← España

REPOSICION-PS-00500-2020

1/82  Procedimiento nº.: PS/00500/2020 Recurso de reposición Nº RR/00672/2021 Examinado el recurso de reposición interpuesto por CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00500/2020, y en base a los siguientes HECHOS PRIMERO: Con fecha 22 de septiembre de 2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00500/2020, en la que se acordó lo siguiente: “PRIMERO: Imponer a la entidad CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U., con NIF A08980153, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, y calificada como muy grave a efectos de prescripción en el artículo 73 de la LOPDGDD, una multa por importe de 3.000.000 de euros (tres millones de euros). SEGUNDO: Requerir a la entidad CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U en el plazo de 6 meses adopte las medidas necesarias para adecuar a la normativa de protección de datos personales los procedimientos mediante los que recaba a sus clientes el consentimiento para elaborar perfiles con finalidades comerciales, con el alcance expresado en el Fundamento de Derecho VII. En el plazo indicado, CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U, deberá justificar ante esta Agencia Española de Protección de Datos la atención del presente requerimiento.” Dicha resolución, que fue notificada al recurrente en fecha 23 de septiembre de 2021, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00500/2020, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: Con fecha 6 de noviembre de 2018, tuvo entrada en esta Agencia escrito de D. A.A.A., denunciando que la entidad CAIXABANK, CONSUMER FINANCE, EFC había solicitado a ***EMPRESA.1 información sobre las inscripciones relativas a su persona en el fichero ***EMPRESA.2, sin ser cliente de dicha entidad, ya que la relación con la misma se había extinguido formalmente en

  1. Trasladada la reclamación al Delegado de Protección de Datos del responsable, se recibe respuesta en la que se admite un error de carácter humano y puntual, ya que aunque el reclamante fue cliente en el pasado, a fecha de la reclamación ya había dejado de serlo, sin embargo sus datos fueron incluidos por equivocación en una campaña de créditos preconcedidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/82 La reclamación fue inadmitida a trámite con fecha 6 de febrero de 2019, sin perjuicio, tal y como se señala en la propia Resolución, de que la AEPD, aplicando los poderes de investigación y correctivos que ostenta, pudiera llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. La resolución de inadmisión a trámite fue recurrida por el reclamante, alegando que no siendo cliente de la entidad, ésta ha utilizado los ficheros de solvencia patrimonial con la finalidad de elaborar un perfil y ofrecerle un servicio financiero, sin solicitar su consentimiento, estimándose dicho recurso. SEGUNDO: Consta en la información aportada por CAIXABANK PAYMENTS & CONSUMER, que se ha producido una operación de fusión por absorción entre CaixaBank Payments, E.F.C., E.P., S.A.U., sociedad absorbida, y CaixaBank Consumer Finance, E.F.C., S.A.U., sociedad absorbente, quedando, como consecuencia de dicha operación, CaixaBank Consumer Finance, E.F.C., S.A. subrogada por sucesión universal en todos los derechos y obligaciones, adquiridos y asumidas, por CaixaBank Payments, E.F.C., E.P., S.A.U., modificando su denominación social a la actual CaixaBank Payments & Consumer, E.F.C., E.P., S.A.” Consta en dicha información, asimismo, que “la actividad principal de CAIXABANK PAYMENTS & CONSUMER consiste en la comercialización de tarjetas de crédito o de débito (en adelante, denominadas “Tarjetas”), cuentas de crédito con o sin tarjeta (en adelante, denominadas “Cuentas de Crédito”) y préstamos (en adelante, denominados “Préstamos”), ( todos ellos denominados individualmente “Producto” y conjuntamente, “Productos”), directamente o bien por medio de terceros –ya sean agentes o Prescriptores-, con quienes tiene suscritos los correspondientes contratos de agencia o de colaboración. En concreto: - Directamente, CPC comercializa algunos de los mencionados Productos. - Indirectamente, CPC comercializa a través de Prescriptores y agentes. Se entiende por “Prescriptor” o “Prescriptores”, aquellas entidades con las que CPC tiene suscrito un acuerdo de colaboración, en base al cual, éstas se comprometen a ofrecer a sus clientes la posibilidad de contratar los Productos de CPC para, principalmente, financiar el precio de compra de los productos y/o servicios comercializados por ellas (Prescriptores) en sus puntos de venta, ya sea presenciales u online (por ejemplo, establecimientos como ***ESTABLECIMIENTO.1 o ***ESTABLECIMIENTO.2 y ***ESTABLECIMIENTO.3). En particular, los Productos de CPC comercializados a través de Prescriptores son las Tarjetas, las Cuentas de Crédito y los Préstamos. Se entiende por agente, CaixaBank, S.A. (en adelante, indistintamente el “Agente” o “CaixaBank”), entidad con la que CPC mantiene un acuerdo de agencia, en virtud del cual, CaixaBank promueve y concluye, a través de sus canales, las Tarjetas de CPC, así como, en su caso, préstamos de refinanciación de la deuda derivada de estas Tarjetas. Consta, igualmente, que las actividades de tratamiento de datos personales que en el desarrollo de su operativa comercial implican la elaboración de perfiles, según la definición consignada en el artículo 4.4 del RGPD, en particular en lo relativo a la situación económica de los interesados, son las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/82 I. “Análisis de la capacidad de devolución o riesgo de impago de un interesado ante su Solicitud de un Producto: Consiste en la evaluación por parte de CPC de la Solicitud de un Producto (Tarjeta, Cuenta de Crédito o Préstamo, en adelante la “Solicitud”) recibida de un interesado (en adelante, “Solicitante” o “Solicitantes”). Esta evaluación implica un tratamiento de datos personales que se concreta en la necesaria valoración de la capacidad de devolución o solvencia del Solicitante (probabilidad de riesgo de impago). Dicha valoración se realiza, en el marco de la Solicitud recibida, con la finalidad de cumplir cuanto establece la normativa que, en calidad de establecimiento financiero de crédito y entidad de pago, le resulta de aplicación a CPC (Normativas Prudencial y de Solvencia y de Préstamo Responsable).” I. “Análisis de la capacidad de devolución o riesgo de impago en la gestión del riesgo de crédito concedido a clientes: Consiste en el seguimiento continuo de la capacidad de devolución o riesgo de impago de los clientes a quienes CAIXABANK PAYMENTS & CONSUMER ha concedido financiación y, por tanto, con los que mantiene un riesgo de crédito con dos finalidades: I. - la gestión del riesgo de crédito concedido a los mismos en cumplimiento de determinadas obligaciones legales (en concreto, la Normativa Prudencial y de Solvencia y de Préstamo Responsable,); - la gestión comercial de acuerdo con los consentimientos recabados de los titulares de los datos (clientes) con la posterior finalidad de ofrecerles productos y servicios ajustados a sus necesidades, lo que puede incluir la asignación de límites de crédito “preconcedidos” (preconcesión de un crédito en base a la información de que dispone la Entidad).” “Análisis y selección de público objetivo: Consiste en el análisis y selección, de forma previa a un determinado impacto comercial, de un público objetivo (compuesto por aquellos clientes de CAIXABANK PAYMENTS & CONSUMER que reúnan, en su caso, los requisitos diseñados para ser impactados por una potencial campaña con la finalidad de ofrecerle Productos). Dicho tratamiento se lleva a cabo de acuerdo con los consentimientos recabados a los titulares de los datos (clientes).” Afirma respecto de las categorías de titulares de datos que se tratan en la ejecución de los tratamientos detallados, que” trata únicamente datos de interesados que son clientes de la Entidad o solicitantes de sus Productos. No realiza tratamientos de datos sobre interesados que podrían denominarse “clientes potenciales”, entendiendo por éstos, titulares de datos que no tienen relación vigente con CPC o que previamente no han solicitado un Producto por alguno de los canales establecidos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/82 TERCERO: Consta lo siguiente respecto de la actividad denominada “análisis de la capacidad de devolución o riesgo de impago para la gestión del riesgo de crédito concedido a clientes durante la relación contractual”: 1.Respecto de las finalidades y bases de legitimación del tratamiento. Se afirma que tiene dos finalidades: I. “La gestión del riesgo de crédito concedido, en cumplimiento de determinadas obligaciones legales de la Normativa Prudencial y de Solvencia y de Préstamo Responsable, aplicable cuando el Producto es una cuenta de crédito ya que, al permitir la disponibilidad del crédito concedido de manera constante, este (Producto) debe adaptarse constantemente a la capacidad actualizada de solvencia del interesado. Según manifiesta, el título habilitante para llevar a cabo esta finalidad, dar cumplimiento a requerimientos regulatorios, es la obligación legal, de conformidad con el artículo 6.1 c) del RGPD. I. La gestión comercial para el caso de que disponga del consentimiento del titular del dato. Dicho tratamiento prevé, entre otras, poder etiquetar al cliente con la finalidad de concederle un “preconcedido” (concesión de un crédito en base únicamente a la información de que dispone la Entidad). En este caso se tratan únicamente los datos de aquellos clientes que hayan dado su consentimiento para el perfilado.”
  2. Respecto de la lógica aplicada en el perfilado y las consecuencias previstas de dicho tratamiento para el interesado, afirma que utiliza una lógica que se ha definido en el proceso de financiabilidad de la Entidad. (…).
  3. En cuanto a los datos personales objeto de tratamiento se afirma que son los siguientes: - Identificativos: DNI/NIE/Pasaporte y fecha de nacimiento. - Financieros: Datos internos de CPC obtenidos o derivados de la relación contractual existente entre esta y su cliente y consulta a ficheros de solvencia y a la Central de Información de Riesgos (CIR) del Banco del Banco de España. - Sociodemográficos: código postal, país de nacimiento y nacionalidad, tipo de vivienda y antigüedad y estado civil. - Socioeconómicos: ingresos y pagas, situación laboral y profesión, antigüedad bancaria y entidad domiciliada. - Otros: risk score.
  4. Detalla los siguientes orígenes respecto de los datos personales objeto de tratamiento indicados en el apartado anterior: - Datos aportados por el Solicitante en la propia Solicitud del Producto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/82 - Datos de CPC en relación con el Solicitante para el caso de que este ya sea cliente y siempre que CPC disponga de datos de su comportamiento de pago. - Datos de fuentes externas: de acuerdo con la normativa que le resulta de aplicación a CPC como establecimiento financiero de crédito y entidad de pago, se incorpora asimismo la siguiente información:    Información del Grupo consolidado de entidades del Grupo CaixaBank Resultado de la consulta a sistemas de información crediticia. Resultado de la consulta a la Central de Información de Riesgos (CIR) de Banco de España. - (…).
