a identificarte mediante grabación con la cámara de tu dispositivo, que puede ser conservada y revisada. Por último, ratificas tu consentimiento a que verifiquemos tus datos laborales a través de la Tesorería General de la Seguridad Social”. (el subrayado es nuestro) Conforme al pantallazo aportado tras la cláusula citada hay una única opción “continuar”. QUINTO: ING se encuentra adherida al “Convenio entre la Tesorería General de la Seguridad Social, la Asociación Española de Banca y la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre cesión de información”, suscrito el 18 de marzo de 2021 y publicado el 12 de abril de 2021 en el BOE. Así, en el escrito de 8 de febrero de 2023 presentado por la parte reclamada consecuencia de la petición de traslado de información, ING afirma que, “ING es una de las entidades financieras que se encuentran en la actualidad adheridas al mencionado Convenio. Se adjunta como Documento número 1, copia del citado Convenio”. SEXTO: El Convenio entre la Tesorería General de la Seguridad Social, la Asociación Española de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre Cesión de Información remitido establece, respecto del objeto del mismo que, “En este mismo sentido, y con mayor concreción sobre el objeto del presente Convenio, los artículos 5 y 6 de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, establecen lo siguiente: Artículo 5. Propósito e índole de la relación de negocios. Los sujetos obligados obtendrán información sobre el propósito e índole prevista de la relación de negocios. En particular, los sujetos obligados recabarán de sus clientes información a fin de conocer la naturaleza de su actividad profesional o empresarial y adoptarán medidas dirigidas a comprobar razonablemente la veracidad de dicha información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/49 Tales medidas consistirán en el establecimiento y aplicación de procedimientos de verificación de las actividades declaradas por los clientes. Dichos procedimientos tendrán en cuenta el diferente nivel de riesgo y se basarán en la obtención de los clientes de documentos que guarden relación con la actividad declarada o en la obtención de información sobre ella ajena al propio cliente. Artículo 6. Seguimiento continuo de la relación de negocios. Los sujetos obligados aplicarán medidas de seguimiento continuo a la relación de negocios, incluido el escrutinio de las operaciones efectuadas a lo largo de dicha relación a fin de garantizar que coincidan con el conocimiento que tenga el sujeto obligado del cliente y de su perfil empresarial y de riesgo, incluido el origen de los fondos y garantizar que los documentos, datos e información de que se disponga estén actualizados. Las Anteriores previsiones legales obligan a las entidades y les facultan para lo siguiente: - Adoptar medidas dirigidas a comprobar razonablemente la veracidad de la actividad declarada por los clientes, pudiendo obtener información de fuentes ajenas al cliente. - Garantizar que los documentos, datos e información de que se disponga estén actualizados. - Establecer «procedimientos de verificación de las actividades declaradas por los clientes»”. (el subrayado es nuestro) Así, dispone que, “PRIMERA.- Objeto del Convenio. El presente Convenio tiene por objeto establecer los términos y condiciones en los que la TGSS y las Asociaciones AEB/CECA/UNACC instrumentarán su colaboración para el buen funcionamiento del SVFI, así como definir sus respectivas responsabilidades. La cesión de la información procedente de las bases de datos de la TGSS a las Entidades miembros de AEB/CECA/UNACC tiene como finalidad exclusiva comprobar la veracidad de la información que las Entidades Financieras recaban de sus clientes, a fin de conocer la naturaleza de su actividad profesional o empresarial y que los clientes aportan con ocasión del establecimiento de relaciones de negocio”. Se describe asimismo el Servicio de Verificación de Fuente de Ingresos (en adelante SVFI), cuyo objetivo fundamental es poder comprobar la veracidad de la información que las entidades financieras recaban de sus clientes, a fin de conocer la naturaleza de su actividad profesional o empresarial, y que los clientes aportan con ocasión del establecimiento de relaciones de negocio. “QUINTA.- Descripción del SVFI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/49 El procedimiento del SVFI consiste en un proceso de periodicidad diaria por el que la Entidad Financiera Colaboradora previamente adherida al Convenio remite vía EDITRAN un fichero con la identificación de las personas físicas, clientes con los que establecen una relación de negocio con la Entidad, para las que solicita información sobre la naturaleza de la actividad profesional o empresarial que se derive de su afiliación a la Seguridad Social. La TGSS procesa estos ficheros con periodicidad diaria cumplimentando en el mismo fichero la información requerida. Las partes acordarán en el seno de la Comisión de Seguimiento algunos detalles relativos a la ejecución del contenido del convenio (como pueden ser las vías de emisión, los detalles de los diseños y los datos de intercambio) y, en ese caso, no se requerirá una modificación del convenio sino el simple acuerdo entre partes, siempre que no afecte al contenido mínimo y esencial del convenio, el cual no puede ser objeto de modificación en la Comisión de seguimiento. En el Anexo II figura el intercambio de información y la periodicidad del mismo”. SÉPTIMO: El Convenio entre la Tesorería General de la Seguridad Social, la Asociación Española de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre Cesión de Información, al que ING se encuentra adherida, establece cuáles son las obligaciones de las entidades firmantes del convenio y de las entidades financieras colaboradoras, señalando que, “CUARTA.- Obligaciones de la AEB, CECA Y UNACC La AEB, CECA, Y UNACC se comprometen respecto a las Entidades Financieras asociadas a las mismas: (…)
