← España

PS-00679-2022

1/19  Expediente Nº: EXP202105931 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202105931 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 9 de noviembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, la parte reclamada o BBVA). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que fue cliente de la entidad reclamada hasta el año 2012, año en el que canceló la cuenta que tenía abierta en dicha entidad. Por otra parte, señala que tras tener conocimiento de que dicha entidad había facilitado sus datos a la Central de Información de Riesgos del Banco de España, en relación con una supuesta deuda, en fecha 21 de septiembre de 2021, solicitó a la entidad reclamada acceso a sus datos, en concreto, acceso a sus datos personales objeto de tratamiento, copia de todas las grabaciones efectuadas entre los años 2016 y 2021, extracto y liquidación de la supuesta deuda, justificantes de saldo y movimientos de la cuenta, justificantes de requerimientos de pago y copia del contrato. Posteriormente, el 7 de octubre de 2021, recibe respuesta, indicando que se trata de una deuda vencida y exigible que está siendo reclamada judicialmente (facilitando el Juzgado ante el que se sigue el procedimiento y el número de Auto). Respecto al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 certificado de deuda y movimientos, indican que la oficina de la reclamante contactará con ella cuando disponga de ellos y en relación con las grabaciones, solicitan más información para localizarlas (número de llamadas y fechas). La reclamante reitera su solicitud en diversas ocasiones, solicitando, además la supresión de sus datos e identificación de las empresas de recobro a la que se han facilitado sus datosAsí las cosas, recibe varias respuestas facilitando el acceso a sus datos objeto de tratamiento, indicando que no procede la supresión por mantener posiciones activas con la entidad, asimismo, indican que no han podido localizar el contrato solicitado, reiteran que necesitan más información respecto a las grabaciones e indican que, en relación con la Central de Información de Riesgos del Banco de España, dicho asunto está siendo tratado en los expedientes de referencia y que recibirá respuesta una vez se encuentren finalizados. Aporta intercambio de correos electrónicos con la entidad reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29 de diciembre de 2021 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 9 de febrero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Sobre el ejercicio del derecho de acceso y la solicitud de las grabaciones. Según la información aportada en la reclamación, el ejercicio del derecho de acceso de la reclamante frente a la parte reclamada se ejerció el día 21 de septiembre de 2021 (si bien no es hasta el día 22 de septiembre de 2021 que la reclamante facilita un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 medio de identificación -copia de su documento nacional de identidad-). Como parte de la solicitud la reclamante requiere copia de las grabaciones de las conversaciones telefónicas efectuadas por el Servicio de Atención al Cliente del BBVA y por las empresas que hubiera subcontratado entre los años 2016 y 2021. La parte reclamada respondió a la reclamante el día 7 de octubre de 2021 solicitando más información al objeto de recuperar las grabaciones (“como el número de llamadas y las fechas de las mismas para su localización”). La reclamante, en contestación del mismo día 7 de octubre de 2021, reiteró la solicitud señalando que “son ustedes los que deben llevar el control de las mismas”. El día 21 de octubre de 2021 BBVA proporcionó a la reclamante la siguiente información en respuesta al ejercicio del derecho de acceso: “A continuación, de conformidad con lo establecido en el art. 15 del Reglamento (UE) del Parlamento Europeo y del Consejo de 27 de abril de 2016 (Reglamento General de Protección de Datos) y el artículo 13 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, damos curso a su solicitud de derecho de acceso: I.- ORIGEN Y FINES DE TRATAMIENTO Los datos de carácter personal que obran en esta entidad han sido proporcionados por Usted. Además, se han generado datos personales durante la relación contractual entre las partes como consecuencia de la gestión de dicha relación. Finalidades de tratamiento: Si es cliente de BBVA: Gestionar la relación contractual de los productos y servicios que solicite o contrate con BBVA. Cumplir con obligaciones legales y normativa aplicable a BBVA. Informar y consultar a los sistemas de información crediticia. Prevenir el fraude. II. CATEGORÍAS Y DATOS SOMETIDOS A TRATAMIENTO En BBVA tratamos los datos que a continuación le mostramos y que proceden de información que nos ha proporcionado usted directamente, información que hemos recogido o generado sobre usted e información que hemos obtenido de otras fuentes. En BBVA tratamos estos datos en relación con los productos y servicios que tiene contratados con nosotros y respecto de aquellos productos y servicios de los que es comercializador. […] Datos sometidos a tratamiento: NOMBRE: ***NOMBRE.1 APELLIDO1: ***APELLIDO.1 APELLIDO 2: ***APELLIDO.2 PAÍS DE NACIMIENTO: ***PAÍS.1 LUGAR DE NACIMIENTO: ***LOCALIDAD.1 FECHA DE NACIMIENTO: ***FECHA.1 SEXO: ***SEXO.1 NIF: ***NIF.1 DOMICILIO FISCAL: ***DOMICILIO.1 LOCALIDAD: ***LOCALIDAD.1 CODIGO POSTAL: ***C.P. PROVINCIA: ***LOCALIDAD.