  5. Respecto de los medios utilizados para la recogida del consentimiento en caso de que la actividad de tratamiento se ampare en el artículo 6.1.a del RGPD, afirma que los canales por los que recaba los consentimientos con fines comerciales de sus clientes son los que se indican a continuación: a) A través de los Prescriptores. b) A través de su Agente CaixaBank. a) “A través de los Prescriptores. En esta canal se diferencian tres

(3)formas de captación distintas:  La primera es a través de los empleados de los propios Prescriptores, los cuales, en el momento de la formalización de los contratos de financiación con los clientes que quieren contratar los Productos ofrecidos por CAIXABANK PAYMENTS & CONSUMER, les preguntan sobre cada uno de los consentimientos, para después plasmar la respuesta dada por su parte para cada uno de ellos en las Condiciones Particulares del contrato de financiación suscrito al efecto. Las tres
(3)herramientas facilitadas por CAIXABANK PAYMENTS & CONSUMER a los vendedores de los Prescriptores para que puedan realizar la captación de la información necesaria para tramitar las operaciones de financiación y, por tanto, también para recabar los mencionados consentimientos, son la Web “***WEB.1, la App de captación (su utilización se realiza a través de una tablet que llevan los vendedores de los Prescriptores que están en constante movimiento por la tienda) y la “Web Auto” (…), que son los software facilitados por parte de CAIXABANK PAYMENTS & CONSUMER a los Prescriptores, conectados con los sistemas de aquella (CAIXABANK PAYMENTS & CONSUMER), para que sus vendedores tramiten las operaciones de financiación mediante la introducción de los datos personales y económicos de los clientes y los datos contractuales de las operaciones (TIN, TAE, meses de amortización, etc.), así como recabar los consentimientos, que posteriormente se plasmarán en las Condiciones Particulares de los contratos de financiación que se formalicen y entreguen a los clientes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/82 Constan en el expediente tres impresiones de pantalla que se corresponden con estas tres herramientas. En ellas se observa que se solicita el consentimiento para las siguientes finalidades, pudiendo elegir sí o no en cada modalidad: - “Autorizo al Grupo CaixaBank a utilizar mis datos para finalidades de estudio y perfilado” - “Autorizo a que se me remita publicidad y ofertas comerciales del Grupo CaixaBank por los siguientes medios”, que a su vez permite consentir o no por cada uno de los epígrafes siguientes): - Telemarketing - Medios electrónicos como SMS, email y otros - Correo postal - Contactos comerciales por cualquier canal de mi gestor - “Autorizo a ceder mis datos a terceros con los que el Grupo CaixaBank tenga acuerdos” - “Autorizo al Grupo CaixaBank a usar mis datos biométricos (imagen, huella dactilar, etc.) con la finalidad de verificar mi identidad y firma. Esta autorización se complementará con el registro de los datos biométricos a utilizar en cada momento” Consta en el expediente, asimismo, una captura de pantalla de la herramienta web AUTO en la que se permite consultar más detalles. Según la impresión obrante en el expediente el detalle consiste en lo siguiente: “Consentimientos y protección de datos personales Las autorizaciones que prestas ahora o hayas prestado anteriormente pueden revocarse en cualquier momento a través de www.caixabankpc.com/ejerciciode derechos. Si otorgas la autorización
(1)las ofertas que se te remitan estarán adaptadas a tu perfil Las autorizaciones
(2)
(3)
(4)y
(5)se refieren a los canales a través de los que aceptas que te contacte el grupo CaixaBank ya sea por teléfono, por medios electrónicos, por correo postal y/o presencialmente. Si no autorizas algún canal, el grupo CaixaBank no podrá contactarte para ofrecerte productos de tu interés. Si facilitas la autorización
(6)en el momento en que se cedan los datos, se te informará de qué tercero es el receptor de tus datos y si no estás de acuerdo podrás revocar esa autorización. La autorización
(7)es para poder verificar tu identidad/firma ya que en el grupo CaixaBank utilizamos métodos de reconocimiento biométrico como sistemas de reconocimiento facial, lectura de huella dactilar y similares.”  La segunda forma de captación dentro de este grupo es a través del portal web de CAIXABANK PAYMENTS & CONSUMER habilitado para tramitar la operación de financiación por el propio cliente, el cual habrá sido redirigido mediante clicar en un enlace incorporado en la web del Prescriptor de que se trate. Así, por ejemplo, el interesado que decida solicitar la tarjeta (…) iniciará la solicitud en el portal propio del Prescriptor (***ESTABLECIMIENTO.1) e inmediatamente será redirigido al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/82 portal web habilitado al efecto por y de CAIXABANK PAYMENTS & CONSUMER donde se llevará a cabo todo el procedimiento de contratación. En este caso, es el propio cliente, a través de su ordenador/tablet el que marca la respuesta para cada uno de los tratamientos previstos, los cuales después se transcribirán en las Condiciones Particulares del contrato de financiación formalizado. Consta en el documento remitido a esta Agencia como ANEXO Nº 13, la pantalla que visualiza el cliente y en la que se le recaban los consentimientos que coinciden con los descritos anteriormente en el punto relativo al canal prescriptores. En el documento remitido como ANEXO 14 muestra un ejemplo de cómo se reflejan los consentimientos otorgados por el cliente en las Condiciones Particulares del contrato de financiación. Dicho documento se denomina SOLICITUD-CONTRATO DE CREDITO y se estructura en diversos apartados relativos a datos personales del titular y cotitular, a la compra, al plan de financiación, etc. El apartado RESUMEN DE TRATAMIENTOS de dicho documento contiene la siguiente información: “los tratamientos de sus datos respecto de los que puede facilitar su autorización en los términos establecidos en el presente contrato son los siguientes: “FINALIDADES COMERCIALES: A. Tratamiento de los datos por parte de Caixabank Payments & Consumer y de las empresas del Grupo CaixaBank con finalidades de estudio y perfilado para informarle de los productos que se ajusten a sus intereses/necesidades, así como para el seguimiento de los servicios y productos contratados, realización de encuestas y diseño de nuevos servicios y productos. A. Tratamiento de los datos por parte de Caixabank Payments & Consumer y de las empresas del Grupo CaixaBank con la finalidad de comunicarle ofertas de productos, servicios y promociones comercializados por ellas, propios o de terceros cuyas actividades estén comprendidas entre las bancarias, de servicios de inversión y aseguradoras, tenencia de acciones, capital riesgo, inmobiliarias, viarias, de venta y distribución de bienes o servicios, de servicios de consultoría, ocio y benéfico-sociales. B. Cesión de los datos por parte de Caixabank Payments & Consumer y de las empresas del Grupo CaixaBank a terceros con la finalidad de que éstos puedan enviarle comunicaciones comerciales. Dichos terceros estarán dedicados a las actividades bancarias, de servicios de inversión y asegurador, tenencia de acciones, capital riesgo, inmobiliarias, viarias, de venta y distribución de bienes y servicios, de servicios de consultoría, ocio y benéfico-sociales. OTRAS FINALIDADES C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/82 Tratamiento de los datos biométricos que facilite por parte de Caixabank Payments & Consumer y las empresas del GrupoCaixabank, tales como la imagen facial, voz, huellas dactilares, grafos, etc., con la finalidad de verificar su identidad y firma con la ayuda de métodos de reconocimiento biométrico.” En el apartado AUTORIZACIONES PARA EL TRATAMIENTO DE DATOS figuran una serie de apartados en cada uno de los cuales, tanto para el titular como para el cotitular aparecen dos casillas, una para marcar si y otra para marcar no, las diversas autorizaciones para efectuar tratamientos de datos. Estas autorizaciones, son las siguientes: A. “Autorizo el tratamiento de mis datos con la finalidad de estudio y análisis por parte de Caixabank Payments & Consumer y de las empresas del grupo Caixabank.” A. “Consiento el tratamiento de mis datos por parte de Caixabank Payments & Consumer y de las empresas del grupo Caixabank con la finalidad de que estas me comuniquen ofertas de productos, servicios y promociones por los canales que autorice.” En este caso, las casillas si/no se desglosan para cada uno de los siguientes canales: Telemarketing, Medios electrónicos como SMS, email y otros, Correo postal. Contactos comerciales por cualquier canal de mi gestor B. “Autorizo a que Caixabank Payments & Consumer y de las empresas del grupo Caixabank cedan mis datos a terceros.”  La tercera vía es a través de la captación telefónica en la que interactúan los vendedores de los Prescriptores y los gestores de CAIXABANK PAYMENTS & CONSUMER. En este caso, el vendedor del Prescriptor facilita telefónicamente al gestor de CAIXABANK PAYMENTS & CONSUMER todos los datos del cliente necesarios para formalizar la operación de financiación y este la tramita. Una vez aprobada la contratación, el cliente, mediante las Condiciones Particulares del contrato que debe suscribir, define el otorgamiento de sus consentimientos marcando de manera manuscrita su opción sobre las casillas habilitadas al efecto. Tales condiciones particulares se contienen en el documento remitido como anexo 14 descrito en el punto anterior.
  1. a)A través de su Agente CaixaBank. Afirma que, adicionalmente, CPC es beneficiario de los consentimientos otorgados, en su caso, por los clientes ante CaixaBank. Afirma que la recogida de consentimientos en las oficinas de CaixaBank se lleva a cabo interactuando el propio cliente con el dispositivo que le entrega el empleado (Tablet), señalando sus preferencias en relación con el tratamiento de datos. En la impresión de la pantalla que incorpora en su escrito, se aprecia que se solicitan diversas autorizaciones para cada una de las cuales existe la opción de marcar sí o no en su respectiva casilla. Las autorizaciones se refieren, como en los casos anteriores: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/82 – A la utilización de los datos para finalidades de estudio y perfilado, aclarando que si se autoriza las ofertas que se le remitan estarán adaptadas al perfil del interesado. – A recibir publicidad y ofertas comerciales. En este punto se permite también elegir los canales para recibir publicidad marcando en la respectiva casilla. – A ceder los datos a terceros con los que el grupo Caixabank tenga acuerdos. – Al uso de los datos biométricos con la finalidad de verificar mi identidad y firma. 6. En lo que se refiere al procedimiento seguido para cumplir con el deber de información al interesado (artículos 13 y 14 del RGPD) se afirma que “Se adjunta, como DOCUMENTO ANEXO Nº 12, copia del condicionado general que se facilita al interesado en el marco de la contratación de un producto y en el que se informa de lo previsto en el artículo 13; no resultando de aplicación, por tanto, lo previsto en el artículo 14 del RGPD.” El documento contenido en el anexo 12 denominado “CONDICIONES GENERALES DE LA SOLICITUD-CONTRATO DE CRÉDITO” contiene diversos apartados, refiriéndose el apartado número 26 a los “Tratamiento de datos de carácter personal basados en la ejecución de los contratos, obligaciones legales e interés legítimo y política de privacidad”. Este punto se estructura a su vez en 10 apartados. Consta la siguiente información en los puntos 26.1 y 26.4 “26.1 Tratamientos de datos de carácter personal con la finalidad de gestionar las Relaciones Comerciales. Los datos de carácter personal del Titular, tanto los que él mismo aporte, como los que se deriven de las relaciones comerciales, negociales y contractuales que se establezcan entre el Titular y CaixaBank Payments & Consumer bien en la comercialización de productos y servicios propios, bien en su condición de mediador en la comercialización de productos y servicios de terceros(en adelante todas ellas referidas como las Relaciones Comerciales), o de las Relaciones Comerciales de CaixaBank Payments & Consumer y las empresas del Grupo CaixaBank con terceros y los confeccionados a partir de ellos, se incorporarán en ficheros titularidad de CaixaBank Payments & Consumer y de las empresas del Grupo CaixaBank titulares de las Relaciones Comerciales, para ser tratados con la finalidad de dar cumplimiento y mantener las mismas, verificar la corrección de la operativa y las finalidades comerciales que el Titular acepte en el presente contrato. Estos tratamientos incluyen la digitalización y registro de los documentos identificativos y la firma del Titular, y su puesta a disposición de la red interna de CaixaBank Payments & Consumer, para la verificación de la identidad del Titular en la gestión de sus Relaciones Comerciales. Los tratamientos indicados, salvo los que tienen finalidad comercial cuya aceptación es voluntaria para el Titular, resultan necesarios para el establecimiento y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/82 mantenimiento de las Relaciones Comerciales, y necesariamente se entenderán vigentes mientas dichas Relaciones Comerciales continúen vigentes. En consecuencia, en el momento de cancelación por el Titular de todas las Relaciones Comerciales con CaixaBank Payments & Consumer y/o con las empresas del Grupo CaixaBank, los mencionados tratamientos de datos cesarán, siendo sus datos cancelados conforme a lo establecido en la normativa aplicable, conservándolos CaixaBank debidamente limitado su uso hasta que hayan prescrito las acciones derivadas de los mismo.” “26.4. Tratamiento y cesión de datos con finalidades comerciales por CaixaBank y las empresas del Grupo CaixaBank basados en el consentimiento. En las Condiciones Particulares de este contrato se recogerá, bajo el epígrafe de autorizaciones para el tratamiento de datos, las autorizaciones que Usted nos otorgue o nos revoque en relación a: (
  2. i)Los tratamientos de análisis y estudio de datos con finalidad comercial por CaixaBank Payments & Consumer y empresas del Grupo CaixaBank. (
  3. ii)Los tratamientos para la oferta comercial de productos y servicios por CaixaBank Payments & Consumer y las empresas del Grupo CaixaBank. (iii) La cesión de datos a terceros. Con la finalidad de poner a su disposición una oferta global de productos y servicios, su autorización a (
  4. i)los tratamientos de análisis y estudio de datos, y (
  5. ii)para la oferta comercial de productos y servicios, en caso de otorgarse, comprenderá a CaixaBank Payments & Consumer y a las empresas del Grupo CaixaBank detalladas en www.caixabank.es/empresasgrupo (las “empresas del Grupo CaixaBank”) quienes podrán compartirlos y utilizarlos con las finalidades indicadas. El detalle de los usos de los datos que se realizará conforme a sus autorizaciones es el siguiente: (
  6. i)Detalle de los tratamientos de análisis, estudio y seguimiento para la oferta y diseño de productos y servicios ajustados al perfil de cliente. Otorgando su consentimiento a las finalidades aquí detalladas, Usted nos autoriza a:
  7. a)Realizar de manera proactiva análisis de riesgos y aplicar sobre sus datos técnicas estadísticas y de segmentación de clientes, con una triple finalidad: 1) Estudiar productos o servicios que puedan ser ajustados a su perfil y situación comercial o crediticia concreta, todo ello para efectuarle ofertas comerciales ajustadas a sus necesidades y preferencias, 2) Realizar el seguimiento de los productos y servicios contratados, 3) Ajustar medidas recuperatorias sobre los impagos e incidencias derivadas de los productos y servicios contratados.
  8. a)Asociar sus datos con los de otros clientes o sociedades con las que tenga algún tipo de vínculo, tanto familiar o social, como por su relación de propiedad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/82 como de administración, al efecto de analizar posibles interdependencias económicas en el estudio de ofertas de servicios, solicitudes de riesgo y contratación de productos.
  9. b)Realizar estudios y controles automáticos de fraude, impagos e incidencias derivadas de los productos y servicios contratados.
  10. c)Realizar encuestas de satisfacción por canal telefónico o por vía electrónica con el objetivo de valorar los servicios recibidos.