10. c)Informarles que las peticiones que realicen a la TGSS que, en todo caso necesitarán siempre la autorización firmada de interesado, se referirán, exclusivamente, a personas físicas que inician relaciones de negocio con la Entidad Financiera Colaboradora o a personas, respecto de las cuales, transcurrido un tiempo razonable, resulta necesario actualizar su información. Las autorizaciones firmadas por el interesado deberán ser custodiadas por las Entidades Financieras Colaboradoras y entregadas a la TGSS o la Agencia de Protección de Datos, cuando lo requieran, en un plazo de diez días a contar desde su solicitud. SEXTA. Responsabilidad por el funcionamiento del SVFI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/49 Las Entidades Financieras Colaboradoras adheridas al presente Convenio deberán adoptar las medidas técnicas y organizativas necesarias para asegurar la confidencialidad e integridad de los datos obtenidos por el SVFI y para garantizar su correcto funcionamiento. Las Entidades Financieras Colaboradoras adheridas al presente Convenio únicamente serán responsables de los intercambios telemáticos en los que participen y respecto de las tareas que realicen conforme al procedimiento descrito en el Anexo II. Asimismo, cada Entidad Financiera Colaboradora se obliga a garantizar, respecto a cada solicitud que realice:
11. a)Que las peticiones se refieren a personas físicas que inician relaciones de negocio con la Entidad Financiera o a personas respecto de las que, transcurrido un tiempo razonable, resulta necesario actualizar su información.
12. b)Que previamente a la solicitud de información por parte de la Entidad Financiera Colaboradora ésta dispone de la correspondiente autorización expresa, firmada por el interesado, y acordada entre las partes. (Ver Anexo III).
13. c)Que se compromete a custodiar las autorizaciones por los clientes. Con motivo de acciones de control o auditorias llevadas a cabo por la TGSS como titular de datos cedidos, las Entidades Financieras están obligadas a facilitar la documentación que obra en su poder en un plazo que no podrá superar los diez días naturales desde su solicitud. Este mismo plazo también se aplicará a las peticiones que, en su caso, pudiera realizar la Agencia de Protección de Datos.
14. d)Que cumple con todas las características señaladas en el documento de seguridad (Anexo I). SÉPTIMA.- Adhesión al Convenio de las Entidades Financieras Colaboradoras Las Entidades Financieras que estén interesadas podrán participar en el procedimiento SVFI previsto en el presente Convenio de colaboración, asumiendo los derechos y obligaciones que les corresponden en los términos y condiciones recogidos en el mismo, mediante la suscripción del Acto de adhesión incluido en el Anexo IV del presente Convenio. La suscripción del Acto de adhesión supondrá la aceptación expresa por parte de las Entidades Financieras de las condiciones y términos del presente Convenio. La Entidad Financiera remitirá el Acto de Adhesión y los datos de la persona responsable del procedimiento SVFI en la Entidad Financiera a la TGSS en el plazo de cinco días a contar desde la fecha de adhesión. La TGSS se pondrá en contacto con la Entidad Financiera a fin de determinar un plan de pruebas y puesta en producción.” (el subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/49 OCTAVO: El Convenio entre la Tesorería General de la Seguridad Social, la Asociación Española de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre Cesión de Información, al que ING se encuentra adherida, establece en su ANEXO II y ANEXO III, la exigencia, al igual que en el texto del convenio, de una autorización o consentimiento expreso para que la entidad financiera colaboradora pueda comprobar si la persona física para la que se dispone de la debida autorización se encuentra en situación de alta laboral. “ANEXO II Descripción: Intercambio de información entre la TGSS y las Entidades Financieras colaboradoras, para comprobar si la persona para la que se dispone de la debida autorización se encuentra en situación de alta laboral. Por cada registro enviado por las Entidades Financieras adheridas miembros de AEB/CECA/UNACC, la TGSS informará, a la fecha de la solicitud, sobre su situación de alta laboral. Pudiendo devolver uno o varios registros en función del número de situaciones de alta laboral del trabajador, bien como trabajador por cuenta propia o como trabajador por cuenta ajena en cuentas de cotización reales. Periodicidad: Diaria - Intercambio telemático de ficheros. Tanto la vía o vías de remisión como el diseño del fichero enviado por las Entidades Financieras colaboradoras, así como el de respuesta enviado por la TGSS se determinará en cada momento por la Comisión Mixta Coordinación y Seguimiento regulada en la Cláusula Décima del presente Convenio. ANEXO III D. ..............................................................................., con D.N.I. ..................... y domicilio ................................................................................................................ ..... Ha sido informado por la entidad financiera ..............................., sucursal ................................... que la legislación vigente sobre prevención de blanqueo de capitales obliga a estas entidades bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de verificación de la información facilitada, presto mi consentimiento expreso a ................................................ (entidad financiera) para que en mi nombre pueda solicitar ante la Tesorería General de la Seguridad Social dicha información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/49 Los datos obtenidos de la Tesorería General de la Seguridad Social serán utilizados exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento de esta obligación por parte de la entidad financiera y/o del personal que en ella presta servicios, se ejecutarán todas las actuaciones previstas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. En ...................... a ........ de .............................. de ............... Firma del autorizante”. (el subrayado es nuestro) NOVENO: Mediante la política de privacidad que podía consultarse en la página web en el momento de la reclamación, ING informaba a sus clientes o potenciales clientes que la base jurídica para realizar la consulta del Fichero de la Tesorería de la Seguridad Social para realizar la verificación de la información laboral que aporte un interesado era el cumplimiento de una obligación legal como la de prevención del blanqueo de capitales y la financiación el terrorismo. “3.1 Finalidades y bases jurídicas de tratamiento Línea 2 de la tabla en la que se recogen: Descripción de la Finalidad: Cumplir con las obligaciones regulatorias a las que ING esté obligado, Por ser una entidad bancaria debemos cumplir con normativa aplicable, como la de prevención del blanqueo de capitales y la financiación del terrorismo o la de fraude fiscal, entre otras. También tenemos la obligación de consultar los registros y sistemas de alerta de fraude disponibles y las listas de sanciones nacionales e internacionales, cuando contratas con nosotros; o verificar tu identidad, que podemos hacerlo en base a las verificaciones realizadas por otras instituciones financieras a través de Iberpay, consultando tu DNI o documento de identidad con la Agencia Tributaria o por otros métodos para verificar tu identidad de forma no presencial como, por ejemplo, videoselfie. Base jurídica: Trataremos tus datos para cumplir con la normativa vigente Categorías de datos: Datos de identificación, transacciones, financieros, sociodemográficos, de localización, datos sensibles (datos de condenas e infracciones). Además, datos relativos al conocimiento de nuestros clientes (KYC) como parte de nuestra diligencia debida. Para los tratamientos de identificación a través de selfie y videoselfie, no se tratan datos biométricos Elaboración de perfiles: Evaluamos ciertos aspectos personales para esta finalidad. Categorías de destinatarios (Cesionarios) Los datos serán comunicados al Consejo General del Poder Judicial, Cuerpos y Fuerzas de seguridad del Estado, Banco de España, Comisión Nacional del Mercado de Valores, Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/49 Tributaria y Tesorería General de la Seguridad Social, entre otros organismos públicos Línea 4 de la tabla en la que se recogen: Descripción de la Finalidad: Realizar evaluación de solvencia cuando solicites productos de riesgo.Permite asegurarnos de que el producto de crédito que solicitas (por ejemplo, al solicitar tarjetas de crédito, préstamos personales o hipotecarios), es el adecuado de acuerdo con los requisitos fijados por ING y que dispones de la capacidad de pago necesaria para afrontarlo Base jurídica: Trataremos tus datos para cumplir con la normativa vigente, que exige evaluar la solvencia de los solicitantes como la Ley 16/2011, de 24 de junio, de Contratos de Crédito al Consumo u otras normas equivalentes en materia de concesión de crédito hipotecario y, en general, en materia de responsabilidad en la concesión de préstamos. Además, trataremos tus datos con base a nuestro interés legítimo consistente en la prevención del riesgo de insolvencia y de fraude, a la vez que garantizamos la estabilidad financiera para entidad, evitando pérdidas económicas, cumpliendo con nuestra normativa interna. En el caso de que no seas cliente de ING y solicites un préstamo personal, pediremos tu consentimiento para hacer las verificaciones necesarias de tu información en otras entidades bancarias a las que nos autorices. Categorías de datos: Datos identificativos, transaccionales y financieros (capacidad crediticia). Consultamos ficheros de solvencia públicos o privados (Fichero Asnef de AsnefEquifax, Servicios de Información sobre Solvencia y Crédito, S.L. y Fichero Badex de Experian Bureau de Crédito, S.A.) a los que estemos adheridos en cada momento. Además, consultamos el fichero de la Central de Información de Riesgos del Banco de España (CIRBE). Por último, consultamos el fichero de la Tesorería de la Seguridad Social para realizar la verificación de la información laboral que nos aportes Elaboración de perfiles: Elaboramos perfiles, realizamos modelos y procedimientos de valoración o scoring para obtener una puntuación orientativa de la probabilidad de que puedas cumplir las obligaciones de pago contraídas. Categorías de destinatarios (Cesionarios) No. (el subrayado es nuestro) DÉCIMO: La política de privacidad que puede consultarse en la página web en la actualidad y cuya fecha de actualización es el 31/05/2024, informan a sus clientes o potenciales clientes que para cumplir con su obligación legal referida a la prevención del blanqueo de capitales y la financiación del terrorismo o de fraude fiscal, entre otras, podrán verificar con la Tesorería General de la Seguridad Social o utilizar otros medios como solicitar al interesado o a su empleador otra documentación. Informan que la base C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/49 jurídica es el cumplimiento de una obligación legal y subsidiariamente la base jurídica del interés legítimo. 