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 PAIS: ***PAÍS.1 DOMICILIO: ***DIRECCIÓN.1 LOCALIDAD: ***LOCALIDAD.1 CODIGO POSTAL: ***C.P.1 PROVINCIA: ***LOCALIDAD.1 PAIS: ***PAÍS.1 TELEFONO FIJO: ***TELÉFONO.1 TELEFONO MOVIL: ***TELÉFONO.2 EMAIL: ***EMAIL.1 ESTADO CIVIL: ***ESTADO.1 REGIMEN MATRIMONIAL: ***RÉGIMEN.1 TIPO DE OCUPACION: ***OCUPACIÓN.1 Cuentas […] […] Planes de pensiones […] La clasificación MIFID realizada por la Entidad a su nombre es: ***CLASIFICACIÓN.1. III.- DESTINATARIOS O CATEGORÍAS DE DESTINATARIOS A LOS QUE SE COMUNICARON O SERÁN COMUNICADOS LOS DATOS PERSONALES. Tal y como le hemos indicado anteriormente, BBVA puede comunicar los siguientes datos a las siguientes entidades: a la Central de Información de Riesgos del Banco de España (CIRBE) comunicamos las operaciones de riesgo en base al cumplimiento de obligaciones legales; […] a Jueces, Tribunales, Ministerio Fiscal y/o a las Administraciones Públicas competentes comunicamos la información necesaria ante posibles reclamaciones cuando estamos obligado a ello. […] IV. PLAZOS DE CONSERVACIÓN Conservaremos sus datos personales durante la vigencia de la relación contractual o mientras resulten necesarios para la finalidad concreta de cada tratamiento. Una vez proceda su supresión, mantendremos bloqueados aquellos que sean necesarios para: i. el cumplimiento de obligaciones legales; en particular:

  1. a)10 años en aplicación de la normativa de prevención del blanqueo de capitales y financiación del terrorismo.
  2. b)Durante el periodo máximo de tiempo que establezca la regulación en que se someten las entidades financieras referente al cálculo de capital y provisiones (Banco Central Europeo, Autoridad Bancaria Europea y Banco de España). ii. y durante los plazos de prescripción legal a los efectos exclusivos de reclamaciones o acciones legales. Transcurridos dichos plazos, destruiremos sus datos personales.” La reclamante el mismo día 21 de octubre, da respuesta al anterior y expresa que no se le ha facilitado la copia de las grabaciones de las conversaciones telefónicas solicitada. BBVA, en el correo dirigido a la reclamante el día 29 de octubre de 2021 reitera en relación con la solicitud de las grabaciones que “es necesario que nos aporte más información sobre este asunto como el número de llamadas y las fechas en las que se produjeron las mismas para su localización”. A esto, la reclamante expresa nuevamente que “corresponde a ustedes llevar un control de las mismas y, por lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 tanto, deben ser ustedes quienes de forma inmediata procedan a facilitar las grabaciones solicitadas”. La parte reclamada, en la carta del día 26 de enero de 2022 dirigida a la reclamante expresa que “se le requirió […] que nos aportara más información al respecto como el número de llamadas y las fechas en la que se produjeron las misma, con el fin de poder proceder a su localización, sin que hasta la fecha hayamos recibido respuesta de su parte.” Sobre la vigencia de la relación contractual y el derecho de supresión Manifiesta la reclamante en la reclamación que fue cliente de la entidad hasta que, en el año 2012, cesó su relación contractual. Sobre este particular se solicitaron a la reclamante las evidencias de que dispusiera de la finalización del vínculo con la parte reclamada. Ésta, expresó que no dispone de las mismas al haber transcurrido más de diez años. Según la información aportada en la reclamación, el ejercicio del derecho de supresión de la reclamante frente a la parte reclamada se ejerció a través de correo electrónico el día 7 de octubre de 2021. BBVA, en el correo dirigido a la reclamante el día 21 de octubre de 2021, expresó que la cancelación no es posible ya que “mantiene en la Entidad posiciones activas”. Y añadió que “Para poder realizar la efectiva supresión de sus datos personales, no deberá aparecer ninguna posición o relación comercial con nuestra Entidad, por lo que le rogamos se dirija a una oficina de BBVA, con el fin de que le informen debidamente al respecto.” El mismo día 21 de octubre la reclamante expresó