  11. d)Diseñar nuevos productos o servicios, o mejorar el diseño y usabilidad de los existentes, así como definir o mejorar las experiencias de los usuarios en su relación con CaixaBank Payments& Consumer y las empresas del Grupo CaixaBank. Los tratamientos indicados en este punto (
  12. i)podrán ser realizados de manera automatizada y conllevar la elaboración de perfiles, con las finalidades ya señaladas. A este efecto, le informamos de su derecho a obtener la intervención humana en los tratamientos, a expresar su punto de vista, a obtener una explicación acerca de la decisión tomada en base al tratamiento automatizado, y a impugnar dicha decisión. (
  13. ii)Detalle de los tratamientos para la oferta comercial de productos y servicios de CaixaBank Payments & Consumer y las empresas del Grupo CaixaBank. Otorgando su consentimiento a las finalidades aquí detalladas, Usted nos autoriza a: Enviar comunicaciones comerciales tanto en papel como por medios electrónicos o telemáticos, relativas a los productos y servicios que, en cada momento:
  14. a)comercialice CaixaBank Payments & Consumer o cualquiera de las empresas del Grupo CaixaBank
  15. b)comercialicen otras empresas participadas por CaixaBank Payments & Consumer y terceros cuyas actividades estén comprendidas entre las bancarias, de servicios de inversión y asegurador, tenencia de acciones, capital riesgo, inmobiliarias, viarias, de venta y distribución de bienes y servicios, de servicios de consultoría, ocio y benéfico-sociales. El Titular podrá elegir en cada momento los diferentes canales o medios por los que desea o no recibir las indicadas comunicaciones comerciales a través de su banca por internet, mediante el ejercicio de sus derechos, o mediante su gestión en la red de oficinas de CaixaBank. Los datos que se tratarán con las finalidades de (
  16. i)análisis y estudio de datos, y (
  17. ii)para la oferta comercial de productos y servicios serán:
  18. a)Todos los facilitados en el establecimiento o mantenimiento de relaciones comerciales o de negocio.
  19. a)Todos los que se generen en la contratación y operativas de productos y servicios con CaixaBank Payments & Consumer, con las empresas del Grupo CaixaBank o con terceros, tales como, movimientos de cuentas o tarjetas, detalles de recibos domiciliados, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/82 domiciliaciones de nóminas, siniestros derivados de pólizas de seguro, reclamaciones, etc.
  20. b)Todos los que CaixaBank Payments & Consumer o las empresas del Grupo CaixaBank obtengan de la prestación de servicios a terceros, cuando el servicio tenga como destinatario al Titular, tales como la gestión de trasferencias o recibos.
  21. c)Su condición o no de accionista de CaixaBank según conste en los registros de esta, o de las entidades que de acuerdo con la normativa reguladora del mercado de valores hayan de llevar los registros de los valores representados por medio de anotaciones en cuenta.
  22. d)Los obtenidos de las redes sociales que el Titular autorice a consultar.
  23. e)Los obtenidos de terceras entidades como resultado de solicitudes de agregación de datos solicitadas por el Titular.
  24. f)Los obtenidos de las navegaciones del Titular por el servicio de la web de CaixaBank Payments & Consumer y otras webs esta y/o de las empresas del Grupo CaixaBank o aplicación de telefonía móvil de CaixaBank Payments& Consumer y/o de las empresas del Grupo CaixaBank, en las que opere debidamente identificado. Estos datos pueden incluir información relativa a geolocalización.
  25. g)Los obtenidos de chats, muros, videoconferencias o cualquier otro medio de comunicación establecida entre las partes. Los datos del Titular podrán ser complementados y enriquecidos por datos obtenidos de empresas proveedoras de información comercial, por datos obtenidos de fuentes públicas, así como por datos estadísticos, socioeconómicos (en adelante, “Información Adicional”) siempre verificando que estos cumplen con los requisitos establecidos en las normas vigentes sobre protección de datos.” 7. En la información aportada por CaixaBank Payments & Consumer, E.F.C., E.P., S.A. se afirma que “el número de interesados (clientes) cuyos datos fueron tratados en el desarrollo de la actividad de perfilado asociada a la actividad de Scoring Proactivo con finalidades comerciales, asciende a (…).” CUARTO: Consta en la información aportada lo siguiente respecto de la tercera actividad que lleva a cabo denominada “Análisis y selección de público objetivo”: “1. Respecto de la definición de la lógica aplicada en el perfilado y de las consecuencias previstas de dicho tratamiento para el interesado, señala que “La actividad de tratamiento denominado como Perfilado Comercial responde a la necesidad de CPC de analizar, seleccionar y extraer, de forma previa a su impacto comercial, el público objetivo al que se dirigirán las comunicaciones comerciales asociadas a una potencial campaña. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/82 A tal efecto, CPC selecciona y extrae la información de los clientes a los que potencialmente se les remitirá las comunicaciones comerciales de la campaña en cuestión. Para ello, se tratan los datos personales procedentes de fuentes internas de CPC (Host, DataPool y DataWareHouse) de aquellos de sus clientes que han autorizado expresamente el tratamiento de perfilado comercial y, posteriormente, no lo han revocado. Sobre los mencionados repositorios (Host, DataPool y DataWareHouse), se toma un listado de clientes en base al resultado obtenido una vez llevado a cabo el tratamiento en base al consentimiento del cliente, detallado en el apartado anterior (“II. Análisis de la capacidad de devolución o riesgo de impago para la gestión del riesgo de crédito concedido a clientes”) y sobre dicho listado de clientes, se aplican filtros de selección basados en datos identificativos tales como rangos de edad, idioma de comunicación, sexo, localidad o domicilio, con el objetivo de proceder a la extracción del público objetivo al que irá dirigida la campaña. En última instancia, el sistema genera un fichero con la selección del público objetivo que reúne las condiciones fijadas una vez aplicados los filtros. Se debe advertir, no obstante, que los criterios de selección que, en esencia, constituyen la lógica aplicada al perfilado, no devienen parámetros estandarizados sino que son segmentos que varían y se ajustan a las necesidades propias del Producto o de las características asociadas a la iniciativa comercial o promocional de la que se pretende su lanzamiento, así como a la tipología o el volumen de los datos de que CAIXABANK PAYMENTS & CONSUMER dispone con respecto a cada uno de los interesados. Por su parte, la consecuencia que la actividad de perfilado llevada a cabo por CAIXABANK PAYMENTS & CONSUMER genera sobre el cliente, queda circunscrita al hecho de que pasará, o no, a formar parte de un listado que podrá ser potencialmente empleado en el marco de una campaña comercial.” 2. Respecto de la descripción de la finalidad del tratamiento y detalle de la base de legitimación del artículo 6.1 del RGPD en que se sustenta, manifiesta que “CAIXABANK PAYMENTS & CONSUMER trata los datos de carácter personal de los interesados asociados a la actividad de Perfilado Comercial con el fin de conocer si los mismos cumplen las condiciones necesarias para su inclusión en una potencial campaña comercial y mejorar el impacto de sus campañas comerciales. En definitiva, aunque expresado en distintos términos, el proceso de perfilado vinculado a esta actividad de tratamiento se efectúa con el ánimo de generar el listado con el público objetivo que, en momentos ulteriores, podrá ser explotado para impactar a los clientes mediante comunicaciones con contenido comercial. Por su parte, en cuanto al título habilitante, es el previsto en el art. 6.1.
  26. a)del RGPD (consentimiento). 3. En cuanto al procedimiento seguido para cumplir con el deber de información al interesado (artículos 13 y 14 del RGPD) y a los medios utilizados para la recogida del consentimiento cuando la actividad de tratamiento se ampare en el artículo 6.1.a del RGPD, remite a lo expuesto en la actividad de tratamiento “Análisis de la capacidad de devolución o riesgo de impago para la gestión del riesgo de crédito concedido a clientes” en la que se hacía referencia al documento anexo nº12. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/82 4. Respecto de las categorías de interesados y de datos personales objeto de tratamiento afirma lo siguiente: “La categoría de interesados objeto del tratamiento denominado Perfilado Comercial es la de clientes con contrato vigente con CPC. La categoría de potenciales clientes en ningún caso es objeto de esta actividad de tratamiento” “Los datos personales objeto de tratamiento son los siguientes: - Identificativos: identificador de cliente, NIF/NIE/Pasaporte, nombre y apellidos, fecha de nacimiento, sexo, dirección postal, correo electrónico, teléfono (fijo o móvil) e idioma de comunicación. Financieros: productos y servicios contratados y condición de titular/beneficiario/apoderado y la etiqueta resultante del tratamiento descrito en el apartado anterior II).” 5. En cuanto al origen de los datos personales objeto de tratamiento (con indicación de la base de legitimación que sustenta, manifiesta que “El origen de los datos de carácter personal objeto de tratamiento es el propio interesado y las fuentes internas propias de CAIXABANK PAYMENTS & CONSUMER, ya descritas en el punto 1 de este apartado (III. Tratamiento: “Perfilado Comercial”), así como las etiquetas detalladas en el apartado anterior (Análisis de la capacidad de devolución o riesgo de impago para la gestión del riesgo de crédito concedido a clientes). En este caso, la base de legitimación es el consentimiento del interesado (art. 6.1.a RGPD).” 6. En cuanto al número de interesados cuyos datos personales han sido tratados en el desarrollo de la actividad de perfilado por categoría (cliente, potencial cliente) y año (2018 y 2019), señala que “En primer lugar, hay que indicar que los números que se reflejan a continuación hacen referencia únicamente a la categoría de clientes, puesto que en esta actividad de perfilado no se tratan datos de potenciales clientes, de acuerdo con lo expuesto en el punto
  27. b)de las Consideraciones Preliminares. (…).” QUINTO: Consta en la información obtenida sobre el volumen de ventas de la entidad que el resultado de la cifra de negocio durante el año 2019 es de 872.976.000 €. El capital social asciende a 135.155.574 € SEXTO: Consta en el expediente que CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U. ha modificado la política de privacidad en su página web. Consta que el punto 6 de dicha política de privacidad bajo el título “Qué tratamientos realizamos con sus datos”, indica lo siguiente: “Los tratamientos que realizaremos con sus datos son diversos, y responden a diferentes finalidades y bases jurídicas: > Tratamientos basados en el consentimiento > Tratamientos necesarios para la ejecución de las Relaciones Contractuales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/82 > Tratamientos necesarios para cumplir con obligaciones normativas > Tratamientos basados en el interés legítimo de CaixaBank Payments & Consumer” El apartado 6.1 de dicha política de privacidad contempla los siguientes tratamientos basados en el consentimiento: A. Análisis de sus datos para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle. A. Oferta comercial de productos y servicios por los canales seleccionados. B. Cesión de datos a empresas que no forman parte del Grupo CaixaBank. C. Identificación de clientes y firma de documentación mediante uso de biometría. En el punto 6.1 de la aludida política de privacidad consta lo siguiente: “TRATAMIENTOS BASADOS EN EL CONSENTIMIENTO. Estos tratamientos tienen como base jurídica su consentimiento, según se establece en el art. 6.1.
