1/141 Procedimiento nº.: PS/00477/2019 Recurso de reposición Nº RR/00061/2021 Examinado el recurso de reposición interpuesto por CAIXABANK, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00477/2019, y en base a los siguientes HECHOS PRIMERO: Con fecha 05/01/2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00477/2019, en la que se acordó lo siguiente: “PRIMERO: IMPONER a la entidad CAIXABANK, S.A., con NIF A08663619, por una infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.
(3). Exactamente lo que acontece en el caso examinado, a tenor de los hechos antes relatados, que no hace al caso insistir. Recordemos que, respecto de la confianza legítima, venimos declarando de modo reiterado, por todas, Sentencia de 22 de diciembre de 2010 (recurso contencioso administrativo nº 257/2009), que «el principio de la buena fe protege la confianza legítima que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Lo que es tanto como decir que el principio implica la exigencia de un deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se desprenden de los propios actos constituyendo un supuesto de lesión a la confianza legítima de las partes "venire contra factum propium". Esta misma Sentencia se refiere a la confianza en la estabilidad de criterio de la Administración, evidenciado en actos anteriores en un mismo sentido. Por otra parte, la STS de 21 de septiembre de 2015 (rec.721/2013), en su Fundamento de Derecho Cuarto, declara lo siguiente: “En la mencionada sentencia de esta Sala jurisdiccional de 23 de febrero de 2000, la aplicación del principio de protección de confianza legítima se condiciona no tanto al hecho de que se produzca cualquier tipo de convicción psicológica en el particular beneficiado, sino más bien a que se acredite la existencia de signos externos producidos por la Administración “lo suficientemente concluyentes” para que le induzcan razonablemente a confiar en la legalidad de la actuación administrativa” . Por tanto, esa esperanza o confianza generada ha de ser “legítima” y estar basada en actos externos anteriores, cuyo sentido sea indudablemente contrario a lo acordado posteriormente, sin que deba incluirse en este principio de confianza legítima una mera convicción psicológica del particular. En este caso, consta que CAIXABANK remitió diversos correos electrónicos a “Adjunto Director AEPD”, a modo de consulta, acompañando copia del “Contrato Marco” dispuesto por esa entidad como formulario de recogida de datos personales y con el clausulado informativo en materia de protección de datos personales, así como un programa sobre las acciones emprendidas, en los que, además, solicitó la celebración de una reunión con el propósito de que comentar tales documentos y acciones. Consta, asimismo, que esta reunión no llegó a celebrarse. Consta que esos correos electrónicos fueron respondidos por el destinatario, por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/141 misma vía, con los mensajes siguientes: . Correo electrónico de 27/07/2016: “Asunto: Reunión Buenos días…, con el fin de valorar la posibilidad de celebrar una reunión remíteme una breve explicación sobre la política que habéis adoptado y el texto de las cláusulas informativas. Hablaremos en septiembre”. . Correo electrónico de 11/09/2017: “Asunto: RE: Presentación RGPD en CaixaBank Buenos días, le agradecería si es posible, me enviase la presentación en un formato que pueda imprimir ya que me es imposible hacerlo”. En este caso, CAIXABANK no dispone de hechos externos anteriores (“signos innegables externos”) que puedan considerarse favorables a dicha entidad de forma concluyente y suficientes para haber inducido a la misma a pensar que la AEPD validó las acciones emprendidas por la entidad para adecuar su actuación al RGPD. Más allá de la critica que pudiera hacer CAIXABANK a esta AEPD por haber sido desatendidas sus consultas o sus solicitudes de reunión para analizar la documentación que estaba elaborando, lo cierto es que las respuestas de esta Agencia contenidas en los correos aportados por la interesada no tienen ningún contenido jurídicamente vinculante ni contienen pronunciamiento alguno sobre las cuestiones a las que se refieren las alegaciones. En definitiva, no representan unos actos externos propios de la Administración de los que pudiera derivarse una futura vulneración del principio de la "confianza legítima del administrado", ahora invocado. La actuación de esta Agencia no ha influido en modo alguno en la conducta de CAIXABANK determinante de las infracciones analizadas, ni esta Agencia ha realizado actuación alguna que haya permitido a dicha entidad concluir que en la documentación de protección de datos formalizada por la misma o en sus procesos de recogida y tratamiento de datos personales no existiera ningún elemento que contraviniera lo establecido en el RGPD y LOPDGDD. CAIXABANK