3. Para cumplir la normativa Descripción de la Finalidad: Cumplir con las obligaciones regulatorias, como las relativas a: La prevención del blanqueo de capitales y la financiación del terrorismo o de fraude fiscal, entre otras. Por ejemplo, te solicitaremos información para verificar el origen de los fondos de tus cuentas o verificar con la Tesorería General de la Seguridad Social tu actividad laboral, profesional o empresarial que nos hayas indicado. En este caso no solicitaremos información adicional sobre tu vida laboral, únicamente verificamos la información que nos hayas aportado en el proceso de contratación. Podremos usar otros medios para cumplir con esta finalidad cómo solicitarte la aportación de otra documentación o requerirla a tu empleador. La confección de reportes regulatorios a los que estamos obligados por la ley, como, por ejemplo, reportes fiscales impuestos por la ley de cumplimiento fiscal de cuentas extranjeras hoy la normativa es tarda estándar común de reporte en relación a la obligación de intercambio automático de la información. La evaluación de tu conocimiento y experiencia en los mercados financieros situación financiera y objetivos de inversión por la normativa MiFID y que también comprenden la grabación de cualquier conversación telefónica que mantengamos contigo relacionada con una operación de servicios de inversión. Otras obligaciones impuestas por normativa mercantil fiscal, societaria y de cualquier otro tipo que puedan ser impuestas por autoridades competentes como el Banco de España, Banco Central Europeo, Banco de España, Comisión Nacional de los mercados y la competencia y la Comisión Nacional del Mercado de Valores entre otros. Base jurídica: Cumplimiento de obligaciones legales. Asimismo, para la verificación de los datos laborales con la Tesorería General de la Seguridad Social como base jurídica subsidiaria nuestro el interés legítimo de prevenir el fraude en la aportación de la documentación requerida. Categorías de datos: Identificativos, transaccionales, financieros, sociodemográficos, de localización y datos sensibles (datos de condenas e infracciones). Datos relativos al conocimiento de nuestros clientes (KYC) como parte de nuestra diligencia debida. Datos verificados con la Tesorería General de la Seguridad Social o del empleador para la verificación de tu actividad laboral profesional o empresarial. Para los tratamientos de identificación a través de vídeoselfie, no se tratan datos biométricos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/49 Elaboración de perfiles: Con perfilado. La elaboración de perfiles en esta actividad de tratamiento está relacionada con el cumplimiento de obligaciones de prevención del fraude, blanqueo de capitales y financiación del terrorismo. Categorías de destinatarios (Cesionarios): Consejo General del Poder, Cuerpos y Fuerzas de Seguridad del Estado, Banco de España (CIRBE, SEPBLAC), Comisión Nacional del Mercado de Valores, Agencia Tributaria, entre otros organismos públicos 4. Para evaluar tu solvencia económica y riesgo crediticio. Descripción de la finalidad. Realizar una evaluación de tu solvencia cuando solicites productos de riesgo. Esto permite asegurarnos de que cumples con los requisitos fijados por ING y que dispones de la capacidad de pago necesaria para contratar el producto de crédito que solicitas. Realizaremos un seguimiento continuo del riesgo de crédito de nuestros clientes con productos de riesgo contratados para detectar situaciones que alerten del deterioro de su capacidad crediticia de forma temprana y para poder adoptar medidas mitigatorias Base jurídica: ejecución del contrato o medidas precontractuales y cumplimiento de obligaciones legales, cómo la ley 16/2011, de 24 de junio, de Contratos de Crédito al Consumo entre otras además interés legítimo de cumplir con las directrices sobre la concesión y seguimiento de préstamos de la autoridad bancaria europea que recomienda la realización de un seguimiento continuo del riesgo de nuestros clientes. Categorías de datos: Identificativos, transaccionales y financieros (capacidad crediticia). Cuando solicitas contratar un producto de riesgo consultamos ficheros de solvencia públicos o privados a los que estemos adheridos en cada momento (Fichero Asnef de Asnef-Equifax, Servicios de Información sobre Solvencia y Crédito, S.L. y Fichero Badex de Experian Bureau de Crédito, S.A.). Además, consultamos el fichero de la central de información de riesgos del Banco de España (CIRBE). Elaboración de perfiles: Con perfilado. La elaboración de perfiles en esta actividad de tratamiento está relacionada con la evaluación de tu capacidad de pago, solvencia y riesgo crediticio. Categorías de destinatarios (Cesionarios) No hay cesión de datos”. (el subrayado es nuestro) FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/49 I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Infracción del Artículo 6.1 del RGPD Según el artículo 6 del RGPD “Licitud del tratamiento: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
15. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
16. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
17. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
18. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
19. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
20. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
21. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En este caso, ING afirma que la verificación de los datos personales de la reclamante (que ha contratado con ING superando el proceso de contratación y, por ende, “autorizando” que ING verifique sus datos personales ante la TGSS), así como del resto de sus clientes ante la TGSS, obtenidos en cumplimiento de las obligaciones impuestas por LPBCFT, es consecuencia de la obligación legal impuesta por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/49 LPBCFT, que recoge en su artículo 2, los sujetos obligados en la Prevención del Blanqueo de Capitales: Entidades Financieras (bancos, cajas de ahorro, cooperativas de crédito, etc.), Compañías de Seguros, Entidades de Crédito, etc. Obligación legal que es la base jurídica que, según ING, sustenta la autorización incluida en el proceso de contratación para verificar determinados datos de sus clientes ante la TGSS. En este sentido, en relación con la obligación legal impuesta a las entidades financieras (que no a los clientes), esta misma ley regula en su artículo 5, que, “los sujetos obligados recabarán de sus clientes información a fin de conocer la naturaleza de su actividad profesional o empresarial y adoptarán medidas dirigidas a comprobar razonablemente la veracidad de dicha información. Tales medidas consistirán en el establecimiento y aplicación de procedimientos de verificación de las actividades declaradas por los clientes. Dichos procedimientos tendrán en cuenta el diferente nivel de riesgo y se basarán en la obtención de los clientes de documentos que guarden relación con la actividad declarada o en la obtención de información sobre ella ajena al propio cliente”. (el subrayado es nuestro) Añadiendo en su artículo 6 que, “Los sujetos obligados aplicarán medidas de seguimiento continuo a la relación de negocios, incluido el escrutinio de las operaciones efectuadas a lo largo de dicha relación a fin de garantizar que coincidan con el conocimiento que tenga el sujeto obligado del cliente y de su perfil empresarial y de riesgo, incluido el origen de los fondos y garantizar que los documentos, datos e información de que se disponga estén actualizados.” Por su parte, el Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, que desarrolla la LPBCFT, establece: “Artículo 10. Propósito e índole de la relación de negocios. 1. Los sujetos obligados recabarán de sus clientes información a fin de conocer la naturaleza de su actividad profesional o empresarial. La actividad declarada por el cliente será registrada por el sujeto obligado con carácter previo al inicio de la relación de negocios. 2. Los sujetos obligados comprobarán las actividades declaradas por los clientes en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/49
22. a)Cuando el cliente o la relación de negocios presenten riesgos superiores al promedio, por disposición normativa o porque así se desprenda del análisis de riesgo del sujeto obligado.
23. b)Cuando del seguimiento de la relación de negocios resulte que las operaciones activas o pasivas del cliente no se corresponden con su actividad declarada o con sus antecedentes operativos. 3. Las acciones de comprobación de la actividad profesional o empresarial declarada se graduarán en función del riesgo y se realizarán mediante documentación aportada por el cliente, o mediante la obtención de información de fuentes fiables independientes. Asimismo, los sujetos obligados podrán comprobar la actividad profesional o empresarial de los clientes mediante visitas presenciales a las oficinas, almacenes o locales declarados por el cliente como lugares donde ejerce su actividad mercantil, dejando constancia por escrito del resultado de dicha visita. (…) Artículo 11. Seguimiento continuo de la relación de negocios. 1. Los sujetos obligados realizarán un escrutinio de las operaciones efectuadas a lo largo de la relación de negocio a fin de garantizar que coincidan con la actividad profesional o empresarial del cliente y con sus antecedentes operativos. Los sujetos obligados incrementarán el seguimiento cuando aprecien riesgos superiores al promedio por disposición normativa o porque así se desprenda del análisis de riesgo del sujeto obligado. (…) 2. Los sujetos obligados realizarán periódicamente procesos de revisión con objeto de asegurar que los documentos, datos e informaciones obtenidos como consecuencia de la aplicación de las medidas de debida diligencia se mantengan actualizados y se encuentren vigentes. (…)” (el subrayado es nuestro) De conformidad con la normativa antedicha, el tratamiento que realiza la entidad bancaria consiste en, por un lado, recabar información de los clientes en los términos explicitados en la LPBCFT y, por otro, adoptar medidas dirigidas a comprobar razonablemente la veracidad de dicha información. Así, es cierto que la normativa sectorial determina la obligación de verificación de las actividades profesionales y empresariales de los sujetos con los que se vaya