  28. a)del RGPD. Podemos haberle solicitado ese consentimiento por diferentes canales, por ejemplo, a través de nuestros canales electrónicos o en alguna de las empresas del Grupo CaixaBank. Si por alguna circunstancia, nunca le hemos solicitado su consentimiento, estos tratamientos no le aplicarán. Puede consultar las autorizaciones que usted nos ha consentido o denegado, y modificar su decisión en cualquier momento y de manera gratuita en la web de CaixaBank Payments & Consumer (www.caixabankpc.com) y en la de cada una de las empresas del Grupo CaixaBank, o en su área privada de la web o aplicaciones móviles de CaixaBank Payments & Consumer y en las oficinas de CaixaBank. Los tratamientos basados en su consentimiento se indican a continuación ordenados de la (A) a la (D). Señalaremos para cada uno de ellos: la descripción de la finalidad (Finalidad), si son o no tratamientos realizados en régimen de corresponsabilidad con otras empresas del Grupo CaixaBank (Corresponsables/Responsable del tratamiento), y las categorías de datos utilizados (Categorías de datos tratados).” A continuación figura la siguiente información respecto al contenido en la letra A. “Análisis de sus datos para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle “ Finalidad: La finalidad de este tratamiento de datos es utilizar las categorías de datos que le indicamos a continuación, para elaborar perfiles que nos permitan identificarle con segmentos de clientes con similares características a las suyas y sugerirle productos y servicios que creamos que pueden interesarle, así como establecer la periodicidad con la que nos relacionamos con usted. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/82 Mediante este tratamiento analizaremos sus datos para tratar de deducir sus preferencias o necesidades y así poder hacerle ofertas comerciales que creamos que puedan tener más interés que ofertas genéricas. Cuando las ofertas que queramos trasmitirle consistan en productos que impliquen el pago de cuotas o la financiación, realizaremos una preevaluación de solvencia para calcular el límite de crédito adecuado a ofrecerle, de acuerdo con los principios de responsabilidad en la oferta de productos de financiación exigidos por el Banco de España. Es importante que sepa que este tratamiento, incluida la preevaluación de solvencia en los productos con riesgo, se limita a la finalidad indicada de sugerirle productos y servicios que creamos que pueden interesarle, y no se utiliza, en ningún caso, para denegación de ningún producto o servicio o límite de crédito. Usted tiene siempre a su disposición nuestro catálogo completo de productos y servicios, y este tratamiento no prejuzga, limita o condiciona su acceso a los mismos, que, en caso de que los solicite, serán evaluados con usted conforme a los procedimientos ordinarios de CaixaBank Payments & Consumer. Solo realizaremos este tratamiento de sus datos si usted nos ha dado su consentimiento para ello. Su consentimiento permanecerá vigente mientras usted no lo retire. Si cancela todos sus productos o servicios con las empresas del Grupo CaixaBank, pero olvida retirar su consentimiento, nosotros lo haremos automáticamente. Categorías de datos tratados: Las categorías de datos que trataremos para esta finalidad, cuyo contenido esta detallado en el epígrafe 5, son: > datos que usted nos habrá facilitado > datos observados en el mantenimiento de los productos y servicios, con excepción de datos sensibles > datos inferidos o deducidos por CaixaBank Payments & Consumer. > datos que usted no nos ha facilitado directamente. Corresponsables del tratamiento: El tratamiento de sus datos de las categorías indicadas, con la finalidad de análisis para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle, lo realizan en régimen de corresponsabilidad las siguientes empresas del Grupo CaixaBank: > CaixaBank, S.A. > CaixaBank Payments & Consumer, E.F.C., E.P., S.A.U. > CaixaBank Electronic Money, EDE, S.L. > VidaCaixa, S.A.U., de seguros y reaseguros > Nuevo Micro Bank, S.A.U. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/82 > CaixaBank Equipment Finance, S.A.U. > Promo Caixa, S.A.U, > Comercia Global Payments, E.P. S.L. > Buildingcenter, S.A.U. > Imagintech S.A. Encontrará la lista de las empresas que tratan sus datos, así como los aspectos esenciales de los acuerdos del tratamiento en corresponsabilidad en: www.caixabank.es/empresasgrupo.” Consta que la información que se facilita respecto de la corresponsabilidad accediendo a dicho enlace es la siguiente: “Para llevar a cabo los tratamientos que le indicamos a continuación, CaixaBank y las empresas del Grupo CaixaBank tratarán conjuntamente sus datos, decidiendo de manera conjunta los objetivos (“para qué se usan los datos”) y los medios utilizados (“cómo se usan los datos”) siendo, por tanto, corresponsables de esos tratamientos (Entidades Corresponsables). Los tratamientos para los cuales CaixaBank y las empresas del Grupo CaixaBank tratarán conjuntamente sus datos, son los siguientes (puede ver el detalle de las empresas del Grupo Caixabank que conforman el perímetro de cada uno de los tratamientos que se realizan en corresponsabilidad clicando en cada uno de los siguientes enlaces):  Realizar las actividades comerciales de: (
  29. i)análisis de sus datos personales para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle; (
  30. ii)oferta comercial de productos y servicios por los canales seleccionados, y (iii) cesión de datos a empresas que no forman parte del Grupo CaixaBank;  Cumplir con las siguientes normativas aplicables a las empresas del Grupo CaixaBank: (
  31. i)la normativa de prevención de blanqueo de capitales y financiación del terrorismo; (
  32. ii)la normativa en materia tributaria; (iii) las obligaciones derivadas de las políticas de sanciones y contramedidas financieras internacionales, así como (
  33. iv)las obligaciones de concesión y gestión de operaciones de crédito y la consulta y comunicación de riesgos a la Central de Información de Riesgos del Banco de España (CIRBE).  Realizar el análisis de la solvencia y la capacidad de devolución de los solicitantes de productos que impliquen financiación. De conformidad con lo dispuesto en la normativa aplicable, las Entidades Corresponsables han suscrito un acuerdo de corresponsabilidad para determinados tratamientos, cuyos elementos esenciales son los siguientes: (
  34. i)Que, para determinados tratamientos identificados en la Política de Privacidad, las Entidades Corresponsables actuarán de forma coordinada o conjunta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/82 (
  35. ii)Que han procedido a determinar las medidas de seguridad, técnicas y organizativas, apropiadas para garantizar un nivel de seguridad adecuado al riesgo inherente a los tratamientos de datos personales objeto de corresponsabilidad. (iii) Que disponen de un mecanismo de ventanilla única para el ejercicio de los derechos de los interesados, asumiendo el compromiso del deber de colaboración y asistencia en aquellos casos en que resultase procedente. (
  36. iv)Que cumplen la obligación de respetar el deber de secreto y guardar la debida confidencialidad de los datos personales que sean tratados en el marco de las actividades de tratamiento de datos informadas. (
  37. v)Independientemente de los términos del acuerdo de corresponsabilidad, los interesados podrán ejercer sus derechos en materia de protección de datos frente a cada uno de los responsables.” Consta que el punto 5 de la política de privacidad, titulado categorías de datos, informa de lo siguiente: “5. Categorías de datos En CaixaBank Payments & Consumer trataremos diferentes datos personales para poder gestionar las Relaciones Contractuales que establezca con nosotros, para realizar el resto de los tratamientos de datos que se derivan de su condición de cliente y, si nos ha dado su consentimiento, para realizar también el tratamiento de sus datos para las actividades que se detallan en el epígrafe 6.1. Para facilitar su comprensión, hemos ordenado los datos que tratamos en las categorías que le detallamos a continuación. No todas las categorías de datos que le detallamos se utilizan para todos los tratamientos de datos. En el epígrafe 6, donde le detallamos los tratamientos de datos que realizamos, usted podrá consultar específicamente por cada tratamiento concreto las categorías de datos que se utilizan, contando así con la información necesaria que le permita ejercer, si así lo desea, sus derechos reconocidos por el RGPD, en especial los de oposición y de revocación del consentimiento. Las categorías de datos que utilizan los distintos tratamientos expuestos en el epígrafe 6 son las siguientes: > Datos que usted nos ha facilitado en el alta de sus contratos o durante su relación con nosotros. Estos datos son:   datos identificativos y de contacto: su documento identificativo, nombre y apellidos, sexo, información de contacto postal, telefónica y electrónica, domicilio de residencia, nacionalidad y fecha de nacimiento, e idioma de comunicación. datos socioeconómicos: detalle de la actividad profesional o laboral, ingresos o retribuciones, unidad o círculo familiar, nivel de estudios, patrimonio, datos fiscales y datos tributarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/82   datos financieros: productos y servicios contratados, relación con el producto (condición de titular, autorizado o representante), categoría MiFID. datos biométricos: patrón facial, biometría de voz o patrón de huella dactilar. > Datos observados en el mantenimiento de los productos y servicios. Estos datos son:  datos financieros: la información de los apuntes y movimientos que se realicen en cuentas corrientes, incluyendo el tipo de operación, el emisor, el importe, y el concepto, información sobre inversiones realizadas y su evolución, información sobre financiaciones, extractos de operaciones con tarjetas de débito y crédito, productos contratados e historial de pago. Es importante que sepa que no trataremos datos observados en el mantenimiento de los productos y servicios que puedan contener información que revele su origen étnico o racial, sus opiniones políticas, sus convicciones religiosas o filosóficas, su afiliación sindical, el tratamiento de datos genéticos, datos biométricos dirigidos a identificarle de manera unívoca, datos relativos a la salud o datos relativos a su vida u orientación sexual (“Datos Sensibles”).    su condición de accionista, o no, de CaixaBank. datos digitales: los datos obtenidos de las comunicaciones que hayamos establecido entre usted y nosotros en chats, muros, videoconferencias, llamadas telefónicas o medios equivalentes y los datos obtenidos de sus navegaciones por nuestras páginas web o aplicaciones móviles y la navegación que realice en las mismas (ID dispositivo, ID publicidad, dirección IP e historial de navegación), en el caso de que haya aceptado el uso de datos geográficos: los datos de geolocalización de su dispositivo móvil proporcionados por la instalación y/o el uso de nuestras aplicaciones móviles, cuando así lo haya autorizado en la configuración de la propia aplicación. > Datos inferidos o deducidos por CaixaBank Payments & Consumer del análisis y tratamiento del resto de las categorías de datos. Estos datos son:   agrupaciones de clientes en categorías y segmentos en función de su edad, patrimonio y renta estimada, operativas, hábitos de consumo, preferencias o propensiones a la contratación de productos, demografía y relación con otros clientes o categorización según la normativa sobre Mercados de Instrumentos Financieros (“MiFID”). puntuaciones de scoring que asignan probabilidades de pago o impago o límites de riesgo. > Datos que usted no nos ha facilitado directamente, obtenidos de fuentes accesibles al público, registros públicos o fuentes externas. Estos datos son:  datos de solvencia patrimonial y crédito obtenidos de los ficheros Asnef y Badexcug. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/82      datos sobre riesgos mantenidos en el sistema financiero obtenidos de la base de datos de la Central de Información de Riesgos del Banco de España (CIRBE). datos de personas o entidades que estén incluidas en leyes, regulaciones, directrices, resoluciones, programas o medidas restrictivas en materia de sanciones económico-financieras internacionales impuestas por las Naciones Unidas, la Unión Europea, el Reino de España, Reino Unido y/o el U. S. Department of the Treasury’s Office of Foreign Assets Control (OFAC). datos catastrales o estadísticos obtenidos de compañías que facilitan estudios estadísticos socioeconómicos y demográficos asociados a zonas geográficas o códigos postales, no a personas determinadas. datos digitales obtenidos de sus navegaciones por páginas web de terceros (ID dispositivo, ID publicidad, dirección IP, historial de navegación), en el caso de que haya aceptado el uso de cookies y tecnologías similares en sus dispositivos de navegación. datos de redes sociales o internet, que usted haya hecho públicos o que nos autorice a consultar.” CaixaBank Payments & Consumer, E.F.C., E.P., S.A.U. afirma que la fecha de publicación de la nueva política de privacidad es de 18 de enero de 2021 y que dicha política de privacidad sustituye a la anterior, que había estado vigente desde el 21 de julio de 2019 hasta el 17 de enero de 2021. SÉPTIMO; Afirma igualmente en su escrito de respuesta al requerimiento de información efectuada durante el período de prueba que se aporta la información proporcionada para la realización de tratamientos con fines comerciales, previamente aportada en la respuesta al Requerimiento de información recibido con fecha 6 de febrero de 2020. Afirma, asimismo, que “Si bien se han previsto, aun no se han realizado modificaciones sobre la mencionada información desde su aportación en la respuesta al Requerimiento de información, a la espera de la resolución de la solicitud de aplicación de medidas cautelares relacionadas con el Procedimiento Sancionador a CAIXABANK, que podrían afectar a las modificaciones de la mencionada documentación, planificadas en este momento.” Consta que dicha información se facilita en el documento denominado CONDICIONES GENERALES DE LA SOLICITUD-CONTRATO DE CREDITO, en cuyo encabezado aparece la entidad CaixaBank Payments & Consumer y la fecha 10 de abril de 2020. El contenido de dicho documento coincide con el remitido tras el requerimiento de la Inspección de Datos efectuado el 6 de febrero de 2020 como anexo 12. Dicho documento se estructura en diversas secciones, de las cuales, la número 26 contempla en diferentes apartados diversos aspectos del tratamiento de datos tales como los distintos tratamientos según su base de legitimación, el ejercicio de derechos por parte de los interesados o el plazo de conservación de los datos entre otras cuestiones. Así, el apartado 26.1 se refiere a los Tratamientos de datos de carácter personal con la finalidad de gestionar las Relaciones Comerciales; el apartado 26.3 a los tratamientos de datos de carácter personal con finalidades regulatorias, este apartado a su vez se divide en diversos subapartados como los relativos a Tratamientos para la adopción de medidas de diligencia debida en la prevención del blanqueo de capitales y de la financiación del terrorismo (26.3.1), tratamiento para el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/82 cumplimiento de la política de gestión de sanciones y contramedidas financieras Internacionales (26.3.2), comunicación con sistemas de información crediticia (26.3.3.), comunicación de datos a la Central de Información de Riesgos del Banco de España (26.3.4), etc. El apartado 26.4 se refiere al Tratamiento y cesión de datos con finalidades comerciales por CaixaBank y las empresas del Grupo CaixaBank basados en el consentimiento. Los apartados 26.1 y 26.4 se encuentran transcritos en el punto 6 del hecho probado tercero. OCTAVO: Consta que se adjunta al escrito de respuesta al requerimiento de información efectuado durante el período de prueba un documento denominado Contrato Marco en cuyo encabezado figura “CaixaBank”, y en cuyo apartado 4.1 se indica que “el responsable del tratamiento de sus datos personales en sus relaciones contractuales y de negocios es CaixaBank, S.A. con NIF A08663619 y domicilio en la calle Pintor Sorolla, 2-4 Valencia. Añadiendo lo siguiente: “Corresponsables de tratamiento: Además, para determinados tratamientos que se informan en detalle en la citada política, CaixaBank y las empresas del Grupo CaixaBank tratarán conjuntamente sus datos, decidiendo de manera conjunta los objetivos (“para qué se usan los datos”) y los medios utilizados (“cómo se usan los datos”) siendo, por tanto, corresponsables de esos tratamientos. Los tratamientos para los cuales CaixaBank y las empresas del Grupo CaixaBank tratarán conjuntamente sus datos son los siguientes: > realizar las actividades comerciales de: (