no puede aportar ningún pronunciamiento o actuación de esta Agencia que le llevase a esa presunta confusión, simplemente porque no existe actuación alguna en ese sentido. En definitiva, proyectando la doctrina del Tribunal Supremo al caso presente, y en los términos de la STS de 18 de diciembre de 2007, resulta que no concurren circunstancias que permitan entender que CAIXABANK se ha visto sorprendida por la actuación de la Administración. Finalmente, se estima oportuno señalar, en primer lugar, que los correos electrónicos a los que se refiere CAIXABANK no pertenecen ni integran ninguna actuación reglada de la Administración y, en segundo lugar, que la AEPD tiene habilitados canales de consulta para que los ciudadanos y los responsables de tratamientos de datos personales puedan plantear sus dudas en la materia de su competencia, pero estos canales no pueden utilizarse para que esta Agencia supervise y valide en su integridad las actuaciones emprendidas por esos responsables, salvo que una norma así lo prevea expresamente. Además, sorprende que CAIXABANK pretenda fundar la quiebra del principio de confianza legítima en la remisión de dos correos electrónicos al Adjunto a la Dirección de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/141 AEPD, en los que se solicitaba una reunión sobre los textos que se adjuntaban. En primer lugar, desde una perspectiva formal, debe señalarse que las alegaciones destacan en negrita el destinatario de los correos, al que describen incorrectamente denominándolo como “Director Adjunto de la AEPD”, a pesar de que dicho puesto de trabajo no existía en la relación de puestos de trabajo de la Agencia, como es plenamente conocido por CAIXABANK cuando en el documento número 3 que aporta en relación con esta argumentación se dirige al “Adjunto AEPD”. Lo que podría sugerir, más allá de un mero error material, una voluntad intencionada de dar en este momento más trascendencia a la remisión de los citados correos atendiendo a la relevancia del puesto al que se dirigieron. Y, lo que es materialmente más relevante, es que se pretenda fundar dicha alegación en el cumplimiento del principio de responsabilidad proactiva, regulado en el RGPD como un elemento esencial del nuevo modelo de cumplimiento que diseña dicha norma. Interpretación qué es justamente la contraria a la previsión del Reglamento, en el que el principio de responsabilidad proactiva remite a los responsables del tratamiento la exigencia de realizar los análisis de riesgo para los derechos y libertades de los afectados y adoptar autónomamente las medidas que permitan garantizarlos a través de las medidas que en el mismo se describen. Maxime cuando en relación con dichas medidas la única previsión del RGPD sobre consultas a la autoridad de control es la relacionada con las Evaluaciones de Impacto en la Protección de Datos, cuando la misma muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo, conforme al artículo 36 de dicha norma. A lo que se añade que, sin haber procedido al análisis de la documentación remitida ni manifestarse sobre ella, se comunicó a CAIXABANK que no se celebrarían las reuniones argumentando, precisamente, que la responsabilidad proactiva exige al responsable del tratamiento realizar sus propios análisis y adoptar autónomamente las medidas que garanticen y permitan demostrar el cumplimiento de sus obligaciones. Por todo ello, debe rechazarse la alegación de vulneración del principio de confianza legítima y, de contrario, reafirmar la plena responsabilidad de CAIXABANK en el análisis de los riesgos asociados a las iniciativas desarrolladas para cumplir y demostrar el cumplimiento del RGPD. -
- Caducidad de las actuaciones previas. En sus alegaciones a la apertura del procedimiento, CAIXABANK invocó la caducidad de las actuaciones previas de investigación señaladas con el número E/01475/2018, iniciadas por razón de la reclamación presentada en fecha 24/01/2018, y cuya documentación fue incorporada a las nuevas actuaciones de investigación iniciadas con el número E/01481/
- En base a ello, considera que las posibles infracciones analizadas en las actuaciones previas que se declararon caducadas mediante resolución de 01/02/2019 habrían prescrito, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/141 Posteriormente, en sus alegaciones a la propuesta de resolución, CAIXABANK alega una posible conculcación del artículo 24 de la CE por la indefensión que produce la extensión artificial y antijurídica de las actuaciones previas de investigación, ignorando además su caducidad. Fundamenta esta alegación de acuerdo con las consideraciones siguientes: . Las actuaciones previas de investigación suplantaron la actividad instructora, por cuanto se utilizaron como un verdadero procedimiento sancionador, lo que constituye un posible vicio de desviación de poder en la