REPOSICION-PS-00477-2023

(1)y las reclamaciones sobre las funcionalidades de la banca online de la Reclamante

(1)se deben a sus propias elecciones en la configuración de las visualizaciones. (el subrayado es nuestro) QUINTO: Con fecha 18/01/2021, el reclamante 2 firma contrato CaixaBankNOW nº (…) ***REFERENCIA.20 en el que figura como primer titular, de fecha 18/01/2021, asociado a la cuenta acabada en ***REFERENCIA.21, y en la que no figura ningún usuario autorizado. SEXTO: Con fecha 10/02/2021, la reclamante 1 comunica de nuevo a la parte reclamada que su madre, puede ver también los productos y movimientos asociados a la cuenta finalizada en ***REFERENCIA.21, cuenta en la que no ha sido de alta como persona autorizada. SÉPTIMO: Con fecha 11/02/2021, la parte reclamante 1 comunica a la parte reclamada que su madre podía ver los distintos productos (incluidos préstamos hipotecarios, seguros y tarjetas bancarias) asociados a las cuentas de las que es titular la parte reclamante 1, incluida aquella en la que es cotitular junto con la parte reclamante 2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/31 OCTAVO: Con fecha de entrada de 17 de febrero de 2021 la parte reclamante 1 interpone reclamación ante la parte reclamada en la que pone de manifiesto todos los hechos que venía denunciando y se solicita la finalización de lo que califica como una cesión de datos a terceros sin autorización. Consta acuse de recibo de dicha reclamación de fecha 23 de marzo de 2021. En tal documento muestra su voluntad respecto al rol de su madre como autorizada en las cuentas corrientes de las que es titular y cotitular indicando que, Por lo tanto, a partir de la presente derogo todo “contrato a futuro” a nombre de A.A.A. que según mi sucursal tengo (aún espero documentación inicial) dejando únicamente como autorizada a C.C.C. de las cuentas acabadas en ***REFERENCIA.23 y (...) como siempre estuvo y ha estado siempre. (el subrayado es nuestro). NOVENO: Con fecha 23 de marzo de 2021, la parte reclamada contesta a la reclamante 1 indicando que están dando trámite a su reclamación, a la que darán respuesta a la mayor brevedad posible y en el plazo máximo de un mes. DÉCIMO: Entre el 19 y el 21 de febrero de 2021, la reclamante 1 se dirige al delegado de protección de datos de la parte reclamada en relación a los hechos acaecidos. La reclamante 1 en su correo de 21 de febrero de 2021 indica expresamente que: 1º Le adjunto la reclamación remitida a mi oficina nº2409 donde explico todo lo que ha ido sucediendo, y creo que resumen bastante bien todo lo que me ha ido ocurriendo. Esta reclamación fue firmada el 16-02-2021. Indicar como podrá leer en la reclamación, que el primer suceso en donde me di cuenta de fallos fue el 11-01-2021 y a partirr de ahí solo ha ido a peor. Adjunto DNI 2º Los implicados son B.B.B., C.C.C. y A.A.A.. 3º Incapacidad de realizar ciertas operaciones en todas mis cuentas, por obligatoriedad de firma del tercero, en cuentas donde no es nada. Creo que queda explicado en la reclamación. 4º Cesión de datos a un tercero, aunque todo queda explicado en la reclamación, le adjunto un video donde este tercero puede ver datos bancarios los cuales no debería de ver, y los cuales JAMÁS ha visualizado hasta principio de año. 5º Indicar que mi oficina es consciente de todo desde el primer momento de todo, las soluciones y explicaciones (me las transmite mi oficina, pero son indicaciones dadas por La Caixa contactcenter o desde donde sea). Toda esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/31 documentación, más fotos y los fallos desde el primer momento está también en manos de ella.(el subrayado es nuestro) Consta como única respuesta a estas comunicaciones respuesta del delegado de protección de datos al correo electrónico de fecha 9 de febrero de 2023 (dos años después de la reclamación presentada ante este y fechada un día antes de que la reclamada contestara el 10 de febrero de 2023 la solicitud de información solicitada por la AEPD a resultas de la presentación de la reclamación) en el que se le comunica lo siguiente: Nos ponemos en contacto con usted en relación a su reclamación sobre el funcionamiento y visibilidad de productos de su contrato de banca online (CaixaBank NOW). Dado que en las últimas interacciones que hemos mantenido no se ha conseguido configurar a su satisfacción las facultades de operación y visualización de sus productos a los autorizados designados, nos gustaría concertar con usted una cita en su oficina, a la que asistiríamos con el apoyo de los departamentos técnicos de la Entidad, con la finalidad de, siguiendo las indicaciones y precisiones que nos indique, restaurar y reconfigurar las autorizaciones de todos sus productos. Esperamos que de esta manera podremos probar con su intervención todas las configuraciones que nos indique, hasta que el funcionamiento sea de su completa satisfacción. DÉCIMO PRIMERO: Con fecha 22/06/2021, la parte reclamante 1 interpuso reclamación ante el Banco de España- Ref.Expediente: ***REFERENCIA.22. DÉCIMO SEGUNDO: Con fecha 8 de julio de 2021 la reclamante 1 recibe de los letrados de la parte reclamada un correo electrónico con una propuesta adjunta de acuerdo, derivado de la reclamación presentada por la reclamante 1 ante el Banco de España. En la misma, se indica que, Según comentado telefónicamente, le contactamos como letrados de CaixaBank, en relación con la reclamación presentada ante el Banco de España con el número de referencia referenciado en el asunto del correo. Tal y como hemos hablado, deseamos hacerle llegar la voluntad de CaixaBank de encontrar una solución amistosa a la situación planteada por usted, en relación con la posibilidad de un tercero de poder consultar posiciones de sus productos, a pesar de no estar autorizado en los mismos, sino sólo en dos cuentas a la vista. Al respecto, y tal y como le hemos indicado, parece ser que existió una incidencia técnica con los usuarios de usted y de su madre y que debería ser resuelta con la entrega de nuevas claves con accesos correctos a usted y a su madre. En este sentido, vamos a contactar con oficina a fin de que inicie los trámites para verificar que estas claves se emiten de forma correcta, antes de citarlas para hacerle entregas de las mismas. (el subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/31 Con posterioridad, el 21 de julio de 2021, los letrados de la parte reclamada envían un correo la reclamante 1 en la que ponen de manifiesto que se trata de una incidencia técnica. Así, indican que, Le escribo nuevamente para comunicarle que nos consta que el personal de oficina y usted han hecho pruebas con sus nuevas claves de usuario de CaixaBankNow y que uno de los problemas que exponía en su reclamación ya se habría solucionado. Ahora únicamente quedará que su madre pueda hacer la correspondiente prueba para verificar que con su usuario ella sólo pueda acceder a los productos de usted en los que conste como autorizada. (el subrayado es nuestro). Tras ello el 10 de agosto de 2021 los letrados de la parte reclamada envían un correo a la reclamante 1 en el que le indican que a partir de entonces su madre sólo puede consultar los productos de los que es autorizada. Le señalan que, Le escribo nuevamente para comunicarle que constan hechas las modificaciones oportunas para que su madre únicamente pueda consultar por CaixaBankNow los productos de los que es autorizada suya. El mismo 10 de agosto la reclamante 1 contesta a los letrados de la parte reclamada que aún no está solucionada la incidencia. Por último, el 13 de agosto de 2021 a través del correo enviado por los letrados de la parte reclamada a la reclamante 1 se muestra cómo la incidencia, no obstante las aseveraciones anteriores de la parte reclamada, no estaba solventada con anterioridad. Disculpe las molestias. Salvo error, ahora sí que su madre solo puede acceder a consultar las cuentas de las que está como autorizada suya ((...)) y sin acceso a los movimientos de tarjetas. DÉCIMO TERCERO: En respuesta a la reclamación presentada ante el Banco de España, y al efecto de argumentar que se procedía a la satisfacción de las pretensiones de la parte reclamante, CaixaBank en fecha 21 de julio de 2021 señaló lo siguiente: Dadas estas manifestaciones, CaixaBank ha procedido a realizar las verificaciones oportunas (…) que afecta a los usuarios de banca digital de la reclamante y de su madre como autorizada. DÉCIMO CUARTO: El Banco de España remite a la reclamante 1, con fecha 26 de julio de 2021, documento en el que se le indica que se ha recibido en este Departamento de Conducta de Entidades, escrito procedente de CAIXABANK, S.A., en el que comunica, en relación con la reclamación presentada el día 22 de junio de 2021, que han procedido a rectificar la situación objeto de discrepancia, habiéndole sido aquel notificado por la propia entidad, por lo que consideramos que su reclamación ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/31 quedado satisfecha conforme a lo previsto en el artículo 14 de la Orden ECC/2502/2012, de 16 de noviembre, por la que se regula el procedimiento de presentación de reclamaciones ante los servicios de reclamaciones del Banco de España, la Comisión Nacional del Mercado de Valores y la Dirección General de Seguros y Fondos de Pensiones. Se le indica que a tal fecha se procede al archivo de la reclamación. La reclamante 1 formula alegaciones ante el Banco de España, con fecha de firma 26 de julio de 2021, señalando que se opone al archivo indicando expresamente que la incidencia no está resulta. Señala que, Desde enero, y de todas las vías conocidas (el único que se preocupó fue mi gestor, y ni siquiera a él le daban una respuesta) he intentado solucionar las cosas de forma amistosa, pero JAMÁS se me dió solución y ni siquiera una respuesta. Se interpuso una reclamación formal a fecha 17 de febrero, a la cual JAMÁS se dio solución ni respuesta, (hasta la llamada el 8 de julio) cuando están en la obligación de responder en el transcurso de un MES. Que quede claro que la situación actual en la que nos encontramos es debido únicamente y exclusivamente a CaixaBank, y sus no respuestas desde el inicio. Debido a esto, me siento ninguneada como cliente, ya que solamente se ha respondió a raíz de la reclamación al BDE. Por otro lado, la situación actual del problema de la presente reclamación sigue igual y evidentemente no voy a parar nada que no está resuelto. Además, solo se han puesto en contacto conmigo, cuando aquí hay más personas involucradas. (el subrayado es nuestro). DÉCIMO QUINTO: El 19 de agosto de 2021 los letrados de la parte reclamante remiten al Banco de España escrito en relación con la reclamación presentada por la parte reclamante 1 ante dicha entidad (pues tras las alegaciones de la parte reclamante 1 la reclamación presentada por esta no fue archivada). Indican que, ÚNICA.