  38. i)análisis de sus datos personales para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle; (
  39. ii)oferta comercial de productos y servicios por los canales seleccionados, y (iii) cesión de datos a empresas que no forman parte del Grupo CaixaBank; (…) Encontrará la lista de las empresas que tratan sus datos, así como los aspectos esenciales de los acuerdos del tratamiento en corresponsabilidad en: www.caixabank.es/empresasgrupo.” En el punto. 4.5 de dicho documento bajo el título” Qué tratamientos realizamos con sus datos, señala respecto de los tratamientos basados en el consentimiento las siguientes finalidades: “− Análisis de sus datos para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle. − Poner a su disposición nuestra oferta comercial de productos y servicios por los canales seleccionados. − Cesión de datos a empresas que no forman parte del Grupo CaixaBank para que le hagan ofertas comerciales de productos que comercializan. − Identificación de clientes y firma de documentación mediante uso de biometría. − Aplicación de condiciones personales en contratos en cotitularidad.” Dicho documento no se encuentra fechado. Se afirma en el escrito de respuesta al requerimiento de información efectuada durante el período de prueba que se ha incluido entre la documentación remitida “la información proporcionada a los interesados para la obtención de su consentimiento para la realización de tratamientos con fines comerciales, cuando el consentimiento se recoge desde el canal bancario (CAIXABANK). Esta documentación, aportada previamente en el transcurso del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/82 Procedimiento Sancionador a CAIXABANK, fue modificada en marzo de 2021, en el marco de las mencionadas actuaciones dirigidas a la implantación de la nueva política de privacidad.” NOVENO: Consta que durante el período de prueba se han aportado los siguientes documentos:  Capturas de pantalla en las que se recaba el consentimiento de los clientes:  Una captura de pantallas en el canal prescriptor, que coincide exactamente con la descrita para dicho canal en el punto 5 del hecho probado tercero de la presente propuesta de resolución.  Captura de pantallas alta nuevo cliente oficina (onboarding presencial, en la que se señala lo siguiente: “entrega la tableta al cliente para que cumplimente él mismo los consentimientos” y captura de pantallas alta nuevo cliente Portal Web (onboarding digital). En ambas modalidades se aporta una información básica para el cliente sobre el tratamiento de datos personales indicando que el responsable del tratamiento es: “Caixabank, con NIF A08663619 y domicilio en la calle Pintor Sorolla, 2-4 Valencia. Corresponsables del tratamiento “Para determinadas actividades Caixabank, S.A. y las empresas del Grupo Caixabank tratarán conjuntamente tus datos. Encontrarás la lista de las empresas que tratan tus datos, así como los aspectos esenciales de los acuerdos del tratamiento en corresponsabilidad en www.caixabank.es/empresasgrupo.” Respecto de los consentimientos se señala en ambas modalidades que “Autorizas a las empresas del grupo CaixaBank a: Analizar tus datos para la elaboración de perfiles que nos ayuden a ofrecerte productos que creemos que pueden interesarte. Si tenemos tu consentimiento, te configuraremos o diseñaremos una oferta de productos y servicios ajustados a tus características como cliente, mediante el análisis de tus datos y la elaboración de perfiles con tu información.” A continuación, figuran dos casillas en las que se puede marcar si o no. En otros apartados se solicita el consentimiento para comunicar la oferta comercial de productos y servicios por los canales que se seleccionen y a ceder los datos a empresas que no formen parte del Grupo Caixabank con las que tengan acuerdos. Respecto de los tratamientos de análisis para elaboración de perfiles se aporta también en ambas modalidades la información siguiente: Estos tratamientos tienen como base jurídica su consentimiento, según se establece en el artículo 6.1.a del Reglamento General de Protección de Datos. Se reitera a continuación la información ofrecida en la política de privacidad relativa a este tipo de tratamientos respecto de la finalidad, categorías de datos tratados y corresponsables del tratamiento. No obstante, en lo que respecta a los datos tratados indica: “las categorías de datos que trataremos para esta finalidad cuyo contenido está detallado en el epígrafe 5 de nuestra Política de Privacidad (www.Caixabank.es/políticade privacidad) son: datos que usted nos habrá facilitado, datos observados en el mantenimiento de los productos y servicios con excepción de datos sensibles, datos inferidos o deducidos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/82 por Caixabank, datos que usted no nos ha facilitado directamente.” No figura en ninguna de las pantallas la descripción de estos datos.  Acuerdo de corresponsabilidad. Dicho Acuerdo no tiene fecha ni firma alguna. El número 4 de dicho acuerdo, relativo a la duración, señala que “El presente Acuerdo entrará en vigor en la fecha de su firma y permanecerá vigente de forma indefinida, sin perjuicio de la revisión y modificaciones necesarias de sus términos y contenido para su adaptación en su caso, a la normativa vigente que resulte de aplicación en cada momento...” En dicho acuerdo figura la siguiente definición: “Corresponsables del Tratamiento o Corresponsables: Significa los responsables que determinan conjuntamente los objetivos, finalidades y medios del Tratamiento detallados en el Anexo 1.” En el citado anexo menciona los siguientes tratamientos objeto de corresponsabilidad referente a “actividades comerciales”:
  40. a)análisis de los datos personales para la elaboración de perfiles que nos ayuden a ofrecer productos que creemos que pueden interesar al cliente F Finalidad: La finalidad de este tratamiento de datos es utilizar las categorías de datos indicadas en la Política de Privacidad de CaixaBank (www.caixabank.com/politicaprivacidad) para elaborar perfiles que permitan a los Corresponsables identificar al cliente con segmentos de clientes de similares características para poder ofrecerle productos y servicios que puedan interesarle, así como, para establecer la periodicidad con la que los Corresponsables se relacionan con él. Base legitimadora: La base legitimadora de este tratamiento es el consentimiento otorgado por los interesados.
  41. a)Oferta comercial de productos y servicios por los canales seleccionados. Finalidad: La finalidad de este tratamiento de datos es poner a disposición del cliente comunicaciones de ofertas comerciales relativas a productos y servicios propios o de terceros comercializados por CaixaBank y/o las entidades del Grupo CaixaBank. Estas comunicaciones únicamente se remitirán al cliente por los canales que previamente éste nos haya autorizado al dar su consentimiento. Base legitimadora: La base legitimadora de este tratamiento es el consentimiento otorgado por los interesados.
  42. b)cesión de datos a entidades que no forman parte del Grupo CaixaBank Finalidad: La finalidad de este tratamiento es ceder los datos de los interesados a entidades que no forman parte del Grupo CaixaBank con las que los Corresponsables tengan acuerdos, con el propósito de que éstas les realicen ofertas comerciales de los productos que comercializan. Base legitimadora: La base legitimadora de este tratamiento es el consentimiento otorgado por los interesados.” Enumera después los corresponsables que serían los siguientes: CAIXABANK, S.A CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A.U. CAIXABANK ELECTRONIC MONEY, EDE, S.L C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/82 VIDACAIXA, S.A.U., DE SEGUROS Y REASEGUROS NUEVO MICRO BANK, S.A.U CAIXABANK EQUIPMENT FINANCE, S.A.U PROMO CAIXA, S.A.U. COMERCIA GLOBAL PAYMENTS, E.P. S.L. BUILDINGCENTER, S.A.U. IMAGINTECH, S.A. En sucesivos anexos se contemplan otros tratamientos objeto de corresponsabilidad, cuya base legitimadora se encuentra en el cumplimiento de obligaciones legales o la ejecución de las relaciones contractuales.  Contrato suscrito con la entidad (…) para la actividad de risk score. Según lo indicado en dicho contrato, de fecha 2 de junio de 2020, se ha novado el contrato suscrito con fecha 2 de mayo de 2017, ampliado a su vez en fecha 2 de mayo de 2019 para incorporar los servicios que se reseñan en el anexo I (que no se adjunta). Son partes en dicho contrato CAIXABANK y CAIXABANK PAYMENTS & CONSUMER y las entidades (…), designándose a estas dos últimas conjuntamente como PROVEEDOR. Dicho documento contiene dos cláusulas: La cláusula primera de dicho contrato relativa a la novación modificativa no extintiva de la cláusula 15 del contrato, sustituye la citada cláusula con efectos retroactivos a 25 de mayo de 2018, con nuevos elementos relativos al encargado de tratamiento, a fin de adaptar los servicios de risk score a las obligaciones regulatorias contenidas en la LOPDGDD y en el RGPD. En la segunda de las cláusulas se acuerda incorporar al anexo I (anexo de servicios) una cláusula relativa a aspectos específicos del tratamiento de datos de carácter personal del servicio risk score. Dicha cláusula viene referida a la descripción del tratamiento, indicando que a los únicos efectos de la prestación del servicio de “risk score” CAIXABANK Y CAIXABANK PAYMENTS & CONSUMER ponen a disposición del proveedor la siguiente información (…). Se señalan a continuación los siguientes tratamientos por parte del proveedor: explotación, consulta y destrucción; la tipología de los datos (DNI(NIE/Pasaporte) y categorías de interesados afectados (clientes, intervinientes no clientes). En cuanto a la finalidad del tratamiento se señala que el proveedor utilizará los datos de carácter personal objeto de tratamiento única y exclusivamente para el cumplimiento del ANEXO I, no pudiéndolos utilizar, en ningún caso, para fines propios. Dicho anexo no se adjunta. DÉCIMO: En el escrito de respuesta al requerimiento de información formulado durante el período de prueba se afirma que al volumen de negocios del Grupo o CAIXABANK a 31 de diciembre de 2020 se cifra en doce mil ciento setenta y dos millones de euros." TERCERO: Con fecha 25 de octubre de 2021, se ha interpuesto recurso de reposición por la entidad CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U. (en lo sucesivo CPC) contra la resolución reseñada en el antecedente primero, en el que después de dar por reproducidas la información y documentación aportadas durante la tramitación del procedimiento que dio lugar a dicha resolución y actuaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/82 previas de investigación y, sin perjuicio de las nuevas alegaciones o documentos que aporta, solicita que se declare la nulidad de la resolución recurrida y, en su caso, de todos los actos administrativos del Procedimiento Sancionador que pudieran verse afectados y, subsidiariamente, que se estime el recurso presentado archivando las actuaciones por inexistencia de la presunta infracción del artículo 6 del RGPD, ya que el consentimiento prestado para las finalidades de perfilado cumple con la exigencia de la separación de los fines y prestación del consentimiento para cada uno de ellos, además de estar debidamente informado según lo previsto en la normativa que regula el derecho a la protección de los datos personales; por lo que a juicio de CPC este sería válido. Estas solicitudes se fundamentan en las consideraciones siguientes: I. Nulidad y anulabilidad de las actuaciones 1. Considera CPC que el Acuerdo de Inicio, de 23 de diciembre de 2020, y la Resolución, de 22 de septiembre de 2021, dictados por la “Directora de la Agencia Española de Protección de Datos”, son actos nulos de pleno derecho por resultar incompetente materialmente la persona que dictó ambos actos administrativos. Señala que mediante el Real Decreto 715/2015, de 24 de julio, a propuesta del Ministro de Justicia se nombró “Directora de la Agencia Española de Protección de Datos a doña María del Mar España Martí”; el nombramiento se hizo de conformidad con lo dispuesto en el artículo 14.1 del Estatuto de la Agencia Española de Protección de Datos, aprobado por el Real Decreto 428/1993, de 26 de marzo (en adelante, el “Estatuto de 1993”). La LOPDGDD, en su Disposición Transitoria Primera, sobre el Estatuto de 1993, dispone que este continuaría vigente en todo aquello que no se opusiera a lo establecido en el Título VIII de la Ley 15/1999 Orgánica de Protección de Datos de Carácter Personal (en adelante, la “LOPD”) (de los “Procedimientos en caso de posible vulneración de la normativa de protección de datos”); se añade en la mencionada Disposición Transitoria que ciertos preceptos relacionados con la Presidencia de la Agencia y con el Consejo Consultivo de la Agencia (concretamente los apartados 2, 3 y 5 del artículo 48 y artículo 49), no serían de aplicación hasta la expiración del mandato de quien pudiera ostentar la condición de Director de la