a la parte reclamada la siguiente objeción en relación con la denegación del ejercicio de supresión por la existencia de posiciones activas: “el procedimiento judicial del [sic] que ustedes mencionan es del año 1997, por lo que dicho procedimiento, considerando el tiempo transcurrido (más de 24 años), está más que manifiestamente archivado y terminado, por lo que les requiero para que procedan a la supresión de mis datos por entender que no hay posiciones activas ya que ustedes NO acreditan que si lo estén.” Asimismo, el día 4 de noviembre de 2021 solicitó nuevamente la supresión de sus datos personales al reclamado. BBVA ha facilitado dos comunicaciones dirigidas a la reclamante (de fecha 24 de noviembre de 2021 y de fecha 26 de enero de 2022) en las que, en relación con el derecho de supresión de sus datos personales, manifiesta que no es posible debido a la existencia de posiciones activas. Además, expresa que, una vez cancelada toda contratación con la entidad, sus datos personales serán bloqueados durante el periodo obligatorio de conservación conforme la normativa en materia de protección de datos. Sobre las posiciones activas existentes que impiden la supresión de los datos la parte reclamada cita la existencia de un producto de tipo plan de pensiones vigente (“Cuenta Contrato” […]) cuyo titular es la reclamante. A este respecto facilita una captura de pantalla de sus sistemas con la información del producto. Entre otra información la captura consigna que el contrato se encuentra “Vigente” y “Activo”. Además, entre la información facilitada en respuesta al ejercicio del derecho de acceso se encuentra la siguiente: “[…] Planes de pensiones […]”. Sobre CIRBE y los datos de la reclamante registrados por el reclamado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 El Banco de España ha explicado el funcionamiento de CIRBE y las inscripciones realizadas por el reclamado en relación con la reclamante. Expresa que, hasta el mes de abril de 2016, en virtud de la Circular 3/1995, las entidades no declaraban “operaciones sino riesgos”. Y sobre la existencia de datos de la reclamante comunicados a CIRBE por el reclamado manifiesta que “al tratarse de operaciones por debajo del umbral mínimo de declaración BBVA, S.A. no declaraba a la CIR información sobre la interesada.” Sobre esto ha facilitado los informes de los riesgos declarados por el reclamado sobre la reclamante entre abril de 2015 y marzo de 2016, en los que consta que el reclamado no ha declarado operaciones de la reclamante. Añade el Banco de España que en abril de 2016 la entrada en vigor de la Circular 1/2013 propició que las entidades debieran declarar sus riesgos operación a operación, “incluyéndose en su declaración prácticamente todas las operaciones de los titulares”. No obstante, matiza que no todas las operaciones declaradas se incluían en el informe de riesgos que se cede a las entidades habilitadas para consultar. A este respecto desglosa dos periodos: - Desde abril de 2016 hasta enero de 2021 no se incluían en el informe que se cedía las operaciones con una entidad cuando el riesgo acumulado del titular con dicha entidad fuera inferior a 9.000 euros. - Desde enero de 2021 el umbral de riesgo acumulado con la entidad se rebajó estableciéndose en 1.000 euros. En relación con este periodo (a partir del mes de abril de 2016) el Banco de España especifica dos operaciones declaradas por el reclamado en relación con la reclamante: - La primera de ellas corresponde a un descubierto en cuenta por importe de X.XXX euros con fecha de origen 19 de agosto de 1999. - La segunda de ellas corresponde a un descubierto en cuenta por importe de XX euros cuya fecha de origen es 15 de abril de 2014. Sobre la cesión de la información de las dos operaciones a terceras entidades, expresa el Banco de España que, al ser el riesgo acumulado con el reclamado inferior a 9.000 euros, estas operaciones no fueron cedidas hasta la modificación del umbral a 1.000 euros en enero de 2021. Así, manifiesta que se cedieron a la entidad Bankinter Consumer Finance, E.F.C., S.A. (en adelante Bankinter) los informes correspondientes a los periodos desde enero de 2021 a agosto de 2021 (cita que “la fecha de comunicación a esta entidad de las operaciones coincidía con el cierre de cada uno de los periodos cedidos.”). Según la información facilitada por el Banco de España (el día 21 de septiembre de 2021 la reclamante solicitó la supresión de las operaciones inscritas en CIRBE motivando que no tenía relación alguna con la entidad. Manifiesta además el Banco de España que el día 11 de octubre de 2021 notificó a la reclamante que se procedía a tramitar su solicitud y procedió al traslado de la misma al reclamado. Además, señala que bloqueó la información en