- Que CaixaBank ha procedido a realizar las regularizaciones oportunas de sus marcas de control (sustitución de la de “apoderada” por la de “autorizada”), fuente del error administrativo padecido, con lo que se actualizan y corrigen automáticamente las facultades de visualización que la madre de la reclamante tiene de los productos de ésta, gracias a lo cual actualmente consta que a través del servicio de banca digital por internet CaixaBankNow la madre de la reclamante puede realizar consultas únicamente sobre los productos de los que es autorizada, que son actualmente las cuentas a la vista (...). …En este sentido, justificamos las regularizaciones realizadas en este sentido, tanto respecto a las cuentas como de limitación de los movimientos de tarjetas: …esta entidad solicita que se proceda al archivo del presente expediente, teniéndose a la entidad como allanada y solicitando le sea de aplicación la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/31 doctrina sentada por este Departamento en materia de errores administrativos, y en consecuencia, declare la inexistencia de actuación contraria a las buenas prácticas bancarias. (el subrayado es nuestro). DÉCIMO SEXTO: El Reclamante 2 presenta reclamación ante la parte reclamada el 4 de octubre de 2021 denunciando los mismos hechos que la reclamante 1. Indica que, Cesión de datos por parte de la Caixa a un tercero sin autorización. Todas las tarjetas vinculadas a la cuenta ***REFERENCIA.21 son vistas por C.C.C.. Esto lleva ocurriendo más de 9 meses, sin que ustedes den una solución al problema. Esta señora no tiene nada que ver en mis cuentas y aún menos en mis tarjetas. Se está vulnerando mi derecho cediendo datos durante meses y meses. Por todo ello le solicito que ordene las instrucciones oportunas para que esto sea subsanado ya. (el subrayado es nuestro). La parte reclamada le contesta el 27 de octubre se le indica que no es posible admitir a trámite los hechos puesto que está siendo sustanciada ante el Banco de España. DÉCIMO SÉPTIMO: Mediante Informe de 23 de diciembre de 2021 del Banco de España resuelve la reclamación presentada por la reclamante 1, indicando que, En este caso, entre la fecha (17 de febrero) en que tuvo entrada en la entidad el escrito de reclamación previa y aquella fecha en que los abogados de la entidad contactaron por escrito -correo electrónico- con la reclamante (8 de julio) transcurrieron meses. No consta respuesta del servicio de atención al cliente a la reclamación distinta de la de acuse de recibo. Y si bien no disponemos del documento o los datos de la autorización que la reclamante concedió a su madre, en todo caso la reclamante desde febrero de 2021 puso de manifiesto ante la entidad su discrepancia con la información de que disponía o a la que accedía su madre, por ella autorizada, y reiteró una y otra vez –aportando videos demostrativos- que la incidencia seguía sin resolverse en esa fecha. (el subrayado es nuestro). Asimismo, se indica en el informe que tras la presentación de alegaciones de la parte reclamada 1 en relación con el archivo de la reclamación presentada ante el Banco de España, La entidad bancaria presentó nuevo escrito de alegaciones con fecha 19 de agosto de 2021, en el que solicita de nuevo el archivo del expediente por allanamiento y manifiesta que ha realizado las regularizaciones oportunas de sus marcas de control (sustitución de la de “apoderada” por la de “autorizada”), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/31 fuente del error administrativo padecido, con lo que se actualizan y corrigen automáticamente las facultades de visualización de la madre de la reclamante. Habla de que en esa fecha la madre de la reclamante podía realizar consultas, a través del servicio de banca digital por internet CaixaBankNow, únicamente sobre los productos de los que es autorizada: las cuentas a la vista número … ***REFERENCIA.23 y …(…): La reclamante presentó escrito el 2 de septiembre de 2021 para oponerse de nuevo al allanamiento y archivo del expediente, manifestando que efectivamente el 8 y el 13 de agosto un abogado le comunicó indicando que estaba todo arreglado, pero no era así y su madre podía ver las tarjetas de crédito además de todos sus datos de hipoteca, seguros de vida etc. Afirma que, aunque la documentación aportada por CAIXABANK indica que todo está solucionado, a esa fecha (02/09/2021) es mentira y aporta videos demostrativos. Aclara que la documentación que aporta CAIXABANK son pantallazos de los ordenadores de ellos, y desde un inicio su gestor el comprobó que eso estaba bien y, aunque ellos vieran eso en la pantalla, no era verdad. …La entidad, en sus dos escritos de alegaciones, reconoce la incidencia o error y comunica que lo ha solucionado. Como documentación adjunta a sus alegaciones, solo aporta el correo electrónico que dirigió a la reclamante el 8 de julio de 2021…La reclamante, no obstante, en sus distintos escritos, el último de 2 de septiembre de 2021, indica que el problema seguía sin solucionarse y aporta videos demostrativos. Además, se queja de falta de respuesta de la entidad a su reclamación, que presentó por primera vez en la oficina bancaria el 17 de febrero de 2021 y el servicio de atención al cliente le acusó recibo el 23 de marzo de 2021. …Llegados a este punto, debemos señalar que el incumplimiento de la obligación, por parte de las entidades, de atender y resolver en plazo las quejas y reclamaciones presentadas por sus clientes, que revela una actuación deficiente en el funcionamiento del servicio de atención al cliente y una desatención hacia el usuario del servicio financiero, podría ser constitutivo de un quebrantamiento de la normativa de transparencia (el subrayado es nuestro). TERCERO: La parte recurrente ha presentado en fecha 13 de enero de 2025, ante esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en estos tres aspectos:  La resolución sancionadora debe anularse por infringir el principio de tipicidad que rige la potestad sancionadora. El acceso a la cuenta compartida por la representante de la cotitular fue consentido por B.B.B.: la cuenta compartida se sujeta al régimen de solidaridad. No existe ninguna deficiencia en el diseño de la aplicación de banca online.  La resolución sancionadora debe anularse por infringir el principio de culpabilidad que rige el ejercicio de la potestad sancionadora. CaixaBank actuó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/31 con base en una interpretación coherente de la norma de conformidad con el código civil.  La sanción prevista en la resolución sancionadora debe reducirse. Las sanciones impuestas vulneran el principio “non bis in idem” y no atienden al principio de proporcionalidad. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Alegaciones presentadas La parte recurrente fundamenta su recurso, en primer lugar, en entender que la resolución sancionadora debe anularse por infringir el principio de tipicidad que rige la potestad sancionadora. A su juicio, el acceso a la cuenta compartida por la representante de la cotitular fue consentido por B.B.B. debido a que la cuenta compartida se sujeta al régimen de solidaridad. Con base en ese mismo argumento, señala que no existe ninguna deficiencia en el diseño de la aplicación de banca online. En este sentido, la parte recurrente argumenta su afirmación indicando que el fundamento en el que la Resolución Sancionadora trata de sostener la comisión de las infracciones indicadas es la supuesta falta de consentimiento de B.B.B. a que A.A.A. accediera a la información de la Cuenta Compartida. No obstante, a su juicio, la resolución sancionadora ignora dos elementos de cabal importancia: La Cuenta Compartida está sujeta al régimen de solidaridad y C.C.C. estaba debidamente autorizada para acceder a la Cuenta Compartida. Señala que La Cuenta Compartida es solidaria, de modo que B.B.B. en el momento de suscribir el Contrato de la Cuenta Compartida consintió que A.A.A. accediera a la información de la cuenta a través de CaixaBank Now y, por tanto, consintió que tal acceso pudiera realizarlo bien A.A.A. por su cuenta, bien a través de un tercero que A.A.A. autorizara a tal efecto (en este caso C.C.C.). A su juicio, lo anterior evidencia que el diseño de la banca online es correcto, toda vez que precisamente permite que los cotitulares de cuentas solidarias (que previamente han autorizado sujetar el contrato al régimen de solidaridad) apoderen a representantes a través del sistema de CaixaBank Now para que puedan visualizar esas cuentas