a hacer negocios. No previendo, sin embargo, que esto deba hacerse de una manera determinada, debiendo ser el responsable del tratamiento de datos personales (en el presente caso, ING) quien deba decidir tal procedimiento de verificación, el cual ha de cumplir con la normativa en materia de protección de datos de carácter personal. El Convenio suscrito con la TGSS sobre cesión de información, al que se ha adherido ING, con el fin de facilitar a las entidades de crédito el cumplimiento de la normativa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/49 prevención del blanqueo de capitales, mediante un procedimiento informático mecanizado que permite establecer un proceso diario de solicitud de datos por parte de las entidades financieras y de transmisión de información por parte de la TGSS, podría resultar un mecanismo adecuado para el cumplimiento de sus obligaciones pero no necesariamente único. Así, tal y como indican los preceptos previamente citados cabe la posibilidad de que las entidades obligadas puedan realizar las acciones de comprobación a través de documentación aportada por el cliente, o mediante la obtención de información de fuentes fiables independientes. De hecho, tal y como se dispone en el hecho probado X esta posibilidad de que el cliente aporte documentación al efecto está expresamente prevista en la actual política de privacidad de la entidad, no así en la anterior vigente en el momento de presentarse la reclamación. Así, ING ha decidido verificar esa información a través del sistema establecido en el Convenio entre la Tesorería General de la Seguridad Social, la Asociación Española de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito, sobre cesión de información, al que ING se ha adherido, estando obligada a cumplir las previsiones del citado Convenio. El convenio indica en su cláusula sexta y en el Anexo III, que para que la TGSS permita a ING verificar determinados datos de sus clientes, el interesado tiene que consentir para que la entidad bancaria pueda verificar los datos personales ante la TGSS y se recoge efectivamente, la cláusula por la que se puede dar el consentimiento expreso para verificar la información. El convenio explicita que “…cada Entidad Financiera Colaboradora se obliga a garantizar, respecto a cada solicitud que realice:
24. b)que previamente a la solicitud de información por parte de la Entidad Financiera Colaboradora ésta dispone de la correspondiente autorización expresa, firmada por el interesado, y acordada entre las partes. (Ver Anexo III)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/49 No basta, por tanto, como pretende sugerir ING, la adhesión al convenio para que se puedan verificar los datos de los clientes ante la TGSS, sino que es requisito imprescindible obtener el previo consentimiento expreso y firmado del cliente. Pero si bien ésta es la forma en la que el convenio considera que ha de solicitarse ese consentimiento a los efectos de permitir la verificación en los sistemas de la TGSS, ésta no es la única vía para la verificación de los datos personales, en los términos antes citados de la LPCBCFT y su reglamento de desarrollo. La normativa no establece la obligación de verificar la información de datos personales ante la TGSS, sino que la información la facilita el cliente y posteriormente, teniendo en cuenta el diferente nivel de riesgo, existe una obligación general de establecer y aplicar procedimientos de verificación de las actividades declaradas por los clientes. Por ello, para poder consultar datos personales con la TGSS, dado que la Ley no impone esta vía a las entidades bancarias ni impone al interesado-cliente esta obligación legal, la carga jurídica de soportar que sin su consentimiento la entidad bancaria verifique ante la TGSS esos datos personales facilitados por el reclamante sería necesario recabar el consentimiento del interesado, no imponer el uso de dicho mecanismo, y siempre condicionado a los supuestos específicos en los que la norma exige dicha verificación. En este sentido, el artículo 4.11 del RGPD establece que el “consentimiento del interesado” es “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen” El consentimiento se entiende como un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con garantías suficientes para acreditar que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. Asimismo, debe darse para todas las actividades de tratamiento realizadas con el mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos de manera específica e inequívoca. A este respecto, la licitud del tratamiento exige que el interesado sea informado sobre los fines a que están destinados los datos (consentimiento informado). Además, el consentimiento ha de prestarse libremente. Se entiende que el consentimiento no es libre cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno, o cuando el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/49 cumplimiento de un contrato o prestación de servicio sea dependiente del consentimiento, aun cuando éste no sea necesario para dicho cumplimiento. Esto ocurre cuando el consentimiento se incluye como una parte no negociable de las condiciones generales. Así se ha puesto de manifiesto en el hecho probado cuarto, ya que resulta imposible continuar con el procedimiento de contratación de las cuentas corrientes referenciadas al incluirse como una parte no negociable de dicha contratación. Así, la cláusula que consta en el proceso de contratación indica, “Además, confirmo que he sido