AEPD en el momento de entrada en vigor de la LOPDGDD (7 de diciembre de 2018); en esa fecha la Directora de la AEPD era la Ilma. doña María del Mar España Martí, cuyo mandato expiró el 24 de julio de 2019, de modo que, a partir de esa fecha expiración del mandato, los mencionados preceptos ya fueron de aplicación. De conformidad con el artículo 14.3 del Estatuto de 1993 “el mandato del Director de la Agencia de Protección de Datos tendrá una duración de cuatro años contados desde su nombramiento y sólo cesará por las causas previstas en el artículo 15 del presente Estatuto”. De conformidad con el artículo 15.1 del Estatuto de 1993 el “Director de la Agencia de Protección de Datos cesará en el desempeño de su cargo por la expiración de su mandato”, cabe mencionar que ni el mencionado Estatuto de 1993, ni la LOPDGDD prevén que transitoriamente se pueda ejercer en funciones la Dirección o la Presidencia de la AEPD; sí que lo prevé, exclusivamente en relación a la Presidencia, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/82 el Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos (en adelante, el “Estatuto de 2021”), concretamente en su artículo 12.3, en tanto dispone que: “La persona titular de la Presidencia cesante continuará en funciones hasta la toma de posesión de la nueva persona titular de la Presidencia”; es decir, solo a partir del 3 de junio de 2021 existe la posibilidad de que, una vez expirado el mandato de la Presidencia de la AEPD, la persona titular pueda de manera automática seguir actuando en funciones, hasta la toma de posesión de la nueva persona titular de la Presidencia de la AEPD. El nombramiento de doña María del Mar España Martí como Directora de la Agencia es de fecha 24 de julio de 2015, publicado en el BOE de 25 de julio de 2015, por tanto, conforme al artículo 14.3 del Estatuto de 1993, como ya mencionado, el 24 de julio de 2019 expiró el mencionado nombramiento, de modo que conforme al artículo 15.1 del Estatuto de 1993 la expiración del mandado conllevó su cese directo en el desempeño del cargo de Directora de la AEPD a partir del 24 de julio de 2019; es decir, había cesado en sus funciones y, en consecuencia, a partir de esa carecía de competencia para dictar actos administrativos de la AEPD. Sobre el supuesto de expiración del nombramiento del titular de un órgano administrativo se ha pronunciado expresamente la Sala de lo ContenciosoAdministrativo del Tribunal Supremo, en particular en el Recurso de Casación 1585/2016, mediante la sentencia 2393/2017 de 16 de junio de 2017 (en adelante, “STS 2393/2017”). 8. Según la STS 2393/2017, referenciando la sentencia 905/2008 de la Sala Tercera, de lo Contencioso Administrativo del Tribunal Supremo de 18 de febrero de 2008, cuando expira el nombramiento del titular de un órgano administrativo “nos encontramos ante un supuesto de incompetencia material”, en el que la persona cuyo nombramiento ya ha expirado “actúa careciendo total y absolutamente de competencia” para dictar actos administrativos del órgano administrativo en cuestión, de modo que en el caso de cese por expiración del nombramiento la persona afectada por el mismo «ha actuado en materias sobre las que no puede hacerlo y en este caso la incompetencia material es manifiesta pues es ostensible, clara, patente, notoria y palpable, o según sus términos es "apreciable sin esfuerzo" y sin que tal actuación, nula de pleno derecho pueda ser convalidada, ni se trate como se pretende de un supuesto en que concurra un vicio formal no invalidante». En la STS 2393/2017 se pone de manifiesto que los actos administrativos de las Administraciones Públicas se producen a través de sus órganos, y que tales órganos “se configuran mediante unos determinados elementos, entre los que ahora cabe destacar un elemento subjetivo, conformado por personas físicas o naturales a través de las cuales se expresa la voluntad del órgano, a las cuales se le asignan una serie de funciones, de suerte que la validez del acto en cuanto actividad propia del ente administrativo se hace depender, entre otros requisitos, de que la actuación de la persona física, del funcionario actuante, se mantenga dentro de las atribuciones y competencias determinadas normativamente a favor del órgano. Obviamente la validez de la actuación del titular del órgano, del funcionario actuante, depende de que se encuentre en el correcto ejercicio de su cargo o destino, lo que precisa necesariamente que venga precedido de un nombramiento legal”, concluyendo que “el acto administrativo válido debe proceder de una Administración Pública -en general-, a través de órgano competente y dictado por persona física con nombramiento legítimo”, afirmando que: “No cabe, por tanto, disociar el órgano de los elementos que lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/82 componen, y en concreto del funcionario titular llamado a ejercer o llevar a la práctica el conjunto de atribuciones y competencias que tiene conferida legalmente el órgano del que forma parte el funcionario”. Sigue la STS 2393/2017 afirmando que al órgano administrativo se le asignan un conjunto de atribuciones y competencias, formando parte de ese órgano de manera indisoluble (como parte esencial del mismo), “una persona física que es llamada a desempeñar dichas atribuciones y competencias”. Señala CPC que, a partir de tales fundamentos el Tribunal Supremo analiza “los actos emanados de los funcionarios cuyo encargo de funciones ha expirado por el transcurso del tiempo”, considerando CPC que este es el caso de la Directora de la Agencia que no se encuentra en funciones, puesto que el Ministerio de Justicia no ha procedido a dictar acto alguno en tal sentido ni en los actos administrativos dictados a partir del 24 de julio de 2019 por la Directora de la Agencia aparece la indicación de que esté actuando en funciones, sino que al contrario, según la normativa aplicable a su situación, el cese se produjo de manera automática por el transcurso de los 4 años desde su nombramiento, es decir, había expirado su nombramiento, y, en consecuencia, tal como lo expresa la STS 2393/2017, “no podía en modo alguno desempeñar las competencias atribuidas legalmente al órgano del que formaba parte; en consecuencia tal vicio de legalidad implicaba la propia inexistencia jurídica de los actos administrativos dictados por el citado, pues resultaba una actividad al margen del ente administrativo al que se le pretende otorgar su procedencia; estando en presencia del supuesto más grave de nulidad de pleno derecho, pues la actuación del funcionario sin nombramiento carecía de validez alguna, por manifiesta y grave incompetencia material del funcionario en tanto que lleva a cabo unas atribuciones y competencias que le resultaban ajenas y extrañas”. Otros pronunciamientos jurisprudenciales en el mismo sentido serían las resoluciones del Tribunal Supremo con las referencias 1067/2017 y 1093/2017; cabe añadir que el Tribunal Supremo excluye expresamente de los supuestos de expiración del nombramiento la aplicación de la figura doctrinal del funcionario de hecho. Afirma que el Procedimiento Sancionador, además, se ve afectado por otra irregularidad, que también afecta a la legalidad de los actos administrativos dictados por doña María del Mar España Martí como Directora de la Agencia; concretamente se da la circunstancia de que, a partir de la entrada en vigor del ya mencionado Real Decreto 389/2021 (que aprueba el Estatuto de 2021), de conformidad con su Disposición adicional única (Supresión de órganos directivos), queda suprimido, entre otros órganos directivos: “El Director de la Agencia Española de Protección de Datos”. En relación a tal supresión, en la Disposición Transitoria Única del Real Decreto 389/2021, no hay previsión alguna respecto de que transitoriamente no sea efectiva tal supresión, por ejemplo, manteniendo como órgano directivo de la AEPD el de “Director”, hasta el nombramiento del titular de la “Presidencia de la Agencia Española de Protección de Datos”, ni hay mención alguna a una potencial aplicación del artículo 12.3 del Estatuto del 2021, que se refiere únicamente a “la persona titular de la Presidencia”, ni tampoco se prevé que el titular del órgano suprimido pase a ser el titular de la Presidencia de la AEPD, de modo que, a partir del 3 de junio de 2021, todos los actos administrativos dictados por el órgano “Directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/82 Española de Protección de Datos” también son actos administrativos en los que concurre un vicio de legalidad que implica la inexistencia jurídica de los mismos, por lo que estaríamos en un supuesto de nulidad de pleno derecho, en tanto estarían dictados por un órgano de la AEPD inexistente, y todo ello sin perjuicio de lo alegado en relación a la expiración del nombramiento de doña María del Mar España Martí como Directora de la Agencia. 2. Afirma que en la Resolución no se ha hecho valoración alguna respecto de su alegación sobre la concurrencia de una potencial desviación de poder; tal alegación se fundamentaba en que, en el marco de la aplicación del régimen sancionador para infracciones de la normativa de protección de los datos personales, no tienen cabida fines de tipo recaudatorio, ni de búsqueda de notoriedad del órgano administrativo o de su titular mediante la imposición de sanciones con fines de ejemplaridad o llamativas, fines que supondrían claramente el ejercicio de potestades administrativas para fines distintos de los fijados por el ordenamiento jurídico; tal conducta constituiría una desviación de poder, según lo dispuesto en el artículo 70 de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-Administrativa, lo que implica la anulabilidad de los actos administrativos viciados de ese modo. Del mismo modo se regula en el artículo 48.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, la “LPACAC”): “Son anulables los actos de la Administración que incurran en cualquier infracción del ordenamiento jurídico, incluso la desviación de poder”. Alega que la desviación de poder es un vicio del acto administrativo, formalmente ajustado a las reglas de competencia y de procedimiento aplicables pero que materialmente supone “una contravención del sentido teleológico de la actividad administrativa desarrollada” (STS de 7 de abril de 1986), “una distorsión de la normal finalidad del acto” (STS de 11 de abril de 1989), una “no utilización de la potestad administrativa de forma objetiva, acorde con la finalidad perseguida” (STS de 12 de mayo de 1986). Dicha desviación procesal puede acaecer “no sólo cuando se acredita que la Administración persigue una finalidad privada o un propósito inconfesable, extraño a cualquier defensa de los intereses generales, sino también puede concurrir esta desviación teleológica cuando se persigue un interés público ajeno y, por tanto, distinto al que prevé el ordenamiento jurídico para el caso” (Sentencias del Tribunal Supremo de 18 de marzo de 2011 y 11 de mayo de 2012 Afirma que se describieron en las alegaciones situaciones objetivas que ponían de manifiesto la desviación de poder alegada, consideramos que racionalmente se han presentado indicios de arbitrariedad e indefensión en cuanto a que, en su conjunto, el Procedimiento Sancionador buscaba notoriedad e impacto mediático, no dicho por nosotros, sino por la propia Directora de la AEPD en medios de comunicación, que de no ser ciertas tales declaraciones, tal vez la Agencia debería haber ejercido acciones contra tales medios; la regulación prevé unas causas tasadas de abstención, que permiten plantear formalmente una recusación pero el hecho de que tales supuestos no concurran no impide la existencia de la mencionada desviación de poder, buscando claramente notoriedad, máxime cuando su mandato como Directora de la Agencia expiró en julio de 2019. 18. Ante la alegación sobre la desviación de poder en los términos expresados, que afectan directamente a la legalidad del Procedimiento Sancionador, la AEPD, en su resolución, ha optado por guardar silencio y no hacer valoración alguna; podríamos interpretar ese silencio como una declaración en sí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/82 mismo pero nos parece más adecuado y ajustado a derecho, en base al principio de contradicción de los procedimientos administrativos que, con todo el respeto, solicitemos que se pronuncie el órgano administrativo respecto del cual se alega una actuación que supondría una desviación de poder. 3. Se reitera en la relevancia que otorga a la omisión por parte de la AEPD de no haber comunicado a CPC, en el Acuerdo de Inicio, que se estimó el recurso de reposición a la no admisión de la reclamación, aunque tal acuerdo esté en sí mismo viciado de nulidad de pleno derecho; entendemos que CPC, como parte afectada por la decisión de estimar el recurso de reposición presentado por el reclamante a la inadmisión inicial de su reclamación, es un hecho “relevante” para la defensa de CPC ante el inicio de un procedimiento sancionador. La valoración de la AEPD al respecto, en el sentido de no atribuirle relevancia alguna a tal omisión, no está justificada por el hecho de que la AEPD tenga la opción de llevar a cabo acciones posteriores. Lo cierto es que se estimó el mencionado recurso de reposición, de modo que la reclamación paso a ser admitida, cuando CPC solo tuvo constancia de la previa inadmisibilidad de la reclamación, lo que es una evidente irregularidad. Consideramos que lo ajustado a derecho hubiera sido que, al menos, tal información hubiera formado parte de los antecedentes del Acuerdo de Inicio, dado que CPC sería parte interesada según lo previsto en el artículo 4.1.b de la LPACAC. En su momento, sí le fue comunicada la inadmisión de la reclamación, sin embargo, de manera injustificada, no le fue comunicada la interposición del mencionado recurso de reposición, ni tampoco la posterior decisión de estimar el mismo, actos con relevancia jurídica que deberían haber sido comunicados a CPC. En todo caso, la AEPD no ha justificado tal omisión procedimental y, en consecuencia, no dio cumplimiento a su responsabilidad en la tramitación, prevista en el artículo 20 de la LPACAC, que le obliga a adoptar “las medidas oportunas para remover los obstáculos que impidan, dificulten o retrasen el ejercicio pleno de los derechos de los interesados o el respeto a sus intereses legítimos, disponiendo lo necesario para evitar y eliminar toda anormalidad en la tramitación de procedimientos”, en conexión con el incumplimiento del artículo 40.1 de la LPACAC, que dispone que el “órgano que dicte las resoluciones y actos administrativos los notificará a los interesados cuyos derechos e intereses sean afectados por aquéllos”. No cabe duda que CPC se ha visto afectada por la estimación del mencionado recurso de reposición, sin que se haya justificado por parte de la AEPD su actuación opaca respecto de ese trámite. Reitera las alegaciones relativas a que la tramitación administrativa adolece