utilización de los mecanismos de instrucción. Por este mismo motivo, el procedimiento sancionador debe considerarse caducado por el transcurso del plazo previsto para su resolución, contado desde el inicio de las actuaciones previas de investigación. . Entiende que solo se atribuye tal consideración a las actuaciones que permiten reunir datos e indicios sobre los hechos cometidos y sus responsables, debiendo iniciarse el procedimiento tan pronto se tiene certeza sobre la comisión de los hechos y su autor. Según CAIXABANK, en este caso no se atienen a la finalidad prevista en la normativa aplicable. . Las actuaciones previas desarrolladas (una primera caducada, que llevó a la apertura de una segunda) no respetaron ninguna garantía esencial del procedimiento sancionador, tales como informar de la imputación, recordar el derecho a no declarar contra uno mismo, etc. . Dado que la Propuesta de Resolución descansa de facto, única y exclusivamente, en los elementos de convicción y prueba recabados durante la fase de actuaciones previas, la imposibilidad de utilización de los mismos hace que la propuesta carezca de los elementos necesarios para enervar la presunción de inocencia. . No es aceptable el traspaso en bloque del expediente caducado, y tampoco cabe que lo actuado en las actuaciones previas pase íntegramente al expediente sancionador. . No es aceptable la utilización de las actuaciones previas sin limitación de tiempo, más allá de la propia de la prescripción. Esta alegación de CAIXABANK se articula en base a distintos pronunciamientos de nuestro Tribunal Supremo, pero contiene manifestaciones que resultan contradictorias en unos casos o se refieren a supuestos de hechos distintos al que nos ocupa en otros. Así, por ejemplo, CAIXABANK alega que las actuaciones previas desarrolladas no respetaron ninguna garantía esencial del procedimiento sancionador, tales como informar de la imputación, recordar el derecho a no declarar contra uno mismo, etc. Sin embargo, basa esta alegación en lo expresado por el Tribunal Supremo en Sentencia de 09/06/2006, referida a un supuesto disciplinario de las Fuerzas Armadas. En otro orden, no se entiende que, por un lado, se diga que la propuesta de resolución descansa en su integridad en elementos de cargo recogidos durante la fase de actuaciones previas de investigación y, por otro lado, se defienda que las actuaciones previas desarrolladas se desnaturalizaron y no se atuvieron “a la finalidad que deben cubrir conforme al designio del legislador”, cuando, precisamente, el propósito de llevar a cabo tales investigaciones no es otro que obtener esas evidencias que justifiquen la tramitación de un procedimiento sancionador. Por la misma razón, tampoco se entiende que se defienda la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/141 apertura inmediata del procedimiento sancionador, aunque no se haya acreditado totalmente la infracción. Igualmente, siendo aquella finalidad el fundamento para la realización de la investigación previa, esta Agencia no comparte la afirmación contenida en las alegaciones de CAIXABANK sobre la “imposibilidad” de utilización en la propuesta de resolución de los elementos de convicción y prueba recabados durante la fase de actuaciones previas. Por otro lado, se argumenta que las actuaciones propias de un procedimiento caducado no pueden surtir efecto en el nuevo expediente sancionador que pueda iniciarse cuando la infracción no haya prescrito (STS de 24/02/2004). Sin embargo, en este caso, la caducidad se produjo respecto de las actuaciones previas E/01475/2018, y no del procedimiento sancionador. Sobre esta cuestión relativa al traspaso o utilización de la documentación integrante de las actuaciones previas que se declararon caducadas, no se entienden algunas de las afirmaciones que contiene el escrito de alegaciones a la propuesta de resolución. En concreto, en dicho escrito se indica que “existen muy divergentes principios que impiden que lo actuado en las actuaciones previas pase íntegramente al expediente sancionador”, o que “a estas pseudo actuaciones previas, en realidad verdadera instrucción del procedimiento sancionador, no debían haber llegado las actuaciones surgidas y documentadas en éste a raíz de su incoación”. En este caso, no se ha producido ningún traspaso de documentación del procedimiento sancionador a las actuaciones previas, sino al contrario, como es normal; y tampoco se ha traspasado documentación de un procedimiento caducado a otro nuevo procedimiento, sencillamente porque la caducidad del procedimiento sancionador no se ha producido. Asimismo, se dice por CAIXABANK que las actuaciones previas no se atuvieron “a la finalidad que deben cubrir conforme al designio del legislador”, pero no se dice que otro “designio” persiguió la AEPD con la realización de esas actuaciones, que no fuese lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación de un procedimiento sancionador. Alega incluso “un posible vicio de desviación de poder en la utilización de los mecanismos de instrucción”, entendida como <<“una contravención del sentido teleológico de la actividad administrativa desarrollada” (STS de 7-4-86), “una distorsión de la normal finalidad del acto” (STS de 11-4-89), una “no utilización de la potestad administrativa de forma objetiva, acorde con la finalidad perseguida” (STS de 12-5-86). Dicha desviación procesal puede acaecer “no sólo cuando se acredita que la Administración persigue una finalidad privada o un propósito inconfesable, extraño a cualquier defensa de los intereses generales, sino también puede concurrir esta desviación teleológica cuando se persigue un interés público ajeno y, por tanto, distinto al que prevé el ordenamiento jurídico para el caso” (Sentencias del Tribunal Supremo de 18 de marzo de 2011 y 11 de mayo de 2012)”>> (citas incluidas por CAIXABANK en sus alegaciones a la propuesta). Argumenta al respecto que las repetidas actuaciones previas de investigación “suplantaron la actividad instructora”. Sin embargo, no explica CAIXABANK cómo se ha utilizado en este caso la potestad administrativa sancionadora de forma no acorde con la finalidad perseguida, o qué contravención del sentido teleológico de la actividad administrativa se ha producido o cómo se ha distorsionado la finalidad del acto administrativo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/141 ni tampoco qué finalidad privada o interés público ajeno al previsto en el ordenamiento persigue en este caso la Administración. Sobre esta cuestión, el Tribunal Supremo, en Sentencia de 13/05/2013, ha declarado: “Al respecto, procede significar que, conforme es jurisprudencia de esta Sala jurisdiccional, la concurrencia de desviación de poder no puede fundarse en meras presunciones o conjeturas, siendo necesario acreditar hechos o elementos suficientes para formar en el Tribunal la convicción de que la Administración, aunque acomodó su actuación a la legalidad, lo hizo con finalidad distinta a la pretendida por la norma aplicable, lo que, en este proceso, no ha acontecido”. En este caso, no solo no se acreditan hechos o elementos suficientes para formar la convicción de que la Administración actuó con una finalidad distinta a la pretendida por la norma, sino que ni tan siquiera se han expuesto presunciones o conjeturas sobre la concurrencia de la desviación de poder alegada. De la misma forma, tampoco explica CAIXABANK qué trámite concreto realizado en el marco de las actuaciones previas de investigación es en realidad un trámite administrativo que debió celebrarse en el seno del procedimiento sancionador, qué trámite o trámites concretos del procedimiento sancionador han sido suplantados por las actuaciones previas, o qué tramites del procedimiento han sido evitados a causa de las actuaciones previas realizadas, o qué indefensión todo ello ha generado a la entidad interesada. Al contrario, se llevaron a cabo actuaciones previas de investigación perfectamente justificadas, con el propósito de lograr una mejor determinación de los hechos y circunstancias (artículo 67 LOPDGDD), durante las cuales se recabó información necesaria para la determinación de los hechos, sin realizar durante el transcurso de las mismas trámite alguno propio del procedimiento sancionador, el cual se inició en base a las evidencias obtenidas y con el único fin de aplicar las previsiones normativas establecidas. Se recibió una primera reclamación, con fecha 24/01/2018, en la que se denunció la obligación de aceptar las nuevas condiciones en materia de protección de datos personales implementadas por CAIXABANK (aportó copia), y se decidió la realización de actuaciones previas de investigación, señaladas con el número E/01475/2018, para el esclarecimiento de los hechos denunciados y determinar si concurrían circunstancias que justificasen la iniciación de un procedimiento sancionador. En el marco de estas actuaciones previas se cursaron a CAIXABANK dos requerimientos para que por dicha entidad se facilitase información esencial para valorar las cláusulas informativas ofrecidas por la entidad a sus clientes. Entre otra información, se solicitó a dicha entidad que aportara detalles sobre la arquitectura y funcionamiento del “repositorio común”; procedimiento de ejercicio de derechos; obtención de datos personales de redes sociales, del servicios de agregación y de terceras entidades; sobre el enriquecimiento de datos; detalle sobre el mecanismo implementado para recabar el consentimiento inequívoco del cliente para el tratamiento de sus datos y mecanismo para revocarlo; e información proporcionada al cliente en el momento de la obtención del consentimiento en relación a los tratamientos de datos personales realizados por las