CIRBE. Con posterioridad, según cita, el día 16 de noviembre de 2021 recibió un escrito del reclamado mediante el cual procedían a “cursar la baja de los riesgos para los procesos ya presentados y futuros”, y el día 19 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 de agosto de 2022 comunicó a la reclamante que el reclamado había rectificado la información objeto de su solicitud. Añade el Banco de España que con motivo de la solicitud “la cesión de los datos posteriores se suspendió y se comunicó a Bankinter que los datos que se le habían facilitado en los meses anteriores estaban bloqueados por aplicación del artículo 66 de la Ley 44/2002 y cuando, finalmente, BBVA rectificó sus declaraciones dando de baja las operaciones declaradas de periodos anteriores, estas rectificaciones se comunicaron igualmente a Bankinter”. El Banco de España ha facilitado los informes mensuales de riesgos asociados a la reclamante declarados por el reclamado entre abril de 2016 y mayo de 2022 (recuperados en junio de 2022). En los informes se advierte lo siguiente: - Entre abril de 2016 y septiembre de 2020 no figuran operaciones, pero sí la mención de que existen riesgos acumulados por importe inferior a 9.000 euros. En relación al motivo por el cual estos datos siguen figurando tras la gestión de la solicitud de la reclamante, el Banco de España ha señalado que “Dichos riesgos no eran susceptibles de una reclamación de rectificación y/o cancelación, pues dicha información solo era accesible para el Banco de España y para el titular de los riesgos, no así para las entidades declarantes”. - Entre octubre de 2020 y mayo de 2022 (último mes facilitado) los informes que la reclamante especifican que la reclamante no ha sido declarada por el reclamado a CIRBE. El Banco de España manifiesta que el motivo por el que no aparecen registros “se debe a la eliminación con carácter retroactivo de las operaciones previamente declaradas por esa entidad” Sobre la existencia de la deuda reclamada De la información obtenida se ha extraído la siguiente información: - La primera de ellas, referida con el número de contrato […] y el número de cuenta cuenta […], corresponde a un descubierto en cuenta por importe de X.XXX euros con fecha de origen 19 de agosto de 1999. Sobre ésta, en octubre de 2021 manifiesta el reclamado que está siendo objeto de un procedimiento judicial “ante el Juzgado de primera instancia nº XX de Madrid con auto ***AUTO.1”. Además, ante la solicitud de la reclamante, señala que no ha podido localizar la copia del contrato. Tras la reclamación efectuada ante el Banco de España, el 16 de noviembre de 2021 el reclamado, “tras revisar la situación de los contratos”, comunicó la baja de la inscripción de esta deuda en CIRBE. Asimismo, en la carta dirigida a la reclamante el 12 de enero de 2022 expresa que la deuda fue condonada el 23 de noviembre de 2021. - La segunda de ellas, referida con el número de contrato […] y el número de cuenta […], corresponde a un descubierto en cuenta por importe de XX euros cuya fecha de origen es 15 de abril de 2014. Sobre ésta, en octubre de 2021 manifiesta el reclamado que ha procedido a su condonación y retirada de CIRBE. Además, facilita un listado de movimientos realizados entre el 14 de enero y el 15 de abril de 2014 en concepto de cuota de tarjeta y liquidaciones de intereses. Tras la reclamación efectuada ante el Banco de España, el 16 de noviembre de 2021 el reclamado, “tras revisar la situación de los contratos”, comunicó la baja de la inscripción de esta deuda en CIRBE. Asimismo, en la carta dirigida a la reclamante el 12 de enero de 2022 expresa que la deuda fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 condonada a la vista de las alegaciones efectuadas por la reclamante el 7 de octubre de 2021. Sobre el recobro de la deuda La reclamante manifiesta haber recibido una llamada de Intrum en nombre del reclamado el día 9 de noviembre de 2021. Adjunta a la reclamación un documento (ImpresiónPantalla) en el que se refiere una llamada desde el número ***TELÉFONO.3 realizada a las 14:44 de “hoy”. En la reclamación la reclamante consigna como su número de teléfono el ***TELÉFONO.2. Según la información obtenida Telefónica es la operadora que gestiona el número de teléfono ***TELÉFONO.3. Ésta ha informado de que el titular del número es Intrum. Además, ha confirmado que, le consta una llamada realizada el día 9 de noviembre de 2021 desde este número al número de la reclamante. Intrum ha manifestado que mantiene con el reclamado un contrato de prestación de servicios para el servicio de recuperación de deuda firmado el 2 de julio de 2021 (adjunta como documento número 2 las cláusulas del contrato relativas al tratamiento de datos personales). Señala que las