informado por ING BANK NV, Sucursal en España, de que la legislación vigente sobre prevención de blanqueo de capitales obliga a las entidades bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de verificación de la información facilitada, presto mi consentimiento expreso a ING BANK NV, Sucursal en España, para que en mi nombre pueda solicitar ante la Tesorería General de la Seguridad Social dicha información. Los datos obtenidos de la Tesorería General de la Seguridad Social serán utilizados exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento de esta obligación por parte de la Entidad Financiera y/o del personal que en ella presta servicios, se ejecutarán todas las acciones previstas en la LO 3/2018, de 5 de diciembre, de Protección de datos personales y garantía de derechos digitales”. (el subrayado es nuestro) Conforme al pantallazo aportado tras la cláusula citada hay opción de “volver” o “continuar” sin que exista una casilla específica para prestar o no prestar expresamente el consentimiento que se exige. Para continuar con el proceso de contratación del producto bancario no hay más opción que la de pulsar la casilla continuar y al hacerlo consentir, sí o sí, que ING verifique determinados datos del cliente ante la TGSS. En dicha cláusula, además, no se menciona mecanismo alguno alternativo para poder verificar la información sin tener que prestar el consentimiento expreso que se exige. Sin estas condiciones, tal y como concurre en el supuesto examinado, el consentimiento prestado por el interesado no determinaría un control sobre sus datos personales y el destino de los mismos. La verificación de determinados datos personales de sus clientes por ING ante la TGSS se estaría produciendo sin un consentimiento válido, sin una base jurídica que legitimase el tratamiento de dato personales y, por ello, infringiendo el RGPD. Por otro lado, el Comité Europeo de Protección de Datos en el documento “Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, que actualiza las directrices sobre el consentimiento adoptadas por el Grupo de Trabajo del Artículo 29 el 28/11/2017, revisadas y aprobadas el 10/04/2018 hace referencia a esto e indica que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/49 “3. En general, el consentimiento solo puede ser una base jurídica adecuada si se ofrece al interesado control y una capacidad real de elección con respecto a si desea aceptar o rechazar las condiciones ofrecidas o rechazarlas sin sufrir perjuicio alguno. Cuando solicita el consentimiento, el responsable del tratamiento tiene la obligación de evaluar si dicho consentimiento cumplirá todos los requisitos para la obtención de un consentimiento válido. Si se obtiene en pleno cumplimiento del RGPD, el consentimiento es una herramienta que otorga a los interesados el control sobre si los datos personales que les conciernen van a ser tratados o no. Si no es así, el control del interesado será meramente ilusorio y el consentimiento no será una base jurídica válida para el tratamiento, lo que convertirá dicha actividad de tratamiento en una actividad ilícita”. (el subrayado es nuestro) Estas directrices prosiguen señalando: “13. El término «libre» implica elección y control reales por parte de los interesados. Como norma general, el RGPD establece que, si el sujeto no es realmente libre para elegir, se siente obligado a dar su consentimiento o sufrirá consecuencias negativas si no lo da, entonces el consentimiento no puede considerarse válido. Si el consentimiento está incluido como una parte no negociable de las condiciones generales se asume que no se ha dado libremente. En consecuencia, no se considerará que el consentimiento se ha prestado libremente si el interesado no puede negar o retirar su consentimiento sin perjuicio.” (el subrayado es nuestro) En el presente supuesto, el consentimiento no puede considerarse libre porque con la firma del contrato se impone a todos los clientes que la verificación de sus datos personales se realice a través de consulta a la TGSS. Así se pone de manifiesto en los hechos probados, tal y como hemos puesto de manifiesto, pues para continuar con el proceso de contratación de las cuentas corrientes referenciadas el cliente se ve impelido a consentir sí o sí, sin libertad posible para no hacerlo (pues las únicas casillas posibles son o “volver” o “continuar”, implicando esta última que se consiente). Esto sucede, porque ING ha vinculado el contrato de las referidas cuentas corrientes a la prestación del consentimiento para que el cliente le autorice a verificar sus datos ante la TGSS. Ello limita absoluta y totalmente la capacidad de elección de tales personas para decidir si quieren que ING lleve a cabo tal verificación de datos personales a través de consulta ante la TGSS, ya que no es obligatorio, como se ha expuesto. La obligación legal de verificar determinados datos de los clientes se residencia en las entidades financieras y no en los clientes. Sin embargo, frente a lo esgrimido por la entidad en sus alegaciones al acuerdo de inicio, y tal y como se ha fundamentado, la base jurídica que legitima la verificación de determinados datos de sus clientes ante la TGSS no es el cumplimiento de una obligación legal (que no es una obligación legal para el cliente), sino el consentimiento previo, expreso y firmado del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/49 Es preciso un consentimiento del interesado, en los términos del RGPD, para que una entidad financiera verifique determinados