sociedades del Grupo CaixaBank y su finalidad. Posteriormente, tuvo entrada en la Agencia una nueva reclamación relativa al “Contrato Marco”, que fue sometida al proceso previo de admisión a trámite, siguiendo el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/141 mecanismo previsto en el artículo 65.4 de la LOPDGDD, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. Se trata de un trámite potestativo, de modo que este traslado se lleva a cabo si la Agencia así lo estima. El resultado de dicho traslado no fue satisfactorio, por lo que, a los efectos previstos en su artículo 64.2 de la LOPDGDD, se acordó admitir a trámite la reclamación presentada mediante acuerdo que fue debidamente notificado al reclamante, y no a CAIXABANK, conforme a lo establecido en el artículo 65.5 de la LOPDGDD. Conforme a lo establecido en el artículo 67 de la LOPDGDD, se acordó el inicio de nuevas actuaciones previas de investigación, señaladas con el número E/01481/2019, y la incorporación a las mismas de la segunda reclamación recibida y la documentación que integra la fase de admisión a trámite de la ésta. Se incorporó, asimismo, toda la documentación correspondiente a las actuaciones previas señaladas con el número E/01475/2018, incluida la reclamación que dio lugar a las mismas. Se determinó como objeto de estas nuevas actuaciones previas de investigación el análisis de la información ofrecida con carácter general por CAIXABANK en materia de protección de datos personales, a través de todos los canales empleados por la entidad (cumplimiento por parte de CAIXABANK del principio de transparencia establecido en los artículos 5, 12 y siguientes del RGPD, y preceptos relacionados); los distintos tratamientos de datos personales que lleva a cabo la entidad conforme a la información ofrecida, en relación con clientes o persona que mantengan cualquier otra relación con la misma, y en el marco de la nueva normativa aplicable desde el 25/05/2018, incluido el análisis de los mecanismos empleados para recabar la prestación del consentimiento de los interesados; así como el cumplimiento por parte de la citada entidad del resto de principios relativos al tratamiento establecidos en el artículo 5 del RGPD. Durante el curso de esta nueva fase previa de investigación se cursó un requerimiento de información a CAIXABANK (se solicitó copia de todas las versiones del “Contrato Marco” y posibles adendas, información sobre los canales y metodología para aceptar la política de privacidad y granularidad de los consentimientos, así como los procedimientos habilitados para dar a conocer la política de privacidad actualizada a clientes anteriores a su vigencia y mecanismos de aceptación) y se realizó una visita de inspección para verificar el proceso de alta presencial en oficina, a través de la web y aplicación móvil, y para la verificación del proceso de modificación de los consentimientos, entre otras cuestiones. No puede decirse, a la vista de lo expuesto, que en este caso las actuaciones previas no eran necesarias o que no se realizaron para reunir datos e indicios sobre los hechos cometidos y sus responsables. Efectivamente, las actuaciones previas número E/01475/2018 fueron declaradas caducadas mediante resolución de 01/02/2019, por el transcurso del plazo de doce meses previsto en el artículo 122 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. En dicha resolución se advertía sobre lo dispuesto en el artículo 95.3 de la LPACAP, en el que se establece que la caducidad no producirá por sí sola la prescripción de las acciones de la Administración, y se admite la apertura de un nuevo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/141 procedimiento cuando no se haya producido la prescripción. Esta caducidad no tiene el efecto pretendido por CAIXABANK. Nada impide, por tanto, la apertura de nuevas investigaciones, con incorporación a las mismas de la documentación que integra las actuaciones caducadas. A ello debe sumarse la recepción de una nueva reclamación en fecha 29/03/2019, lo que motivo que esas nuevas actuaciones de investigación que debían iniciarse tuvieran por objeto ambas reclamaciones, la que dio lugar al expediente de investigación E/01475/2018 y esta otra recibida el 29/03/