llamadas se realizaron siguiendo las instrucciones del reclamado al objeto de reclamar en su nombre una deuda por importe de XXXX,XX euros procedente de una “Cuenta Vista”. Añade que el expediente ha estado “en gestión” por parte Intrum en calidad de encargado de tratamiento entre los días 8 y 25 de noviembre de 2021. Facilita en su escrito una captura de pantalla de sus sistemas en la que figuran los datos de la reclamante a los que ha tenido acceso. Expresa que el reclamado, el día 24 de noviembre, le indicó que dejara de gestionar el caso. Así, añade que el día 25 de noviembre de 2021 los datos de la reclamante fueron devueltos al reclamado y “se procedió a guardar una copia en nuestros sistemas, debidamente bloqueada, que ha tenido que ser recuperada para dar respuesta este requerimiento.” Sobre el ejercicio del derecho de rectificación En contestación a la recepción de los datos personales tras el ejercicio del derecho de acceso correo de fecha 21 de octubre de 2021, la reclamante (Correo del mismo día 21 de octubre de 2021) expresa que los datos que refieren el tipo de ocupación y el régimen matrimonial son erróneos y solicita que se le indique el origen y la fecha en que se obtuvieron. Sobre esto, la comunicación remitida por el reclamado a la reclamante el día 24 de noviembre de 2021 expone que “si considera que los datos personales que constan en la Entidad no son correctos, puede solicitar la rectificación/supresión de los mismos, concretando los datos inexactos y los correctos o los datos concretos que desea suprimir”. Además, el reclamado manifiesta no haber recibido solicitud de rectificación firmada en la que se indiquen los datos correctos. CONCLUSIONES Actuaciones previas de investigación iniciadas a raíz de la recepción de una reclamación en la que la reclamante manifiesta que, a pesar de haber dejado de ser cliente del reclamado en el año 2012, en septiembre de 2021 se enteró de que éste mantenía inscritas dos deudas a su nombre en la Central de Información de Riesgos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 de Banco de España (CIRBE). Expresa además haber ejercido los derechos de acceso, rectificación, y supresión de sus datos frente al reclamado sin haber obtenido plena satisfacción de los mismos. En relación con las deudas inscritas en CIRBE las evidencias obtenidas durante las actuaciones han revelado que: - Ambas deudas, con origen en el año 1999 una y en 2014 la otra, fueron tipificadas como descubiertos en cuenta. - Ambas deudas han sido condonadas por el reclamado tras las reclamaciones efectuadas por la reclamante en 2021 ante el Banco de España y la AEPD. Especificó el reclamado que la condonación se produjo “tras revisar la situación de los contratos”. - Con anterioridad a su condonación, entre los días 8 y 25 de noviembre de 2021, Intrum, como encargado de tratamiento del reclamado, ejerció labores de recobro de una de las deudas que implicaron el contacto telefónico con la reclamante. El día 24 de noviembre de 2021 el reclamado le ordenó el cese de las actividades y procedió a la devolución de los datos. - La regulación de CIRBE ha modificado a lo largo del tiempo tanto el tipo de información que las entidades deben registrar como la información que se cede a los consultantes. Por ello, hasta el mes de abril de 2016 el reclamado no registró datos de la reclamante. Además, hasta el mes de enero de 2021 no se cedieron los datos registrados. La información correspondiente a las dos deudas registradas sí fue cedida a Bankinter entre enero y agosto de 2021. - En septiembre de 2021 la reclamante solicitó al Banco de España la supresión de las operaciones inscritas en CIRBE. El Banco de España suspendió la cesión de los datos, comunicó el hecho a Bankinter, y trasladó la solicitud al reclamado. El día 16 de noviembre de 2021 el reclamado comunicó al Banco de España que procediera a “cursar la baja de los riesgos para los procesos ya presentados y futuros”, hecho que provocó la supresión de las deudas de CIRBE y la comunicación de ello a Bankinter. En relación con el ejercicio del derecho de acceso las evidencias obtenidas durante las actuaciones han revelado que: - La reclamante ejerció el derecho de acceso el día 21 de septiembre de 2021. Como parte de la solicitud requirió la copia de las grabaciones de las conversaciones telefónicas efectuadas entre los años 2016 y 2021. - En relación con las grabaciones el día 7 de octubre el reclamado solicitó a la reclamante más información al objeto de recuperar las grabaciones (“como el número de llamadas y las fechas de las mismas para su localización”). Ante esto la reclamante señaló que “son ustedes los que deben llevar el control de las mismas”. - El día 21 de octubre de 2021 el reclamado proporcionó la