datos de sus clientes ante la TGSS. Así lo indica de forma clara y expresa el propio Convenio entre la Tesorería General de la Seguridad Social, la Asociación Española de Banca y la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre cesión de información al que ING se encuentra adherida y que hemos examinado. Tanto en la cláusula sexta como en el Anexo III del citado convenio se hace mención de manera indistinta, y en idéntico sentido, a la exigencia de una autorización expresa o a un consentimiento expreso por parte de un cliente para que la TGSS permita a las entidades adheridas a verificar ciertos datos personales de sus clientes. Se ha de significar que el término autorizar es sinónimo, según el diccionario de la RAE, de consentir. Pero es que, además, el propio convenio sitúa a la Agencia Española de Protección de Datos en un lugar preeminente respecto del control de dichos consentimientos al disponer en su cláusula cuarta que “las autorizaciones firmadas por el interesado deberán ser custodiadas por las Entidades Financieras Colaboradoras y entregadas a la TGSS o la Agencia de Protección de Datos, cuando lo requieran, en un plazo de diez días a contar desde su solicitud”. Por el contrario de lo alegado por ING, esta “autorización”, este consentimiento, es el consentimiento del RGPD y que el propio convenio impone a las entidades financieras colaboradoras, como es ING, que entreguen los consentimientos a la AEPD cuando sean requeridos; y ello en atención a las competencias otorgadas a la AEPD para el cumplimiento de sus funciones de controlar la aplicación del RGPD y hacerlo aplicar en los términos previstos en el artículo 57 el RGPD, como no podría ser de otra forma. A mayor abundamiento, se ha de significar que el contenido del convenio no podría ser otro que exigir el consentimiento previo, expreso y firmado por el interesado, en atención a lo dispuesto por el resto de la normativa. De esta forma, el art. 77 del Real Decreto Legislativo 8/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley General de la Seguridad Social, determina C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/49 que los datos obtenidos por la Administración de la Seguridad Social en el ejercicio de sus funciones tienen carácter reservado, imposibilitando la cesión o comunicación a terceros: “Los datos, informes o antecedentes obtenidos por la Administración de la Seguridad Social en el ejercicio de sus funciones tienen carácter reservado y solo podrán utilizarse para los fines encomendados a las distintas entidades gestoras, servicios comunes y órganos que integran la Administración de la Seguridad Social, sin que puedan ser cedidos o comunicados a terceros, salvo que la cesión o comunicación tenga por objeto: (…)” Así del precepto enumera un conjunto de supuestos tasados en los que se permite la cesión o comunicación de datos a terceros entre los que no se encuentra el supuesto examinado en el presente procedimiento sancionador. En este sentido la SAN de 15 de septiembre de 2023, rec. 1443/2020, confirma el carácter reservado de los datos tratados por la TGSS respecto de una persona física y que “que solo permite el tratamiento de los repetidos datos personales cuando, o bien exista consentimiento de su titular o bien otro motivo de licitud o legitimación de dicho tratamiento, conforme a lo previsto en los artículos 5 y 6 del RGPD y artículos 4 a 8 de la LOPDGDD” A ello tenemos que añadir lo dispuesto en la disposición adicional décima de la LOPDGDD, que, respecto de las comunicaciones de datos por los sujetos enumerados en el artículo 77.1 de la LOPDGDD (entre los que se encuentra la TGSS), señala que, “Los responsables enumerados en el artículo 77.1 de esta ley orgánica podrán comunicar los datos personales que les sean solicitados por sujetos de derecho privado cuando cuenten con el consentimiento de los afectados o aprecien que concurre en los solicitantes un interés legítimo que prevalezca sobre los derechos e intereses de los afectados conforme a lo establecido en el artículo 6.1
25. f)del Reglamento (UE) 2016/679”. (el subrayado es nuestro) Por otra parte, en la nueva redacción dada a su actual política de privacidad, en la que ING hace referencia y ha añadido tras el inicio de este procedimiento sancionador, además de al cumplimiento de obligaciones legales como base jurídica aplicable al tratamiento, en lo referente a la verificación de los datos laborales con la Tesorería General de la Seguridad Social, la base jurídica subsidiaria sería el interés legítimo de prevenir el fraude en la aportación de la documentación requerida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/49 El dictamen 06/ 2014 del Grupo de Trabajo del artículo 29 establece los 3 requisitos que deben concurrir para que se aplique el interés legítimo: el interés debe ser lícito, estar claramente delimitado y definido y por último no debe ser especulativo. En consecuencia, se debe realizar un ejercicio de ponderación para determinar si es aplicable o no el interés legítimo. Este interés legítimo permitiría realizar un tratamiento sin recabar el consentimiento para satisfacer una necesidad legítima del responsable del tratamiento previa comprobación de que satisfacer ese interés legítimo no afecta significativamente a los derechos y libertades del interesado. En este caso, quedaría afectado el derecho fundamental de los clientes al poder de disposición de sus datos. Asimismo, la STJUE de 4 de octubre de 2024, en el asunto C-621/22 recuerda que, “