- Ninguna consecuencia jurídica puede atribuirse a este hecho, más allá de la regla de la prescripción y los efectos que se le atribuyen. Procede, por otra parte, responder a la alegación sobre la caducidad del procedimiento sancionador manifestada por CAIXABANK. Partiendo de la consideración mantenida por esta entidad en cuanto a la suplantación de la actividad instructora por las actuaciones previas de investigación, que, como ya se ha dicho, no tiene base alguna, entiende que el procedimiento sancionador debe considerarse caducado por el transcurso del plazo previsto para su resolución, contado desde el inicio de las actuaciones previas de investigación. Esta alegación debe ser igualmente rechazada. El planteamiento que CAIXABANK realiza sobre esta cuestión en sus alegaciones a la apertura no se ajusta a Derecho. Debe señalarse que el plazo de caducidad del presente procedimiento, establecido en nueve meses, se computa desde la fecha en que se acuerda su inicio, resultando improcedente añadir a ese cómputo, a efectos de medir la duración del expediente administrativo, ningún otro período, tal como el tiempo de las actuaciones previas de investigación, o el tiempo que transcurra entre la finalización de esas actuaciones y la apertura del procedimiento, ni el tiempo correspondiente a la fase de admisión a trámite de las reclamaciones presentadas. Así lo ha declarado repetidamente nuestro Tribunal Supremo. En Sentencia de 21/10/2015 se cita la Sentencia de 26/12/2007 (recurso 1907/2005), que declara lo siguiente: “[…] el plazo del procedimiento […] se cuenta desde la incoación del expediente sancionador, lo que obviamente excluye del cómputo el tiempo de la información reservada";" […] la mayor o menor duración de la fase preliminar no lleva aparejada la caducidad del procedimiento ulterior". También en Sentencia del Tribunal Supremo de 13/10/2011 (recurso 3987/2008) que examina un motivo de casación relativo al cómputo del plazo de caducidad del procedimiento, se declara lo siguiente: “No podemos compartir el razonamiento que expone la Sala de instancia para fijar un dies a quo diferente al establecido por la Ley, señalando como fecha inicial del cómputo el día siguiente a la finalización de las diligencias previas informativas. […] Pues bien, una vez realizadas esas actuaciones previas, el tiempo que tarde la Administración en acordar la incoación del procedimiento […] podrá tener las consecuencias que procedan en cuanto al cómputo de la prescripción (extinción del derecho); pero no puede ser tomado en consideración a efectos de la caducidad, pues esta figura lo que pretende es asegurar que una vez iniciado el procedimiento la Administración no sobrepase el plazo de que dispone para resolver. En el fundamento tercero de la sentencia recurrida la Sala de instancia realiza una interpretación de la norma que no es acorde con la naturaleza de la institución de la caducidad, pues a diferencia de la prescripción, que es causa de extinción del derecho o de la responsabilidad de que se trate, la caducidad es un modo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/141 terminación del procedimiento por el transcurso del plazo fijado en la norma, por lo que su apreciación no impide, si no ha transcurrido el plazo establecido para la prescripción de la acción de restablecimiento de legalidad urbanística por parte de la Administración, la iniciación de un nuevo procedimiento”. Finalmente, en cuanto a la prescripción de las infracciones invocada por CAIXABANK conforme a lo establecido en la LOPD, basta señalar que no es esta norma la que tipifica las infracciones analizadas en este procedimiento. El objeto del procedimiento sancionador, al igual que el de las actuaciones previas de investigación, ya señalado, que está perfectamente definido en el Fundamento de Derecho siguiente, tiene relación con la información ofrecida con carácter general por parte de CAIXABANK en materia de protección de datos personales; los distintos tratamientos de datos personales que lleva a cabo la entidad conforme a la información ofrecida, incluido el análisis de los mecanismos empleados para recabar la prestación del consentimiento de los interesados; así como el cumplimiento por parte de la citada entidad del resto de principios relativos al tratamiento. Todo ello, en el marco de la nueva normativa, constituida por el RGPD, aplicable desde el 25/05/2018, y la LOPDGDD, en vigor desde el día siguiente al de su publicación en el Boletín Oficial del Estado, que tuvo lugar el 06/12/
- Las dos reclamaciones que dan lugar al procedimiento, incluida la primera de ellas, recibida en fecha 24/01/2018, tienen relación con los cambios implementados por CAIXABANK para su adaptación al RGPD, y así lo ha reconocido la propia entidad interesada. Se analiza la actuación desarrolla por CAIXABANK a partir de la aplicación del RGPD, es decir, a partir del 25/05/2018, en relación con los extremos que constituyen el objeto del procedimiento, y se imputan las presuntas infracciones apreciadas según el régimen sancionador regulado en el RGPD y la LOPDGDD. Siendo así, la prescripción de las infracciones deberá valorarse conforme a lo establecido en este régimen sancionador y no en el establecido en la Ley Orgánica 15/1999 (LOPD). En el presente procedimiento sancionador, se imputan las siguientes infracciones:
- Infracción por incumplimiento de lo establecido en los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo 74.a) de la LOPDGDD.