en los términos en los que hayan sido expresamente autorizados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/31 En este sentido, señala la recurrente que la resolución sancionadora parte de una premisa errónea, al confundir la figura de apoderado de una cuenta bancaria con la figura de autorizado en la banca digital. Según la Resolución Sancionadora, en la medida en que C.C.C. solo constaba como apoderada de las dos cuentas cuya única titular era A.A.A., C.C.C. únicamente podía acceder a la información de esas dos cuentas, ignorando la autorización conferida a favor de C.C.C. a través del sistema de CaixaBank Now para acceder a la información de la Cuenta Compartida. Entiende que este planteamiento es incorrecto en tanto que no es necesario ser apoderado de una cuenta concreta (y, por tanto, ostentar facultades que podrían incluso comprender el cierre de la cuenta) para poder acceder a información relativa a esa cuenta a través de la plataforma de banca digital si así ha sido autorizado por el titular del contrato de CaixaBank Now, circunstancia que quedó acreditada en el marco de la tramitación del procedimiento de referencia. Asimismo, cuestiona lo señalado en la resolución recurrida en cuanto a que, en un supuesto como el planteado no aplica el régimen de la solidaridad ni del apoderamiento previsto en la normativa civil con base en el principio de especialidad normativa, debiendo prevalecer en este caso la normativa de protección de datos. A juicio de la recurrente, este planteamiento es incorrecto por lo siguiente: El principio de especialidad exige que la ley especial se aplique con preferencia a la ley general cuando un supuesto de hecho se ajuste más al hecho regulado en la ley especial. Por el contrario, aplicará la ley general en todas aquellas materias no contempladas en la ley especial. El régimen de solidaridad y de apoderamiento no está previsto en el RGPD y, por tanto, su análisis debe sujetarse a la normativa civil (que es la única que regula estas materias). Lo anterior resulta de forma evidente si se atiende a la Guía del Derecho de Acceso del CEPD en la que se indica expresamente que las cuestiones de derecho civil relacionadas con el apoderamiento no se regulan en el RGPD, sino en la normativa nacional (en nuestro caso, el Código Civil). Esta circunstancia, que es de cabal relevancia para resolver el presente procedimiento ha sido ignorada en la Resolución Sancionadora. En particular, la referida Guía del Derecho de Acceso establece lo siguiente: “En este sentido, las legislaciones nacionales que regulan la representación (por ejemplo, los poderes notariales), [...] deben tenerse en cuenta, ya que el RGPD no regula esta cuestión. De conformidad con el principio de responsabilidad, así como de los demás principios de protección de datos, los responsables del tratamiento deberán poder demostrar la existencia de la autorización pertinente para [...] recibir la información solicitada, salvo si la legislación nacional difiere (por ejemplo, si la legislación nacional contiene normas específicas relativas a la fiabilidad de los responsables del tratamiento)”. En refuerzo de su argumentación, la parte recurrente reitera la sentencia de la Audiencia Nacional ya mencionada durante la tramitación del procedimiento sancionador para concluir que, al igual que en el caso enjuiciado entonces, la AEPD debe analizar si, por un lado, A.A.A. podía ejercer sus derechos de forma individual (atendiendo al carácter solidario de la Cuenta Compartida) y, por otro lado, si C.C.C. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/31 estaba o no facultada para acceder a la información de la Cuenta Compartida (atendiendo a la autorización conferida a su favor a través del sistema de CaixaBank Now). Así, la AEPD debe analizar si se produjo una vulneración de la normativa de protección de datos partiendo del régimen aplicable a la relación jurídica entre las partes, circunstancia que se sigue ignorando en el planteamiento de la AEPD (en el que se sigue obviando el carácter solidario de la Cuenta Compartida, así como el alcance de la autorización conferida a través del sistema de apoderamiento de CaixaBank Now). En ese sentido, y de acuerdo con lo argumentado por la recurrente, este análisis debía llevar necesariamente a la AEPD a concluir que efectivamente C.C.C., podía acceder a la Cuenta Compartida, atendiendo a la naturaleza solidaria de la Cuenta y a la autorización conferida a su favor a través del sistema CaixaBank Now. Para ello, entiende que la AEPD debería haber tenido en cuenta la naturaleza solidaria de la Cuenta Compartida, así como que el sistema de CaixaBank Now permite a los usuarios configurar de forma granular el nivel de acceso de los representantes (sin que en ningún caso se configure como una autorización en bloque). Concluye la recurrente reiterando que, a su juicio, el acceso fue consentido atendiendo, precisamente, al carácter solidario de la Cuenta Compartida y al alcance del apoderamiento conferido a través de CaixaBank Now. Por todo ello, considera que la resolución recurrida es contraria a Derecho en tanto que altera, más allá de su competencia, el régimen jurídico de un contrato válidamente celebrado para derivar consecuencias impropias del régimen jurídico civil propio de ese contrato. A estos argumentos añade una serie de consideraciones acerca de las consecuencias prácticas que conllevaría la aplicación del planteamiento seguido por la resolución sancionadora. Así, por ejemplo, alude a la situación que podría darse respecto de un apoderado por un cotitular de una cuenta solidaria que pudiera disponer de los fondos, pero al que, en aplicación de lo señalado por la resolución recurrida, se denegara el acceso a la visualización de las cuentas por no contar con la previa autorización de los cotitulares. A su juicio, la situación carecería de sentido al permitirse al apoderado la disposición de los fondos sin la autorización expresa de los demás cotitulares, pero, en cambio, no pudiera conocer el saldo de la cuenta en cuestión. Asimismo, a juicio de la recurrente, el planteamiento de la resolución recurrida le llevaría a un incumplimiento del derecho de acceso del tercero autorizado en relación con cuentas solidarias en cotitularidad, contraviniendo lo dispuesto en el art. 12 de la LOPDGDD que prevé que el ejercicio de los derechos reconocidos en el RGPD podrá ejercerse directamente o por medio de representante legal o voluntario. Continúa la recurrente rechazando que las manifestaciones por ella realizadas en el marco de la tramitación del procedimiento seguido ante el Banco de España no suponen un reconocimiento de su responsabilidad. En este sentido, señala que la calificación como incidencia técnica a los hechos reclamados- visualización de datos personales- no implica reconocimiento de responsabilidad y menos en materia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/31 protección de datos. Insiste en que la visualización de la información que fue objeto de reclamación no se trata de ningún error, sino del funcionamiento normal de la plataforma digital y es conforme con los permisos de visualización otorgados en cada momento. Asimismo, califica como irrelevante a los efectos de determinar su responsabilidad en este procedimiento, la calificación de los hechos en el procedimiento seguido ante el Banco de España por cuanto insiste, sólo podrá ser responsable por hechos que incurran en un tipo infractor. La recurrente insiste en la autonomía de la voluntad de la cotitular de la cuenta bancaria, C.C.C., y en que la visualización de los datos referidos a la misma se correspondía con los permisos que en cada momento se fueron dando y confirma que el diseño de la banca digital permite que terceros autorizados por los cotitulares de las cuentas solidarias visualicen el contenido de esas cuentas en caso de que hayan sido debidamente autorizados. A su juicio incluso en el hipotético y negado caso de considerar que se revocó la autorización conferida, este supuesto habría afectado a un caso en particular y no podría servir como fundamento para poner en duda el diseño de la banca online, que resultando del régimen de solidaridad y del régimen de apoderamiento, permite que terceros autorizados puedan visualizar cuentas sujetas al régimen de solidaridad si así han sido debidamente autorizados. Por último, señala que, a su juicio, la infracción del art. 25 RGPD estaría prescrita. Entiende al respecto que los hechos se habrían cometido en el momento en que se presentó la reclamación ante la AEPD- 27 de enero de 2021- y considera que en el momento en que se dictó el acuerdo de incoación del procedimiento sancionador- 18 de enero de 2024-, las infracciones ya habían prescrito por cuanto habían transcurrido más de dos años desde el momento en que se produjo la supuesta infracción (de acuerdo con el plazo de prescripción previsto en el art. 73 de la LOPDGDD). En segundo lugar, la parte recurrente argumenta que la resolución sancionadora debe anularse al no concurrir el elemento subjetivo de culpabilidad requerido para el ejercicio de la potestad sancionadora. Y todo ello por cuanto considera que Caixabank actuó con base en una interpretación coherente de la norma de conformidad con el código civil. A su juicio, Entender lo contrario supondría desnaturalizar la dinámica de las relaciones solidarias (que permiten el ejercicio independiente de los derechos de la forma que se estime conveniente), así como desnaturalizar el apoderamiento, que permite el ejercicio independiente de derechos a través de un tercero (que actúa como una suerte de alter ego en el tráfico jurídico). Por otro lado, considera que su conducta no puede considerarse