información correspondiente al derecho. No incluyó las grabaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 - La reclamante ha vuelto a requerir posteriormente las grabaciones encontrando la misma respuesta del reclamado solicitándole más información para su localización. En relación con la vigencia de la relación contractual y el ejercicio del derecho de supresión las evidencias obtenidas durante las actuaciones han revelado que: - La reclamante no ha facilitado evidencias de finalización de vínculo con el reclamado. - La reclamante ejerció el derecho de supresión el día 7 de octubre de 2021. - El reclamado contestó denegando la supresión el día 21 de octubre de 2021 por la existencia de posiciones activas al tiempo que le indica a la reclamante que “se dirija a una oficina de BBVA, con el fin de que le informen debidamente al respecto.” - Entre la información facilitada por el reclamado a la reclamante el día 21 de octubre de 2021 en la respuesta al ejercicio del derecho de acceso se encuentra la referencia a un plan de pensiones (además de a las dos cuentas de las que derivaban las supuestas deudas inscritas en CIRBE). - El reclamado ha motivado la no supresión de los datos de la reclamante frente a esta AEPD en la vigencia del plan de pensiones asociado a la reclamante. En relación con el ejercicio del derecho de rectificación las evidencias obtenidas durante las actuaciones han revelado que: - En contestación a la recepción de los datos personales tras el ejercicio del derecho de acceso la reclamante el día 21 de octubre de 2021 comunicó al reclamado que los datos que refieren el tipo de ocupación y el régimen matrimonial eran erróneos y solicitó que se le indicara el origen y la fecha en que se obtuvieron. - El 24 de noviembre de 2021 el reclamado contestó a la reclamante indicando: “si considera que los datos personales que constan en la Entidad no son correctos, puede solicitar la rectificación/supresión de los mismos, concretando los datos inexactos y los correctos o los datos concretos que desea suprimir”. - El reclamado ha manifestado a esta AEPD no haber recibido solicitud de rectificación firmada en la que se indiquen los datos correctos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Obligación incumplida Se imputa a la parte reclamada la comisión de dos infracciones por vulneración de los artículos 6.1 y 15 del RGPD. El artículo 6 del RGPD, bajo la rúbrica “Licitud del tratamiento”, detalla en su apartado 1 los supuestos en los que el tratamiento de datos es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” A su vez, el artículo 6.1 de la LOPDGDD, indica, sobre el tratamiento de los datos personales basado en el consentimiento del afectado que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen (…)”. Por su parte, el derecho de acceso del interesado, recogido en el artículo 15 del RGPD, establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 “1.El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  10. a)los fines del tratamiento;
  11. b)las categorías de datos personales de que se trate;
  12. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
  13. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  14. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  15. f)el derecho a presentar una reclamación ante una autoridad de control;
  16. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  17. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2.Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3.El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4.El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” III Tipificación y calificación de la infracción Las infracciones de las que se responsabiliza a la parte reclamada en el presente acuerdo de inicio se encuentran tipificadas en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”. “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  18. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19
  19. b)Los derechos de los interesados a tenor de los artículos 12 a 22”. La LOPDGDD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
  20. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” La LOPDGDD, a efectos de la prescripción de la infracción, califica en su artículo 74.1 de infracción leve, siendo en este caso el plazo de prescripción de un año, “