- Infracción por incumplimiento de lo establecido en el artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como muy grave a efectos de prescripción en el artículo 72.1.b) y c) de la LOPDGDD. De acuerdo con lo establecido en los artículos 72.1 y 74.1 de la LOPDGDD, las Infracciones consideradas muy graves prescribirán a los tres años y las infracciones leves prescribirán en un año, contados desde la comisión de la infracción y hasta la apertura del procedimiento con conocimiento del interesado. En este caso, todas las circunstancias de hecho que se ponen de manifiesto en los Fundamentos de Derecho siguientes, que fundamentan la comisión de las infracciones que se declara en este acto, tuvieron lugar dentro del año anterior a la apertura del procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/141 en el caso de la infracción leve, y dentro de los tres años anteriores, en el caso de la infracción muy grave; con el límite en este último caso de la fecha de aplicación del RGPD (25/05/2018), atendiendo al objeto del expediente antes indicado. Siendo así, ninguna de las dos infracciones cometidas había prescrito en el momento en que tuvo lugar la notificación a CAIXABANK de la apertura del procedimiento. -
- La enumeración de los criterios de graduación en el acuerdo de apertura, sin motivación alguna y sin especificar si se aplican como agravantes o atenuantes, es causa de indefensión. A juicio de esta Agencia, el acuerdo de inicio del procedimiento se ajusta a lo previsto en el artículo 68 de la LOPDGDD, según el cual bastará con que concrete los hechos que motivan la apertura, identifique la persona o entidad contra la que se dirige el procedimiento, la infracción que hubiera podido cometer y su posible sanción (en este caso, de los distintos poderes correctivos que contempla el artículo 58.2 del RGPD, la Agencia estimó procedente la imposición de multa, además de la adopción de medidas para ajustar su actuación a la normativa, sin perjuicio de lo que pudiera resultar de la instrucción del procedimiento). En el mismo sentido se expresa el artículo 64.2 de la LPACAP, que establece expresamente el contenido mínimo de acuerdo de iniciación. Según este precepto, entre otros detalles, deberá contener “los hechos que motivan la incoación del procedimiento, su posible calificación jurídica y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. En este caso, no solo se cumplen sobradamente las exigencias mencionadas, sino que se va más allá ofreciendo razonamientos que justifican la posible calificación jurídica de los hechos valorada al inicio e, incluso, se mencionan las circunstancias que pueden influir en la determinación de la sanción. De acuerdo con lo expuesto, no puede decirse que señalar la posible sanción que pudiera corresponder por las infracciones imputadas, con mención de las circunstancias que influyen es su determinación, sea causa de indefensión. CAIXABANK, en este caso, ha visto respetadas todas las garantías del interesado que prevé la normativa procesal y no puede decirse que la enumeración de las circunstancias o factores de graduación de la multa suponga ninguna merma de dichas garantías causante de indefensión. El artículo 68 de la LOPDGDD citado regula el contenido que debe incluir el acuerdo de inicio del procedimiento sancionador. Sin embargo, se trata del contenido mínimo exigible, de los elementos que deben detallarse en el mencionado acuerdo para determinar su validez. Pero nada impide que, como se ha indicado anteriormente, se mencionen las circunstancias que pueden influir en la determinación de la sanción, lo que sin duda redundará en beneficio del interesado, que ve reforzado y favorecido su derecho de defensa. III Las actuaciones reseñadas en los Antecedentes de este acto tienen por objeto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/141 analizar la información ofrecida con carácter general por parte de CAIXABANK en materia de protección de datos personales, a través de todos los canales empleados por la entidad (cumplimiento por parte de CAIXABANK del principio de transparencia establecido en los artículos 5, 