como culpable, toda vez que trató de colaborar en todo momento con la reclamante. Alude a las conversaciones mantenidas con ella tanto por el Servicio de Atención al Cliente como por su Delegado de Protección de Datos quien, afirma, le ofreció concertar una reunión presencial para que pudiera configurar el alcance de la autorización conferida Pero, no obstante, A.A.A. declinó la propuesta de CaixaBank, según se expuso en el escrito de 15 de junio presentado ante la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/31 En tercer lugar y último lugar, la parte recurrente manifiesta que las sanciones impuestas vulneran el principio “non bis in idem” y no atienden al principio de proporcionalidad. La parte recurrente considera que debería haberse aplicado el régimen del concurso medial previsto en el art. 29.5 de la Ley 40/2015, de acuerdo al criterio jurisprudencial mantenido por la Audiencia Nacional. Y ello por cuanto en hipótesis el hecho de haber incurrido en la infracción del artículo 25 RGPD (error en el diseño) habría dado lugar a vulnerar el principio de confidencialidad. Por tanto, la supuesta comisión de una de las infraccione ha dado lugar a la otra. Por otro lado, cuestiona que la resolución sancionadora no contenga justificación en relación con el cálculo del importe de las sanciones impuestas, que considera manifiestamente contrarias al principio de proporcionalidad, especialmente si se atiende a las circunstancias del caso: solo existe una reclamación relacionada con los permisos de visualización, es decir, no es un caso generalizado sino complemente puntual, y la recurrente intentó colaborar con la reclamante. Por ello, considera que no puede aplicarse como agravante lo dispuesto en el art. 83.2

1. b)al no existir intencionalidad o negligencia en la infracción, de acuerdo a la interpretación que de esta circunstancia ha realizado la Audiencia Nacional. III Contestación a las alegaciones presentadas En primer lugar, ha de señalarse que los argumentos en los que se basa el recurso presentado coinciden con las alegaciones ya realizadas por la parte recurrente durante la tramitación del procedimiento sancionador. Todas ellas fueron debidamente analizadas y desestimadas en la resolución recurrida. En primer lugar, en lo relativo a la infracción del principio de tipicidad, cabe comenzar señalando lo indicado en los hechos probados de la resolución recurrida, en concreto el cuarto, CUARTO: El 3/02/2021 la reclamante 1 firmó contrato CaixaBank Now (Contrato nº (…) ***REFERENCIA.18) referido a la cuenta ***REFERENCIA.2 y que permite realizar la operativa relativa a la misma de forma electrónica. En el apartado 2 de dicho contrato- usuarios autorizados- figura lo siguiente: Personas que pueden acceder a su CaixaBankNow C.C.C., con ***NIF.1, Número de usuario ***REFERENCIA.19 y nivel Operativo. Según la página 9 del mencionado contrato, apartado 1.2: Adicionalmente, usted puede nombrar a otras personas para que puedan usar su CaixaBankNow: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/31 > Usuarios autorizados: usted autoriza a estas personas para que puedan acceder a su CaixaBankNow en los niveles de Acceso básico, Consulta o Consulta y preparación (vea el punto siguiente), excepto que usted nos indique lo contrario. Esta autorización queda sin efecto cuando termina el plazo de tiempo por el que usted la ha autorizado, o si nos comunica que ya no quiere que la persona sea autorizada. > Usuarios personalizados: usted puede decidir el grado de acceso que otorga a estas personas, de acuerdo con los siguientes niveles: > Básico: permite al usuario presentar documentos para realizar distintas operaciones, como domiciliaciones, transferencias, etc., que requieren la firma del titular o de un usuario con plenas facultades. La finalidad es que el usuario prepare las operaciones para que usted, como titular, las consienta con posterioridad. > Consulta: permite al usuario consultar los servicios contratados así como su operativa concreta. > Consulta y preparación: es la suma de los dos niveles anteriores. > Todo permitido: el usuario puede acceder a todos los servicios que ofrece CaixaBankNow. > Detallado: el usuario puede tener distintos niveles de acceso, según el tipo de servicio: cuenta corriente, fondo de inversión, seguro, etc. No figura definición alguna sobre lo que ha de entenderse como usuario autorizado de nivel operativo. Por lo tanto, el contrato al que en tantas ocasiones alude la recurrente y en el que, según indica reiteradamente, se recoge la elección de la reclamante en cuanto a la operativa de visualizaciones de la cuenta compartida con B.B.B., viene referido a una cuenta- la terminada en ***REFERENCIA.23- que no se corresponde con la cuenta compartida por los reclamante- terminada en ***REFERENCIA.21-. Asimismo, en dicho contrato realizado a través de CaixaBank Now a C.C.C. se le otorga la condición de usuario autorizado nivel operativo. Así, como ha quedado demostrado de la documentación contenida en el expediente- y así se refleja en el mencionado- Hecho Probado- el contrato al que alude la recurrente no viene referido a la cuenta solidaria compartida por los recurrentes- y objeto principal de la reclamación presentada ante la AEPD-, no contiene en ningún momento una definición de qué debe entenderse por usuario autorizado de nivel operativo y mucho menos puede desprenderse del mismo que C.C.C. tuviera la condición de apoderada de A.A.A. (la reclamante) como pretende señalar reiteradamente la recurrente. Esta falta de definición del alcance de la autorización otorgada es relevante no sólo al objeto de desvirtuar que nos encontremos ante una autorización con el alcance que pretende darle la recurrente, sino también al cuestionar que tal autorización, como pretende la recurrente, pueda ser equivalente a un apoderamiento. Cabe recordar, asimismo, que, desde el 10/02/2021, la reclamante ha venido comunicando de forma reiterada que los movimientos y productos asociados a la cuenta finalizada en ***REFERENCIA.21 podían ser visualizados por su madre quien, en contra de lo manifestado por la recurrente, nunca había sido dada de alta como autorizada para dicha cuenta y menos aún, por lo tanto, podría ser considerada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/31 como apoderada en los términos y con el alcance que pretende darle a este concepto, en relación al presente caso, la parte recurrente. Estas circunstancias se ven claramente acreditadas por lo acreditado en el Hecho Probado octavo, que refleja la comunicación dirigida a la parte recurrente Por lo tanto, a partir de la presente derogo todo “contrato a futuro” a nombre de A.A.A. que según mi sucursal tengo (aún espero documentación inicial) dejando únicamente como autorizada a C.C.C. de las cuentas acabadas en ***REFERENCIA.23 y (...) como siempre estuvo y ha estado siempre. (el subrayado es nuestro). Es indubitado, por lo tanto, que C.C.C. nunca estuvo autorizada por A.A.A. en la cuenta compartida por los reclamantes, la finalizada en ***REFERENCIA.21, y sobre la que la recurrente insiste en considerar que los permisos de visualización son conformes con el régimen de solidaridad que a dicha cuenta le sería de aplicación. En definitiva, C.C.C. no fue nunca autorizada- y menos aún apoderada, conceptos que la recurrente utiliza indistintamente- respecto de la cuenta que compartían los reclamantes ante esta AEPD, A.A.A. y B.B.B.. Es por ello que no pueden acogerse los argumentos de contrario en este sentido, incluidos los de la presunta vulneración del art. 12 LOPDGDD que prevé que los derechos reconocidos en el RGPD al titular de los datos pueda ser ejercicio mediante representación. Cabe recordar lo señalado en la resolución recurrida (FD III) en el siguiente sentido: En este punto, por su interés, recordemos que el Banco de España, en el informe de 23 de diciembre de 2021 antes mencionado y sobre la figura del autorizado en una cuenta bancaria señala lo siguiente (el subrayado es nuestro): Los autorizados son personas que, con el consentimiento expreso de los titulares, pueden disponer con carácter general del saldo existente en la cuenta. No están facultados para modificar las condiciones del contrato, ni para cancelar la cuenta, ni para realizar disposiciones contra la cuenta tras el fallecimiento del titular. La condición de autorizado se obtiene por autorización expresa del titular o titulares de la cuenta y habitualmente por escrito, siendo uso y práctica bancaria que se recojan en ese momento tanto las firmas de los titulares como de las personas autorizadas. A este respecto, señalemos que la autorización, según indica el propio Banco de España, viene referida a un poder de disposición respecto de los fondos consignados en la cuenta bancaria. Cuestión distinta, ha de entenderse, a la visualización de los movimientos referidos a todos los productos asociados a la misma; circunstancia que es la que se ha producido en el caso que nos ocupa, tal y como se refleja en los términos de la reclamación. Por otro lado, afirma el Banco de España que La condición de autorizado se obtiene por (…). Aplicada esta afirmación al caso que nos ocupa, y tratándose la cuenta finalizada en ***REFERENCIA.24 una cuenta compartida entre ambos reclamantes, la condición de autorizado de un tercero habría de contar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/31 con la autorización expresa de ambos cotitulares. Siendo que la parte reclamada afirma que, una vez que la reclamante 1 designa como autorizada a su madre, esta adquiere dicha condición respecto de todas las cuentas de titularidad (incluida la compartida con el reclamante 2), no puede sino entenderse que esta