  21. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  22. k)de esta ley orgánica”. De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos podrían suponer la vulneración tanto de lo dispuesto en el artículo 6.1 del RGPD, como del artículo 15 de esa misma norma. En primer lugar, en relación con el artículo 6.1 del RGPD, la documentación que obra en el expediente pone de manifiesto que la conducta de la parte reclamada contraria al principio de licitud ha consistido en la operación inscrita en CIRBE de una deuda de X.XXX euros. En sus alegaciones sólo menciona que hubo una reclamación judicial en 1997, de la que no da ninguna información, ni documentación. En segundo lugar, en relación con el artículo 15 del RGPD, la entidad no actuó diligentemente, en la petición de acceso a la información que la parte reclamante realizó sobre el tratamiento que se estaba realizando de sus datos personales, se considera injustificado que la parte reclamada en su respuesta de fecha 7 de octubre de 2021 exija más información para localizarlas (número de llamadas y fechas). La parte reclamada debe conservar los datos de cada conversación para la gestión de sus clientes y el artículo 13 del RGPD no exige ese requisito. IV Propuesta de sanción A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en el artículo 83 del RGPD, que señala: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  23. a)a
  24. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19
  25. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  26. b)la intencionalidad o negligencia en la infracción;
  27. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  28. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  29. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  30. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  31. g)las categorías de los datos de carácter personal afectados por la infracción;
  32. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  33. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  34. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  35. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto de este último apartado
  36. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  37. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  38. a)El carácter continuado de la infracción.
  39. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  40. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19
  41. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  42. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  43. f)La afectación a los derechos de los menores.
  44. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  45. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción de lo dispuesto en el artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  46. a)del RGPD, en una valoración inicial, se estiman concurrentes en el presente caso los siguientes factores: En calidad de agravantes: - La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 70.000 € (setenta mil euros) por la infracción del artículo 6 del RGPD tipificada en el artículo 83.5
  47. a)RGPD y 72.1b) de la LOPDGDD En relación con la infracción del artículo 15 del RGPD, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - Los hechos objeto de la reclamación son imputables a una falta de diligencia de la parte de la entidad reclamada, (apartado b), al no haber procedido a la remisión de toda la información solicitada por la reclamante. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD, permite fijar una sanción inicial de 70.000 € (setenta mil euros). Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169, por la presunta infracción de lo dispuesto en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 los artículos 6.1 y 15 del RGPD, tipificadas, respectivamente, en los artículos 83.5.
  48. a)y 83.5.
  49. b)del RGPD SEGUNDO: NOMBRAR como instructor a B.B.B. y, como secretaria, a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  50. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción, serían las siguientes:  Por el incumplimiento de lo dispuesto en el artículo 6.1 del RGPD: 70.000 € (setenta mil euros).  Por el incumplimiento de lo dispuesto en el artículo 15 del RGPD: 70.000 € (setenta mil euros). Así, el importe total de las sanciones recogidas en el presente acuerdo de inicia sería de 140.000 € (CIENTO CUARENTA MIL EUROS). QUINTO: NOTIFICAR el presente acuerdo a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  51. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en a 112.000 € (ciento doce mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 112.000 € (ciento doce mil euros) euros y su pago implicará la terminación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 84.000 € (ochenta y cuatro mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 112.000 € (ciento doce mil euros) o 84.000 € (ochenta y cuatro mil euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 16 de febrero de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 84.000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202105931, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  52. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.