de un cúmulo de irregularidades que han derivado en la vulneración al derecho a la defensa jurídica, en particular con una clara indefensión en base a conculcar la presunción de inocencia puesto que ha sido evidente que la decisión ya estaba tomada antes de que el propio procedimiento hubiera pasado por todas sus fases (recordemos las declaraciones de la Directora de la AEPD) y, por tanto, sin las debidas garantías que necesariamente deben acompañar al procedimiento sancionador. Afirma que concurre, además, el incumplimiento del artículo 55.1 de la LPACAP, en conexión con el artículo 53 de la LOPDGDD, por cuanto el alcance de las actuaciones previas de investigación no se definió por el titular del órgano administrativo, habiéndose extralimitado la inspección de datos al ampliarlo (aunque se haya justificado en un mero error material cuyo reconocimiento solo beneficia a la Agencia), sin ser esta su función, y a todo ello debe añadirse la falta de motivación respecto de actos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/82 administrativos que se separan del criterio seguido en actuaciones precedentes, en tanto la cuantía de las sanciones en otras conductas y contexto equivalentes fue mucho menor, sin que la AEPD haya dado en su Resolución explicación alguna al respecto. En opinión de CPC no se ha seguido una tramitación administrativa del Procedimiento Sancionador conforme a derecho, dando lugar a una actuación arbitraria de la AEPD, proscrita por el artículo 9.3 de la Constitución Española, en conjunción con la falta de objetividad en el servicio a los intereses generales; lo que ha conllevado a un evidente trato desigual para CPC respecto de otros administrados, todo ello sustentado en unos actos administrativos viciados de nulidad de pleno derecho. II. EN RELACION AL OBJETO DE LA RESOLUCIÓN, 1. Insiste en la existencia de corresponsabilidad en los tratamientos de datos personales objeto del Procedimiento Sancionador, que se sustenta inicialmente en elementos fácticos, con una posterior formalización, que no han sido tenidos en cuenta por la AEPD, planteando unas exigencias formales a CPC no conformes a la legalidad vigente, como el hecho de que haber presentado un acuerdo de corresponsabilidad no firmado tiene como efecto directo impedir que exista corresponsabilidad. Esgrime la Agencia que no se han presentado evidencias de que exista la corresponsabilidad acordada en el contexto del Grupo CaixaBank, descargando la carga de la prueba en CPC sobre la existencia de tal corresponsabilidad, cuando debería ser la Agencia quien debería fundamentar su negativa valoración al respecto. Afirma que la AEPD se limita a afirmar que no existe tal corresponsabilidad, por lo que solicita, que la Agencia argumente jurídicamente, de manera racional y con claridad, los motivos que le llevan a considerar que no existe corresponsabilidad en los tratamientos objeto del Procedimiento Sancionador. De otro modo, la valoración de la AEPD seria de una discrecionalidad que rebasa, en mucho, los límites previstos en la normativa que regula los procedimientos administrativos y, en particular, los procedimientos sancionadores, que deben ser especialmente garantistas por sus consecuencias de carácter punitivo. 2.CPC se reafirma en que no se ha producido una infracción del artículo 6 del RGPD ya que el consentimiento prestado para las finalidades de perfilado cumple con la exigencia de la separación de los fines y prestación del consentimiento para cada uno de ellos, además de estar debidamente informado según lo previsto en la normativa que regula el derecho a la protección de los datos personales; por lo que este es válido. Afirma que se invierte la carga de la prueba y, además, no se valoran alegaciones realizadas en los Escritos presentados por CPC durante la tramitación del Procedimiento Sancionador, en particular se ha hecho caso omiso al hecho de que la falta de información o claridad aludida por la Agencia se sustenta en sus valoraciones subjetivas, utilizando exclusivamente argumentos centrados en opiniones de las autoridades de protección de datos, todas ellas muy respetables y de interés pero que, en ningún caso, constituyen derecho sustantivo. Por tanto, no se han valorado en la Resolución las alegaciones de CPC respecto del hecho de que no existe una obligación de informar sobre los “datos” o “tipos de datos” usados para elaborar los perfiles, ni tampoco sobre ”los tipos de perfiles”, a pesar de que sí que se haya informado o sea información claramente deducible del contexto del tratamiento, aunque a juicio de la AEPD de manera deficiente, no argumentando en modo alguno C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/82 su opinión, más allá de aplicar su propio juicio; se ha vuelto a invertir la carga de la prueba ya que la AEPD, en ningún momento, ha aportado pruebas o evidencias sobre la falta de claridad o insuficiencia en la información, por omisión de información a la que obligue la normativa de protección de datos. En este punto somos conocedores de que la Agencia dispone, en el marco del PS/00477/2019, de información sobre la opinión de terceros especializados que han valorado hasta qué punto la información proporcionada por el Grupo CaixaBank resulta clara y comprensible, y también dispone del resultado del test o encuestas realizadas a usuarios con la finalidad de conocer el grado de comprensión de la información proporcionada en diferentes actividades que implican el tratamiento de datos personales, y de manera específica sobre la solicitud de las “autorizaciones en relación con los tratamientos de datos comerciales (perfilado y publicidad)”, dando como resultado que existe un muy alto nivel de comprensión tal y como acredita el documento anexado a este escrito (documento anexo 1). Además, se adjunta a este Escrito otro documento (documento anexo 2) de 20 de septiembre de 2021 del Banco de España, en el contexto de una actuación de este para conocer “el modo en que las entidades comercializan a distancia sus productos a consumidores, y en particular, las cuentas corrientes y cuentas de ahorro”, en el que, como resultado de la información facilitada por CaixaBank, S.A. al Banco de España, este último como entidad especializada en la materia, dice que: “Finalmente, queremos resaltar y agradecer los esfuerzos efectuados para mejorar la presentación y redacción de los documentos en el marco del proyecto que su entidad ha denominado internamente -Contratos Friendly-. Este proyecto refleja las mejoras prácticas bancarias a las que debe tender todo el sector”, obviamente, ello sin perjuicio de que, en todo caso, se deba “facilitar información sobre todos los extremos legalmente exigidos por la normativa de transparencia”. Afirma que en definitiva, más allá de la opinión subjetiva de la AEPD, lo relevante es que los clientes de CPC saben y entienden que con sus datos personales, en el contexto de su relación con CPC, se van a elaborar perfiles para enviarles comunicaciones comerciales ajustadas a su perfil, cumpliendo con las exigencias de la normativa de protección de datos, sin perjuicio de que puedan aplicarse buenas prácticas adicionales que mejoren cómo se informa a las personas; la valoración de CPC sobre la obtención del consentimiento informado se basa en hechos y evidencias, como las expresadas en los apartados previos, que incluyen la opinión de una autoridad especializada en el contexto en el que se llevan a cabo los tratamientos, específicamente en relación a la transparencia de la información que se proporciona por parte del Grupo CaixaBank en la comercialización de algunos de sus productos. 3. Finalmente considera que, sin perjuicio y de manera complementaria a todo lo expuesto anteriormente, es evidente la desproporción de la sanción impuesta, en particular por el hecho de que no se motive cómo se han aplicado los criterios de graduación de la sanción. La AEPD se limita a enumerar qué criterios ha tenido en cuenta para graduar la sanción, pero no explica cómo los ha aplicado, ni como llega a concretar la cuantía de la multa administrativa impuesta mediante la Resolución; por ello, se considera que la discrecionalidad administrativa que ha aplicado la AEPD sobrepasa los límites de la legalidad sancionadora. El Tribunal Constitucional se ha pronunciado reiteradamente sobre el alcance del principio de legalidad sancionadora que consagra el artículo 25.1 de la Constitución, y, en su Sentencia 150/2020, de 22 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/82 de octubre de 2020, dictada en la cuestión de inconstitucionalidad núm. 7194-2019, que recoge su doctrina anterior, el Alto Tribunal afirma: “El derecho a la legalidad sancionadora, conforme a la doctrina consolidada de este tribunal “comprende una doble garantía. La primera, de orden material y alcance absoluto, tanto por lo que se refiere al ámbito estrictamente penal como al de las sanciones administrativas, refleja la especial trascendencia del principio de seguridad en dichos ámbitos limitativos de la libertad individual y se traduce en la imperiosa exigencia de predeterminación normativa de las conductas ilícitas y de las sanciones correspondientes. La segunda, de carácter formal, se refiere al rango necesario de las normas tipificadoras de aquellas conductas y reguladoras de estas sanciones, por cuanto, como este tribunal ha señalado reiteradamente, el término ‘legislación vigente’ contenido en dicho art. 25.1 es expresivo de una reserva de ley en materia sancionadora” (entre otras muchas, STC 42/1987, de 7 de abril, FJ 2). En relación con la vertiente material de este derecho, hemos puesto de relieve que “la necesidad de que la ley predetermine suficientemente las infracciones y las sanciones, así como la correspondencia entre unas y otras, no implica un automatismo tal que suponga la exclusión de todo poder de apreciación por parte de los órganos administrativos a la hora de imponer una sanción concreta”, pero en modo alguno cabe encomendar por entero tal correspondencia a la discrecionalidad judicial o administrativa, “ya que ello equivaldría a una simple habilitación en blanco a la administración por norma legal vacía de contenido material propio” (STC 113/2002, de 9 de mayo, FJ 6)”. Aporta un escrito del Banco de España, en el que éste requiere a Caixabank, en el marco de sus competencias supervisoras en materia de conducta de mercado y protección a la clientela y en orden a asegurar el cumplimiento adecuado de las obligaciones contenidas en la normativa bancaria a la que hace referencia, que adopte las medidas oportunas respecto de determinadas actuaciones que señala en dicho escrito, finalizando dicho en los siguientes términos: “Finalmente, queremos resaltar y agradecer los esfuerzos efectuados para mejorar la presentación y redacción de los documentos en el marco del proyecto que su entidad ha denominado internamente -Contratos Friendly-. Este proyecto refleja las mejoras prácticas bancarias a las que debe tender todo el sector No obstante, no debe perderse nunca de vista que esta forma de presentación no debe ser en ningún caso ser obstáculo para facilitar información sobre todos los extremos legalmente exigidos por la normativa de transparencia, pues las mejoras prácticas bancarias exigen conjugar la trasparencia en el lenguaje y la forma de presentación con el cumplimiento de los requisitos legales y la actualización a medida que se introducen modificaciones legales.” Aporta asimismo un documento, con el título de encuesta telefónica, en el que se indica como fecha el 17 de diciembre de 2020, realizado por la empresa SGS Tecnos con la finalidad de valorar el grado de comprensión de la cláusula 8 del contrato marco en base a la cual Caixabank solicita a sus clientes las autorizaciones en relación con los tratamientos de datos comerciales (perfilado y publicidad). En dicho documento se señala que la metodología utilizada ha sido a través de una encuesta telefónica que se ha realizado a clientes de CaixaBank. La base de datos facilitada por CaixaBank es de personas que durante el último año han firmado el contrato marco. Para valorar el grado de comprensión de dicha cláusula se facilitó a la empresa que iba a llevar a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/82 cabo la encuesta dos extractos de la mencionada clausula para ser leídos a los clientes y que los mismos valoren en base a lo que acaben de escuchar. Los extractos son los siguientes: PERFILADO “Con la finalidad de poner a su disposición una oferta global de productos y servicios, su autorización a (
  43. i)los tratamientos de análisis y estudio de datos, y (
  44. ii)para la oferta comercial de productos y servicios, en caso de otorgarse, comprenderá a CaixaBank, y a las empresas del grupo CaixaBank quienes podrán compartirlos y utilizarlos con las finalidades indicadas. Otorgando su consentimiento a las finalidades aquí detalladas, Usted nos autoriza a:
  45. a)Realizar de manera proactiva análisis de riesgos y aplicar sobre sus datos técnicas estadísticas y de segmentación de clientes, con la finalidad de Estudiar productos o servicios que puedan ser ajustados a su perfil y situación comercial o crediticia concreta, todo ello para efectuarle ofertas comerciales ajustadas a sus necesidades y preferencias.” PUBLICIDAD “(
  46. ii)Detalle de los tratamientos para la oferta comercial de productos y servicios de CaixaBank y las Empresas del Grupo CaixaBank. Otorgando su consentimiento a las finalidades aquí detalladas, Usted nos autoriza a: Enviar comunicaciones comerciales tanto en papel como por medios electrónicos o telemáticos, relativas a los productos y servicios que, en cada momento:
  47. a)comercialice CaixaBank o cualquiera de las Empresas del Grupo CaixaBank. El firmante podrá elegir en cada momento los diferentes canales o medios por los que desea o no recibir las indicadas comunicaciones comerciales a través de su banca digital, mediante el ejercicio de sus derechos, o mediante su gestión en la red de oficinas de CaixaBank.” Según se indica en el documento aportado, al inicio de la encuesta se informa al cliente que en su día Caixabank le solicitó autorización para el tratamiento de sus datos de carácter personal, en concreto, sobre su consentimiento para perfilarle (estudiar y analizar sus datos) y remitirle publicidad adaptada que pudiese ser de interés del cliente. Se le informa de que se van a leer a través de una grabación de 30 segundos un extracto de la cláusula que figura en su contrato y seguidamente se le van a plantear unas preguntas de valoración de 0 a 10 donde 0 es no lo entendí y 10 lo entendí perfectamente. A continuación, se le lee el primer extracto de los arriba transcritos y se le formulan las siguientes preguntas:
  48. a)¿Ha entendido que Caixabank analizará sus datos personales, su historial de productos contratados y sus visitas a nuestras Apps y sitios web para sugerirle otros productos y/o servicios adaptados a usted que pueden ser de su interés?