práctica sería contraria a lo afirmado por el propio Banco de España. Por lo tanto, pretender hacer aplicable el régimen de solidaridad por el que se rige la cuenta compartida por los reclamantes a cualquier otra cuenta de la que sea titular uno de los cotitulares, haciendo extensible las autorizaciones otorgadas por estos supone, eso sí, una interpretación contraria a las propias reglas que rigen el régimen de solidaridad. Por otro lado, el argumento pretendido de contrario respecto de la aplicación del principio de especialidad ha de rebatirse, además, de acuerdo con lo ya argumentado en la resolución sancionadora: En este sentido, ha de indicarse que, si la parte reclamada estuviese planteando una posible colisión entre el Código Civil y la normativa vigente en materia de protección de datos personales, ha de indicarse que en estos casos es de aplicación el principio de especialidad, según el cual la norma con una regulación directa y específica de la materia de la que se trate prevalece sobre cualquier otra. La interpretación jurisprudencial niega la supletoriedad de la ley general en las cuestiones reguladas directamente por la ley especial. El principio de especialidad resuelve el problema del concurso de leyes o de conflicto aparente de las mismas mediante la aplicación preferente y prioritaria de la norma especial. Y todo ello sin perjuicio de que la propia parte reclamada en el escrito remitido el 19 de agosto de 2021 al Banco de España en relación con la reclamación presentada por la parte reclamante 1 ante dicha entidad indican que, ÚNICA.- Que CaixaBank ha procedido a realizar las regularizaciones oportunas de sus marcas de control (sustitución de la de “apoderada” por la de “autorizada”), fuente del error administrativo padecido…(el subrayado es nuestro). Así las cosas, el caso que nos ocupa, pretende vislumbrar si el acceso a los datos de la cuenta corriente, así como de la tarjeta N.º ***REFERENCIA.25, asociada a la cuenta ***REFERENCIA.1, titularidad tanto de la reclamante 1 como del reclamante 2, supone o no una vulneración de la normativa de protección de datos de carácter personal. Como el tema a tratar versa sobre la protección de datos de carácter personal, de conformidad con el principio de especialidad, es de aplicación preferente por su especialidad en la materia, RGPD, y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/31 Por lo tanto, es totalmente imprescindible, amén de lo que indica el propio Banco de España en su informe de 23 de diciembre de 2021, contar con el consentimiento de ambos reclamantes para poder acceder a los datos de la tarjeta N.º ***REFERENCIA.25, asociada a la cuenta ***REFERENCIA.1. Esto es así, ya que dicha cuenta es titularidad de los dos reclamantes, no sólo de la reclamante 1, por lo que ambos tienen derecho a que sus datos personales sean tratados lícitamente, lo cual implica necesariamente que se haya otorgado el consentimiento de en este caso, los dos titulares, todo ello de conformidad con el artículo 6.1
2. a)del RGPD. (…) Así las cosas ha de hacerse notar que permitir el acceso a un tercero, en este caso a la madre de la reclamante 1, a los movimientos de la cuenta y de los productos asociados a la misma en la que no aparece como persona autorizada, supone una brecha de datos personales, categorizada como una brecha de confidencialidad. Según el GT29 se produce una “Violación de la confidencialidad” cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos.(…) Por otro lado, insiste la recurrente en que el nivel de acceso se correspondía a la elección- y, por lo tanto, al consentimiento otorgado- de la propia reclamante. Sin perjuicio de que se ha considerado acreditado que tal circunstancia no era así respecto de la cuenta compartida por los reclamantes (la finalizada en ***REFERENCIA.21), la resolución recurrida argumenta lo siguiente: Además, aun cuando se hubiera considerado válido ese consentimiento, desde el momento en que la reclamante manifiesta por activa y por pasiva, de modo ininterrumpido (hasta el punto que presenta reclamaciones ante la entidad, ante su delegado de protección de datos, ante el Banco de España y ante la AEPD) su oposición al acceso por la persona presuntamente autorizada por ella a la cuenta compartida con el reclamante 2 y los productos asociados a la misma, a efectos de la protección de datos, e incluso en el ámbito civil, puede entenderse que revocó el consentimiento. Por ello, a partir de ese momento ese tratamiento de datos personales no tendría cobertura legal y la parte reclamada tendría que haber solucionado el problema planteado por la reclamante 1 de forma inmediata. Por el contrario, la voluntad clara de la reclamante 1, manifestada, como decimos, de forma reiterada, no fue atendida por la parte reclamada en una actitud que no puede dejar de calificarse como altamente negligente. Como botón de muestra, recordemos que las comunicaciones de la parte reclamante 1 de 19 y 21 de febrero de 2021, dirigidas al Delegado de Protección de Datos de la parte reclamada fueron respondidas el 9 de febrero de 2023, dos años después y sólo un día antes de que la reclamada contestara el 10 de febrero de 2023 la solicitud de información solicitada por la AEPD, una vez presentada reclamación ante esta Autoridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/31 Estas circunstancias demostrarían una indebida atención por la parte reclamada a las reiteradas manifestaciones por la parte reclamada de su voluntad contraria al acceso a su información personal que se estaba produciendo. Resulta conveniente traer a colación en este punto lo pretendido de contrario en el sentido de destacar su voluntad de colaboración con la reclamante negando que su actitud pueda ser considerada negligente. De los hechos acreditados se desprende, en contra de lo argumentado por la recurrente, que dicha voluntad de colaboración y de dar una respuesta a lo planteado por la reclamante no fue tal desde el momento en que la parte reclamante ya en fecha 10/02/2021 comunica a la hoy recurrente los hechos y que, a pesar de que se comunica con su Delegado de Protección de Datos pocos días después, no recibiera una respuesta sino hasta transcurridos dos años y tras la presentación de reclamación ante esta AEPD. Por otro lado, vuelve a plantear la recurrente que sería de aplicación, a su juicio, las conclusiones alcanzadas por la Audiencia Nacional en su sentencia de 3 de octubre de 2024. Al respecto, la resolución recurrida ya señalaba lo siguiente: Trae a colación la parte reclamada la sentencia dictada por la Audiencia Nacional, Sala de lo Contencioso-administrativo, Sección 1ª, Sentencia de 3 Oct. 2024, Rec. 990/2022 en el que, como bien se indica en el escrito de alegaciones, se plantea se plantea un supuesto relativo a la apertura de una cuenta bancaria por un tercero sin tener poder de representación que le habilitara para ello. Como bien indica la reclamada, la Audiencia Nacional concluye que el contrato de apertura de cuenta bancaria formalizado excedía de los límites del poder notarial conferido al tercero. Pero obvia la reclamada señalar que, precisamente, lo que se dilucida en esta sentencia es la necesidad de acreditar el consentimiento para el tratamiento de los datos personales de un interesado- en el caso de autos, la hija a cuyo nombre se abre una cuenta bancaria con base a un poder notarial otorgado a su padre, excediéndose de los límites del mismo y , en el caso del presente procedimiento sancionador, permitiendo la visualización de la cuenta compartida por los reclamantes 1 y 2 por parte de la madre de la primera, sin la debida autorización- y que, en el presente caso, dicho consentimiento, informado, libre e inequívoco según exige la normativa de protección de datos, no se ha producido. Resulta interesante traer a colación parte del argumentario contenido en la mencionada sentencia para, de nuevo, reiterar que la reclamada no actuó con la debida diligencia ya que, al igual que en el caso de autos (...) Ahí la entidad bancaria no obró con la diligencia que como tal entidad se le debe exigir puesto que incluyó en la cuenta corriente a una persona que no estaba suficientemente representada en el poder empleado por Carlos Francisco para la apertura de la misma y su inclusión obedeció tan solo a esa posición genérica de comunera o miembro de una comunidad de bienes. En los hechos de los que trae causa el presente procedimiento sancionador y ante las insistentes manifestaciones realizadas por los reclamantes, no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/31 actuó con la debida diligencia para poner fin a la visualización por la madre de la reclamante 1 de la cuenta compartida y los productos asociados a la misma tal y como de forma indubitada deseaba la reclamada. Resulta de nuevo interesante recordar la literalidad del pronunciamiento judicial traído a colación por la reclamada, en el que se recuerda que el ámbito competencia de la Agencia de Protección de Datos respecto de cuestiones del ámbito civil- como los supuestos de contratación-. A este respecto, la Audiencia Nacional recuerda que: Tal y como reconocen las partes, esta cuestión ha sido resuelta por la sala, e indicamos la sentencia de 8 de mayo de 2014 (recurso nº1/142/2013): "...se va a analizar en primer lugar, la invocada incompetencia de la Agencia Española de Protección de Datos, por cuanto en el caso de autos se plantea la existencia de contratación que es una cuestión civil, no de protección de datos de carácter personal. Se trata de una cuestión que [...] ha sido desestimada por la Sala de manera reiterada de la manera siguiente. Corresponde a la Agencia Española de Protección de Datos a tenor del art.37.