12 y siguientes del RGPD, y preceptos relacionados); los distintos tratamientos de datos personales que lleva a cabo la entidad conforme a la información ofrecida, en relación con clientes o persona que mantengan cualquier otra relación con la misma, incluido el análisis de los mecanismos empleados para recabar la prestación del consentimiento de los interesados; así como el cumplimiento por parte de la citada entidad del resto de principios relativos al tratamiento establecidos en el artículo 5 del RGPD. Todo ello, en el marco de la nueva normativa, constituida por el RGPD, aplicable desde el 25/05/2018, y la LOPDGDD, en vigor desde el día siguiente al de su publicación en el Boletín Oficial del Estado, que tuvo lugar el 06/12/
- La entidad CAIXABANK ha informado que inició su adaptación al RGPD en el año 2016, y que la misma se llevó a cabo, principalmente, mediante la implementación del documento denominado “Contrato Marco” en junio de 2016, del que se han elaborado seis versiones desde entonces, fechadas el 20/06/2016, 22/11/2016, 14/03/2017, 12/11/2018, 20/12/2018 y 17/09/2019, según aquella entidad ha informado a esta Agencia. También ha declarado que el “Contrato Marco” regula toda la relación de los clientes con CAIXABANK y las empresas del Grupo cuyos productos comercializa aquella, informa de todos los tratamientos derivados de la relación contractual y solicita los consentimientos necesarios para el tratamiento de los datos de carácter personal a nivel Grupo. Este documento, que sirve como formulario de recogida de datos personales y que el cliente suscribe con su firma, es el empleado por CAIXABANK de forma prioritaria para dar cumplimiento a las exigencias de transparencia y manifestación de consentimientos por parte de los clientes para el tratamiento de sus datos personales. De las seis versiones, serán revisadas en el presente procedimiento la versión 4ª (Anexo I), fechada por CAIXABANK el 12/11/2018, y las dos posteriores que la modifican levemente (la versión 5ª presenta algunas modificaciones en el apartado 6.4 “Suscripción de documentos y contratos mediante firma electrónica”, y suprime el apartado 7.2, referido a “Tratamiento de datos biométricos en la firma electrónica de documentos”; y la versión 6ª presenta cambios en el apartado 4 “Cumplimiento de obligaciones normativas en materia tributaria”, pero sin modificaciones significativas en materia de protección de datos personales), por cuanto son estas versiones las que aparecen con una mayor adaptación al RGPD y, además, por razones temporales. Las tres primeras versiones (1, 2 y 3) aluden a la LOPD y no hacen referencia a cuestiones específicas reguladas en el RGPD, tales como la base jurídica del tratamiento (obligación legal, interés legítimo o consentimiento); derechos de supresión, limitación y portabilidad; derecho a presentar una reclamación ante la Agencia Española de Protección de Datos; existencia de un delegado de protección de datos y medios habilitados para contactar con el mismo. En la propuesta de resolución se indicó que la versión 3ª del “Contrato Marco” constituía la información ofrecida por CAIXABANK a fecha 25/05/2018 y que la misma muestra las carencias expresadas, entre otras. En relación con esta cuestión, CAIXABANK ha alegado que la versión 4ª se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/141 implementó en junio de 2018 y no en noviembre de ese año, y aporta copia de un “Contrato Marco” suscrito por un cliente en fecha 08/06/2018, cuyo contenido coincide con el correspondiente a esta versión 4ª, reseñado en Anexo I. Debe señalarse al respecto que fue la propia entidad CAIXABANK la que fechó la versión 4ª de este documento en noviembre de 2019, según consta en la documentación aportada a los servicios de inspección. En cualquier caso, esta circunstancia no modifica ninguna de las conclusiones expresadas en la propuesta de resolución ni en el presente acto sobre los defectos de información apreciados y en relación con el tratamiento de los datos, basadas en el contenido de esta versión 4ª y las elaboradas seguidamente por CAIXABANK. Ya se ha dicho