3. a)de la LOPD, velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, así como ejercer la potestad sancionadora en los términos previstos en el Título VII de la citada Ley (art. 37.g). Tiene por tanto competencia para la represión de conductas que afectan al ámbito de protección de datos, entre las que se encuentran las vulneraciones de los principios del consentimiento y calidad de datos apreciados por la resolución administrativa impugnada y establecidos en los arts. 6.1 y 6.3 de la LOPD. Y si dichos principios exigen que los datos de una persona tratados por un tercero, se realicen con su consentimiento y sean veraces y exactos, la Agencia Española de Protección de Datos, a los solos efectos de determinar si se ha producido o no la vulneración de los citados principios, puede realizar una valoración sobre si el consentimiento para el tratamiento de los datos del afectado en relación con unos determinados servicios, cuenta o no con la cobertura de la contratación de dichos servicios y sobre la exactitud y veracidad de un determinado dato, como puede ser la existencia de una deuda informada a un fichero de solvencia patrimonial. En el caso que nos ocupa, esta Agencia de Protección de Datos realiza precisamente eso, vela por el cumplimiento de la normativa de protección de datos y, en este supuesto, considera que la conducta de la que es responsable la parte reclamada no ha respetado los principios contenidos en la misma, lo que ha supuesto una vulneración del derecho a la protección de datos de los reclamantes. A mayor abundamiento señalar que el ordenamiento jurídico no está conformado por apartados normativos estancos y que la normativa de protección de datos es de aplicación trasversal, y que la supuesta aplicación de la legislación civil alegada por la reclamada no excluye de plano la aplicación del RGPD. Cabe recordar en este punto, aun a riesgo de ser reiterativos, que la reclamante nunca otorgó autorización de ningún tipo a su madre, C.C.C., en relación con la cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/31 compartida con B.B.B.. Pretender extender la autorización otorgada en relación a otras cuentas de la que era titular la reclamante- diferentes a la terminada en ***REFERENCIA.21, que se corresponde con la cuenta compartida- supone, en lo que a los hechos que corresponde enjuiciar a esta AEPD, una vulneración en el derecho a la protección de datos de los cotitulares de la cuenta compartida. De nuevo alega la recurrente que el procedimiento seguido ante el Banco de España no puede ser considerado como un “reconocimiento” de su responsabilidad. A este respecto, además de recordar que esta AEPD se ha limitado a valorar objetivamente las manifestaciones vertidas en el curso de este procedimiento, especialmente en lo relativo a la calificación que le mereció a la parte recurrente los hechos acaecidoscalificados como incidencia técnica-, en la resolución recurrida ya se señalaba lo siguiente: Por otro lado, la entidad reclamada en sus alegaciones a la propuesta de resolución, califica como “de irrelevantes” las consideraciones realizadas por el Banco de España en el informe tras la reclamación ante dicha Autoridad presentada por los reclamantes. En este sentido ha de indicarse que el Banco de España, es una autoridad de supervisión y control, reconocida en la ley 13/1994, de 1 de junio, de Autonomía del Banco de España, en cuyo artículo 7.6 establece entre sus funciones la siguiente: “El Banco de España deberá supervisar, conforme a las disposiciones vigentes, la solvencia, actuación y cumplimiento de la normativa específica de las entidades de crédito.” Es en el marco de sus funciones que los reclamantes acudieron al Banco de España, en distintas fechas, tal y como consta en los hechos probados y que, a resultas del procedimiento llevado a cabo por dicha Autoridad de Supervisión, en su informe de diciembre de 2021 realiza las manifestaciones reflejadas en el hecho probado décimo séptimo, entre las que destacan las siguiente: (…) en todo caso la reclamante desde febrero de 2021 puso de manifiesto ante la entidad su discrepancia con la información de que disponía o a la que accedía su madre, por ella autorizada, y reiteró una y otra vez –aportando videos demostrativos- que la incidencia seguía sin resolverse en esa fecha. (el subrayado es nuestro). (…) La entidad bancaria presentó nuevo escrito de alegaciones con fecha 19 de agosto de 2021, en el que solicita de nuevo el archivo del expediente por allanamiento y manifiesta que ha realizado las regularizaciones oportunas de sus marcas de control (sustitución de la de “apoderada” por la de “autorizada”), fuente del error administrativo padecido, con lo que se actualizan y corrigen automáticamente las facultades de visualización de la madre de la reclamante. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/31 …La entidad, en sus dos escritos de alegaciones, reconoce la incidencia o error y comunica que lo ha solucionado. Como documentación adjunta a sus alegaciones, solo aporta el correo electrónico que dirigió a la reclamante el 8 de julio de 2021…La reclamante, no obstante, en sus distintos escritos, el último de 2 de septiembre de 2021, indica que el problema seguía sin solucionarse y aporta videos demostrativos. Además, se queja de falta de respuesta de la entidad a su reclamación, que presentó por primera vez en la oficina bancaria el 17 de febrero de 2021 y el servicio de atención al cliente le acusó recibo el 23 de marzo de 2021. …Llegados a este punto, debemos señalar que el incumplimiento de la obligación, por parte de las entidades, de atender y resolver en plazo las quejas y reclamaciones presentadas por sus clientes, que revela una actuación deficiente en el funcionamiento del servicio de atención al cliente y una desatención hacia el usuario del servicio financiero, podría ser constitutivo de un quebrantamiento de la normativa de transparencia (el subrayado es nuestro). Estos extractos, además de reflejar la insistencia y contundencia con la que la reclamante expresaba su voluntad de que su madre dejara de visualizar información para la que no deseaba autorizarla, indica también cómo la parte reclamada actuó respecto a lo manifestado- reiterada y contundentemente, insistimos- por la reclamante, calificando la situación como incidencia o error. No cabe por menos que cuestionarse, ante lo alegado ahora por la reclamada, que, si lo planteado por la reclamante 1 fue calificado en el marco de la investigación desarrollada por el Banco de España como “incidencia o error”, pretenda ahora cuestionar la relevancia de dichas alegaciones para argumentar su falta de culpabilidad en la conducta objeto del presente procedimiento sancionador. Así, dicha inconsistencia en cuanto a la calificación misma de los hechos (ante la autoridad de supervisión bancaria, una incidencia o error y, ante esta AEPD, como una operativa derivada de la propia autorización otorgada por la reclamante 1) no viene sino demostrar, a nuestro juicio, precisamente, la responsabilidad de la reclamada en los hechos acontecidos. Y ello, por supuesto, sin perjuicio de que la propia reclamada había considerado de forma sostenida que los hechos reclamados eran producto de una incidencia. Postura que, como ha quedado acreditada, sólo fue modificada cuando por parte de esta AEPD se inició procedimiento sancionador por vulneración de la normativa de protección de datos. Insiste por otro lado la recurrente en considerar prescrita la infracción del art. 25 RGPD. Tal argumento fue debidamente rebatido en la resolución sancionadora (página 70) en los siguientes términos: La entidad reclamada señala además en sus alegaciones a la propuesta de resolución que las infracciones de los artículos 32 y 25 del RGPD - que responden a la supuesta ausencia de medidas adecuadas y a las supuestas deficiencias en el diseño han prescrito por haber acaecido los hechos en 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/31 En respuesta a tal afirmación, la AEPD ha de indicar que ambas infracciones no están prescritas, pues al no haberse adoptado medidas por parte de la entidad reclamada para evitar la comisión de ambas infracciones, su incumplimiento se sigue produciendo. Así, la obligación de adoptar medidas de carácter técnico y organizativo de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo derivado del tratamiento de datos personales (art. 32 RGPD) y de establecer procedimientos en los que se tenga en cuenta la privacidad por defecto y desde el diseño nace con la entrada en vigor del RGPD en mayo de 2018 y su incumplimiento permanece hasta que no se adopten medidas al respecto. Los hechos de 2021 tan sólo demuestran el nivel de cumplimiento de dichas obligaciones. Cabe recordar que se considera que existe una infracción permanente, tal y como afirma el TS en su sentencia de 20 de noviembre de 2007, (Rec. 170/2003), a “aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un sólo acto, determinando el mantenimiento de la situación antijurídica a voluntad del autor, caso del desarrollo en el tiempo de actividades sin las preceptivas autorizaciones y otros supuestos semejantes” El segundo de los argumentos en los que se basa el recurso de reposición presentado- la ausencia del elemento subjetivo de culpabilidad en los hechos- también fue abordado y desestimado en la resolución recurrida. Todo ello en los siguientes términos: Con relación a las alegaciones referidas a la ausencia de culpabilidad, la entidad reclamada insiste en el consentimiento dado por la reclamante, cotitular en la cuenta compartida, y que permitió a la autorizada (su madre) visualizar todos los productos. La AEPD ha de incidir nuevamente en que es totalmente imprescindible, y así lo indica el propio Banco de España en su informe de 23 de diciembre de 2021, contar con el consentimiento de ambos reclamantes para poder acceder a la cuenta compartida y los productos asociados a la misma. Esto es así, ya que dicha cuenta es titularidad de los dos reclamantes, no sólo de la reclamante 1, por lo que ambos tienen derecho a que sus datos personales sean tratados lícitamente, lo cual implica necesariamente que se haya otorgado el consentimiento de ambos en este caso. En este sentido ha de incidirse por parte de la AEPD en la ausencia de información sobre las condiciones de usuario autorizado de nivel operativo y las deficiencias del consentimiento, ya que el mero hecho de que alguien consienta no implica que el tratamiento sea lícito, si dicho tratamiento es contrario a la normativa de protección de datos personales. Además, ha de tenerse en cuenta que, en la eventualidad de que pudiera considerarse que se prestó un consentimiento inicial, este ha sido revocado de forma clara e insistente tal y como se observa de las diversas manifestaciones realizadas por la reclamante 1 a la reclamada por un período de casi dos años. Fundamenta asimismo la recurrente la ausencia de culpabilidad en la conducta colaborativa dirigida hacia la reclamante. Además de lo ya señalado en párrafos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/31 anteriores a la presente resolución- el lapso excesivo de tiempo transcurrido entre las comunicaciones efectuadas por la reclamante en relación a la visualización con la que estaba disconforme y la respuesta otorgada por la recurrente- cabe señalar que la pretendida colaboración a la que alude la recurrente, además de ser tardía en el tiempo, se produce tras el mantenimiento de una situación- infractora de la normativa de protección de datos- sostenida en el tiempo y que supone una clara vulneración del derecho a la protección de datos de los afectados. Cabe recordar sobre este punto que el propio Banco de España concluyó en su informe lo siguiente: En este caso, entre la fecha (17 de febrero) en que tuvo entrada en la entidad el escrito de reclamación previa y aquella fecha en que los abogados de la entidad contactaron por escrito -correo electrónico- con la reclamante (8 de julio) transcurrieron meses. No consta respuesta del servicio de atención al cliente a la reclamación distinta de la de acuse de recibo. Y si bien no disponemos del documento o los datos de la autorización que la reclamante concedió a su madre, en todo caso la reclamante desde febrero de 2021 puso de manifiesto ante la entidad su discrepancia con la información de que disponía o a la que accedía su madre, por ella autorizada, y reiteró una y otra vez –aportando videos demostrativos- que la incidencia seguía sin resolverse en esa fecha. (el subrayado es nuestro). Argumenta finalmente la reclamante que la sanción impuesta ha de reducirse, que vulneran el principio non bis in idem y que no atienden al principio de culpabilidad. Todas ellas son cuestiones que ya fueron atendidas en la resolución recurrida, en los términos expuestos a continuación: La reclamada alega, asimismo, la existencia de non bis in idem y concurso medial previsto en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público que, limita la imposición de una única sanción en caso de cometer infracciones que deriven necesariamente de otras. Todo ello al entender que la presunta comisión de ambas infracciones, del artículo 5.1
4. f)y del articulo 32 RGPD, provienen de un único hecho. Frente a este argumento, debemos señalar que el artículo 29 de la LRJSP no resulta de aplicación al régimen sancionador impuesto por el RGPD, dado que el RGPD regula por sí mismo el principio de proporcionalidad. El RGPD es una norma europea directamente aplicable en los Estados miembros, que contiene un sistema nuevo, completo y global destinado a garantizar la protección de datos de carácter personal de manera uniforme en toda la Unión Europea, lo que no se conseguiría si cada autoridad de control aplicase de manera que pudiera ser contraria a dicho principio armonizador sus preceptos nacionales. Y ello también en relación con el régimen sancionador dispuesto en el RGPD, resultan de aplicación sus disposiciones que han de entenderse, interpretarse e integrarse de forma completa, íntegra, dejando así indemne su finalidad última que es la garantía efectiva y real del derecho fundamental a la Protección de Datos de Carácter Personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/31 De hecho, una muestra específica de la inexistencia de lagunas en el sistema del RGPD es el artículo 83 del RGPD, que determina las circunstancias que pueden operar como agravantes o atenuantes respecto de una infracción (art. 83.2 del RGDP) o que especifica la regla existente relativa a un posible concurso medial (art. 83.3 del RGPD), que a diferencia del art. 29.5 de la ley 40/2015, no considera que haya que imponer “únicamente” la sanción correspondiente a la infracción más grave cometida, sino que en caso de infracción de varios preceptos del RGPD “la cuantía total de la multa no será superior a la cuantía prevista para las infracciones más graves.” (esto es, se castigan todas las infracciones, pero el importe total no podrá ser superior a la prevista en el RGPD para las infracciones más graves). El art. 63.2 LOPDGDD consagra no ya el carácter supletorio (que serviría para colmar lagunas, que no existen, como hemos visto) sino el carácter subsidiario (que no supletorio) de la normativa general de los procedimientos administrativos respecto de las normas que rigen los procedimientos de la AEPD en materia de protección de datos. Dice así el art. 63.2 LOPDGDD: 2. Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos. El legislador español ha optado pues por el principio de subsidiariedad, que no de supletoriedad, de las normas generales de procedimiento administrativo frente a las específicas del RGPD y LOPDGDD. Dicha relación entre supletoriedad y subsidiariedad hay que entenderla, la sentencia de la Audiencia Nacional de 23 de octubre de 2001 (Rec. 390/1999), cuando recordaba que “el recurso a la subsidiariedad es una fórmula de colaboración normativa para los casos de concurso de normas, esto es, para los casos en los que resulten aplicables dos o más de ellas al mismo supuesto de hecho, de manera que la subsidiaria cede en beneficio de la primaria a la que, en su caso, complementa”, a diferencia de la supletoriedad, que tiene por objeto colmar una laguna “de tal manera que cuando un determinado supuesto no es objeto de regulación por la norma inicialmente aplicable se da paso a la supletoriedad., siempre, eso sí, que semejante operación no resulte, .por otras circunstancias, disconforme al ordenamiento jurídico” En el presente caso, la norma primaria sería el RGPD, que regula expresamente en su art. 83.3 la posible existencia de más de una infracción del RGPD en las mismas operaciones de tratamiento u operaciones vinculadas (regulación expresa de un posible concurso medial), no siendo de aplicación la regulación del concurso medial prevista en el art. 29.5 ley 40/2015 precisamente por su carácter subsidiario. Dice así el art. 83.3 RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/31 3. Si un responsable o un encargado del tratamiento incumpliera de forma intencionada o negligente, para las mismas operaciones de tratamiento u operaciones vinculadas, diversas disposiciones del presente Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía prevista para las infracciones más graves. En consecuencia, no es posible aplicar la regulación subsidiaria que contiene una regulación diferente a la regulación principal. A lo anterior hemos de sumar que el RGPD no permite el desarrollo o la concreción de sus previsiones por los legisladores de los Estados miembros, a salvo de aquello que el propio legislador europeo ha previsto específicamente, delimitándolo de forma muy concreta (por ejemplo, la previsión del art. 83.7 del RGPD). La LOPDGDD sólo desarrolla o concreta algunos aspectos del RGPD en lo que éste le permite y con el alcance que éste le permite. Ello es así porque la finalidad pretendida por el legislador europeo es implantar un sistema uniforme en toda la Unión Europea que garantice los derechos y libertades de las personas físicas, que corrija comportamientos contrarios al RGPD, que fomente el cumplimiento, que posibilite la libre circulación de estos datos. En este sentido citar, por todos, el considerando 2 y 13 del RGPD. Las multas han de ser efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida por el RGPD. Para que dicho sistema funcione con todas sus garantías en necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español al permitirlo el propio RGPD-, ya sea por la aplicación de un concurso medial con una consecuencia distinta de la prevista en el RGPD, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias y en cualquier caso se perdería su voluntad de dotar de uniformidad al sistema en toda la Unión Europea. Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. De igual forma que la AEPD no está aplicando los agravantes y atenuantes dispuestos en el art. 29 de la LRJSP, puesto que el RGPD establece los suyos propios, por ende, no hay laguna legal ni aplicación subsidiaria del mismo, tampoco cabe la aplicación de la regulación pretendida del concurso medial por idénticas razones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/31 Finalmente, la entidad reclamada realiza una serie de alegaciones relacionadas con la falta de proporcionalidad de la sanción impuesta. En primer lugar, de acuerdo con las condiciones generales para el cálculo de las multas administrativas previstas en el artículo 83, apartados 5 a)- en lo relativo a la infracción del artículo 5.1
5. f)del RGPD- y 4
6. a)en lo relativo a las infracciones del artículo 32 y 25 del RGPD, las multas administrativas contempladas en el presente caso se encuentran en el tramo inferior de las sanciones posibles. Se da cumplimiento, por lo tanto, a lo dispuesto en el artículo 83.1 del RGPD: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual, efectivas, proporcionadas y disuasorias.” Por otro lado, alega también la parte reclamada que la sanción propuesta no está debidamente motivada porque “procedía que hubiera indicado el importe de la sanción propuesta sin tales agravantes, así como el impacto en ella de cada una de ellas”. El artículo 83.2 del RGPD señala que “las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
7. a)a
8. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:” (el subrayado es nuestro). Esto es, prevé la valoración de la sanción en su conjunto atendiendo a todas y cada una de las circunstancias concurrentes en el caso concreto y que se encuentran previstas en el precitado precepto. En esta misma línea se pronuncia la jurisprudencia cuando se refiere al principio de proporcionalidad, principio “fundamental que late y preside el proceso de graduación de las sanciones e implica, en términos legales, "su adecuación a la gravedad del hecho constitutivo de la infracción" como dispone el artículo 29.3 de la Ley 40/2015, de Régimen Jurídico del Sector Público, dado que toda sanción debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho.” (Sentencias del Tribunal Supremo de 3 de diciembre de 2008 (rec. 6602/2004) y 12 de abril de 2012 (rec. 5149/2009) y Sentencia de la Audiencia Nacional de 5 de mayo de 2021 (rec. 1437/2020), entre otras). Así, la Sentencia de la Sala Tercera del Tribunal Supremo, de fecha 27 de mayo de 2003 (rec. 3725/1999), indica que “La proporcionalidad, perteneciente específicamente al ámbito de la sanción, constituye uno de los principios que rigen en el Derecho Administrativo sancionador, y representa un instrumento de control del ejercicio de la potestad sancionadora por la Administración dentro, incluso, de los márgenes que, en principio, señala la norma aplicable para tal ejercicio. Supone ciertamente un concepto difícilmente determinable a priori, pero que tiende a adecuar la sanción, al establecer su graduación concreta dentro de los indicados márgenes posibles, a la gravedad del hecho constitutivo de la infracción, tanto en su vertiente de la antijuridicidad como de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/31 la culpabilidad, ponderando en su conjunto las circunstancias objetivas y subjetivas que integran el presupuesto de hecho sancionable (…)” También podemos citar al efecto la Sentencia del Tribunal Supremo 713/2019, de 29 de mayo (rec. 1857/2018): “Comenzaremos señalando que la proporcionalidad de las sanciones implica que las mismas vengan atemperadas a la particularizada gravedad del hecho en la conjunción de las circunstancias de índole subjetivo (que remiten al infractor) y objetivo (que remiten al hecho típico) siendo que en el campo del derecho administrativo sancionador en general y en el ámbito del mercado de valores en particular, no existe unos criterios de dosimetría similares a los recogidos en el artículo 66 del CP y que las circunstancias modificativas difieren de las propias del ámbito penal. Recordemos que no cabe la aplicación automática, sin matización alguna de los principios informadores del derecho penal al procedimiento administrativo sancionador (S.TS 6-10-2003 Rec.772/1998).” Por ello las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, indican que “Por lo que se refiere a la evaluación de estos elementos, los aumentos o disminuciones de una multa no pueden determinarse previamente a través de cuadros o porcentajes. Se reitera que la cuantificación real de la multa dependerá de todos los elementos recogidos durante la investigación y de otras consideraciones relacionadas también con las experiencias anteriores de la autoridad de control en materia de multas.” En definitiva, toda vez que en el presente procedimiento sancionador se indicaron y explicitaron debidamente las circunstancias que se tuvieron en cuenta para la cuantificación provisional de la sanción en su conjunto, ésta está debidamente motivada. En lo referido a que tan sólo ha sido presentada una reclamación- argumento que parece que la reclamada considera el impacto limitado en la infracción cometida- ha de traerse a colación la Sentencia núm. 1792/2024, de la Sala de lo Contencioso -Administrativo Sección Tercera del Tribunal Supremo, dictada el 11 de noviembre de 2024, en la que se señala lo siguiente: La Agencia Española de Protección de Datos, en la incoación, tramitación y resolución de un procedimiento sancionador, puede abordar cuestiones fácticas y jurídicas conexas o relacionadas con los hechos y argumentos recogidos en la reclamación que da origen al procedimiento. Y, más específicamente, en el curso de un procedimiento sancionador iniciado a raíz de una o varias reclamaciones en materia de protección de datos personales, cuando se aprecie que las infracciones singulares denunciadas tienen sus origen común en un documento o instrumento de alcance general que define la política de la entidad en materia de protección de datos, la AEPD puede, y aun debe, hacer objeto del procedimiento sancionador a ese mismo documento que alberga la política de privacidad de la entidad responsable, a fin de examinarlo, detectar sus posibles C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/31 carencias o deficiencias, y adoptar, en consecuencia, las medidas que resulten necesarias en el seno del propio procedimiento sancionador; (…) En este sentido, el Tribunal Supremo considera que las competencias de la Agencia de Protección de Datos se extiende al examen de la actuación que, con carácter general, pueda llevar a cabo una entidad sujeta a la normativa de protección de datos y que sea contraria a ésta, con independencia del número de reclamaciones presentadas y que hayan permitido a la AEPD conocer tales circunstancias. >> En definitiva, los argumentos planteados en el recurso presentado han de desestimarse. IV Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CAIXABANK, S.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 12 de diciembre de 2024, en el expediente EXP202213437. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
9. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/31 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
10. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es