  49. b)¿Ha comprendido que las empresas del Grupo Caixabank también analizarán sus datos, su historial de productos contratados y sus visitas a App y sitios web para sugerirle otros productos y/o servicios adaptados a Usted que puedan ser de su interés? Se lee el segundo extracto y se le formula a continuación la siguiente pregunta: “en base al texto de acaba de escuchar, “esperaría que Caixabank y las empresas del grupo le enviaran publicidad por los canales que haya indicado? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/82 La encuesta, según consta se realizó a 171 personas, con los siguientes resultados: A la pregunta A) se entiende que Caixabank analiza sus datos personales, su historial de productos contratados y sus visitas a nuestras Apps y sitios web para sugerir otros productos y servicios un 97.66% responden SI y un 2.34% responden No. El grado de comprensión según la encuesta es el siguiente el 88.30% responden se ha entendido perfectamente, un 9.36% responden se ha entendido y un 2.34% no se ha entendido. A continuación, desglosa el detalle de la valoración de 0 a 10 relacionada con la pregunta A. Respecto de la pregunta B): “Se entiende que las empresas del grupo Caixabank también analizarán sus datos, su historial de productos contratados y sus visitas a apps y sitios web para sugerirle otros productos y servicios adaptados a usted que puedan ser de su interés”, responde Si un 95.32% y No un 4.68%. El grado de comprensión según la encuesta es el siguiente: el 85.38% responden se ha entendido perfectamente, un 9.94% responden se ha entendido y un 4.68% responden que no se ha entendido. A continuación, se desglosa el detalle de la valoración de 0 a 10 relacionada con la pregunta B. Respecto a la tercera pregunta: ¿Esperaría que CaixaBank y las empresas del grupo le enviaran publicidad por los canales que haya indicado?, responden SI un 90.06% de los encuestados y NO un 9.94%. El grado de comprensión según la encuesta es el siguiente el 80.70% responden que se ha entendido perfectamente, un 9.36% responden que se ha entendido y un 9.94% responden que no se ha entendido. A continuación, se desglosa el detalle de la valoración de 0 a 10 relacionada con la pregunta C. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/82 III Conviene, en primer lugar, examinar la primera de las alegaciones planteadas por CPC, por tratarse de una alegación no formulada con anterioridad. Afirma CPC la falta de competencia de la Directora de la AEPD basándose en que su mandato ha expirado. Esta Agencia no puede compartir tales alegaciones, ni la Ley Orgánica 15/1999, ni la actual Ley Orgánica 3/2018 contemplan un término automático, del mandato del director de la AEPD. El artículo 36 de la LOPD configura un sistema para garantizar la independencia de la AEPD, conforme al cual su Director solamente puede ser cesado con anterioridad a la expiración de su mandato en los supuestos previstos en su número 3, de modo que, únicamente, una vez expirado el mismo puede ser cesado por el órgano que lo nombró. Ello comporta que, de la misma manera en que su nombramiento se lleva a cabo mediante Real Decreto, el órgano competente para su nombramiento, esto es, el Consejo de Ministros, una vez expirado el mandato debe declara su cese mediante Real Decreto, sin que quepa que el Director de la AEPD deje de ejercer las funciones que tiene atribuidas sin que se produzca dicho acto formal, que en el momento actual no se ha producido. En otro caso, nos encontraríamos ante un abandono del cargo por parte del Director de la Agencia, que constituiría una falta disciplinaria muy grave, conforme al art. 95.2.
  50. c)del texto refundido de la Ley del Estatuto Básico del Empleado Público, aprobado por Real Decreto Legislativo 5/2015, de 30 de octubre, o art. 6.
  51. c)del Reglamento de Régimen Disciplinario de los Funcionarios de la Administración del Estado, aprobado por Real Decreto 33/1986, de 10 de enero. No resultan de aplicación al presente caso las sentencias del TS invocadas por el recurrente. El supuesto de hecho, idéntico en las 3 sentencias citadas, constituye un caso específico no asimilable a la situación de la dirección de la AEPD. Tal y como figura en tales sentencias el supuesto viene constituido por una situación de encargo de servicios, cuya regulación resulta conveniente incluir aquí a efectos de examinar su diferencia con la del presente supuesto y las consecuencias que derivan de la misma que determinan que no puedan ser aplicadas a la situación de expiración del mandato del director de la AEPD. La regulación contenida en el Real Decreto 123/1997, de la Comunidad Autónoma Catalana era la siguiente: Conforme al conforme al artículo 6.b “Los puestos de trabajo reservados a funcionarios, no obstante lo que disponen las relaciones de puestos de trabajo, también se podrán proveer de forma extraordinaria por algunos de los sistemas siguientes:
  52. b)Encargo de funciones.” Según el artículo 105.1 “El titular del departamento al que esté adscrito un cargo de mando vacante, cuando se produzcan necesidades urgentes, podrá cubrirlo con carácter provisional mediante el encargo de las funciones de este puesto a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/82 funcionario que se adecue al perfil o a las características del mencionado puesto de mando y cumpla los requisitos exigidos para ejercerlo.” El l artículo 106 señala: “1 El nombramiento de un encargo de funciones de puestos de mando o asimilados lo hará directamente el órgano a que se refiere el artículo anterior. Transcurrido el plazo máximo de seis meses a contar desde la fecha de la resolución por la que se efectúa el mencionado encargo, se realizará la correspondiente convocatoria de concurso, salvo que el puesto de trabajo esté reservado a un funcionario por algunos de los motivos establecidos en la normativa vigente. (…) 106.3. El nombramiento en funciones quedará automáticamente sin efecto si, agotado el plazo mencionado en el apartado anterior, no se ha procedido a la publicación del mencionado concurso. En consecuencia, el funcionario deberá volver al puesto de origen que tiene reservado, y no podrá continuar desarrollando las funciones del puesto de trabajo que se le habían encargado ni percibir las retribuciones de este puesto de trabajo. 106.4 No obstante lo que se establece en el apartado anterior, mientras se resuelve la convocatoria de concurso se entenderá prorrogado el plazo máximo de seis meses y vigente el encargo de funciones del puesto de trabajo convocado.” Así pues, en la norma transcrita, nos encontramos ante una provisión de un puesto de trabajo mediante la figura del “encargo de funciones”, nombramiento que necesariamente es provisional y en el que las consecuencias del transcurso del tiempo se encuentran estrictamente fijadas en la propia norma reguladora, consistiendo en que el nombramiento queda automáticamente sin efecto si no se ha producido el concurso a que alude dicha norma y el funcionario debe volver a su puesto de origen sin poder desarrollar las funciones del puesto de trabajo que se le habían encargado. Dicha norma solamente prevé una prórroga del encargo de funciones del puesto hasta tanto se resuelva la convocatoria del concurso, de modo que si el concurso no se convoca, como sucedió en el supuesto de hecho contemplado en la sentencia, no resultaba posible entenderse vigente el encargo de funciones. Así lo expresan las propias sentencias «Poniendo en relación esta normativa con los hechos expuestos se desprende que el nombramiento se produjo el 2 de enero de 2008 por lo que el plazo de ejercicio de las funciones expiraba el 2 de julio de 2008 y, por otro lado, no habiéndose convocado el concurso en dicha fecha no era posible la prórroga de dichas funciones como permite el apartado 4 transcrito. No afecta a lo anterior el que no se hubiera aprobado el marco reglamentario para la provisión de puestos de trabajo en la Agencia Tributaria de Catalunya al ser aplicable a dicho organismo el entonces vigente Reglamento de 1997. La consecuencia anterior es que el nombramiento en funciones había quedado sin efecto produciéndose el cese automático de funcionario encargado en dichas funciones por lo que debe anularse el acuerdo de liquidación por incompetencia funcional de titular del órgano autos del acto», lo que le lleva a estimar la reclamación y anular el acuerdo impugnado” En consecuencia, la doctrina fijada en tales sentencias no resulta aplicable a la extinción del mandato del director de la AEPD, ya que no se trata de un encargo de funciones por necesidades urgentes con los límites y consecuencias que fija la norma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/82 a que la sentencia se refiere. En el caso presente, nada en el estatuto de la AEPD, ni en la ley orgánica 3/2018, ni en la ley 40/2015 indica que se produce un cese automático en el momento en que finaliza el período de tiempo por el que fue nombrado el director de la AEPD, por el contrario, en el nuevo estatuto se recoge expresamente que se continuará en funciones. En segundo lugar, cabe recordar que el nombramiento se hace por el Gobierno mediante Real Decreto a propuesta del Ministro de Justicia, conforme a lo señalado en el artículo 14 del Estatuto de la Agencia de Protección de Datos, aprobado por Real Decreto 428/1993, de 26 de marzo, que establece en su artículo 15 que cesará en el desempeño de su cargo por la expiración del mandato, sin que nada en dicha norma impida la continuación de dicho desempeño en funciones hasta tanto se produzca el nombramiento de un nuevo titular de dicho cargo. A este respecto debe, además, señalarse que ninguna norma requiere que la situación de ejercicio de funciones sea declarada expresamente mediante un acto formal, ni tampoco existe una norma que exija que en la firma del titular de un órgano que se encuentra en funciones se declare tal circunstancia. En segundo lugar se alega que el órgano director se ha suprimido en el nuevo estatuto y que en la Disposición Transitoria Única del Real Decreto 389/2021, no hay previsión alguna respecto de que transitoriamente no sea efectiva tal supresión, por ejemplo, manteniendo como órgano directivo de la AEPD el de “Director”, hasta el nombramiento del titular de la “Presidencia de la Agencia Española de Protección de Datos”, ni hay mención alguna a una potencial aplicación del artículo 12.3 del Estatuto del 2021, que se refiere únicamente a “la persona titular de la Presidencia”, ni tampoco se prevé que el titular del órgano suprimido pase a ser el titular de la Presidencia de la AEPD, de modo que, a partir del 3 de junio de 2021, todos los actos administrativos dictados por el órgano “Directora de la Agencia Española de Protección de Datos” también son actos administrativos en los que concurre un vicio de legalidad que implica la inexistencia jurídica de los mismos, por lo que estaríamos en un supuesto de nulidad de pleno derecho, en tanto estarían dictados por un órgano de la AEPD inexistente., Tampoco puede compartirse esta alegación, El estatuto de la Agencia completa la regulación de la Ley Orgánica 3/2018 concretando el procedimiento de designación del presidente de la entidad, órgano cuya previsión se encuentra en la Ley Orgánica 3/2018, por lo que hasta la publicación del estatuto no se podía proceder a la provisión de dicho cargo, ello no obstante, las funciones de la Agencia deben continuar siendo ejercidas, por lo que, en tanto, no se produzca el nombramiento del presidente en los términos previstos en dicho estatuto al titular del órgano que las ejercía con anterioridad corresponde, sin solución de continuidad, ejercer las funciones del nuevo órgano, la presidencia de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/82 IV En relación con restantes manifestaciones efectuadas en el escrito del recurso, que reproducen las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe indicarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la resolución recurrida. En dichos Fundamentos de derecho se indicaba lo siguiente: II “Con carácter previo, se considera conveniente analizar las alegaciones efectuadas por CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A.U. (en adelante CPC) en base a las cuales solicita la declaración de nulidad de las actuaciones. 1. En la primera de ellas se alega una insuficiente motivación del acuerdo de inicio. Se alega por CPC que no existe conexión directa entre el contenido de la reclamación inadmitida y el inicio de actuaciones previas. Esta Agencia no puede compartir tal alegación, resulta evidente la conexión entre una reclamación en la que se alega un tratamiento de consulta a un sistema de información crediticia y una oferta comercial de un producto, para lo cual se ha llevado a cabo un perfilado, todo ello sin consentimiento del reclamante, y el inicio de actuaciones de investigación de la AEPD sobre los procedimientos de obtención del consentimiento en los procedimientos de perfilado llevados a cabo por CPC cuando aquel constituya la base jurídica que legitime dichos tratamientos. Respecto a que se ha obviado información relevante para la defensa, ya que en el acuerdo de inicio no se hizo referencia al hecho de que el interesado presentó recurso de reposición a la inadmisión de su reclamación y a que éste fue estimado por la AEPD, cabe señalar que en el acuerdo de inicio no se hizo referencia a tal hecho, al que no se atribuye la relevancia que le otorga CPC, toda vez que la propia resolución de inadmisión de la reclamación, de la que se da comunicación al reclamado, advierte que sin perjuicio de ese resultado “la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación”. No obstante lo anterior, dicha información fue incluida en la propuesta de resolución para una mayor claridad de los antecedentes que dieron lugar al inicio de actuaciones de investigación, de modo que CPC ha tenido conocimiento de la mismo en el marco del procedimiento pudiendo alegar cuanto ha tenido por conveniente. 2. La segunda hace referencia el supuesto incumplimiento del artículo 55.1 de la LPACAP, en conexión con el artículo 53 de la LOPDGDD, considerando que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/82 inspección de datos se ha extralimitado, sin ser ésta su función, al ampliar el alcance de las actuaciones previas de investigación definido por el titular del órgano administrativo. Dicha alegación se fundamenta en que el ámbito de investigación determinado por la Directora de la AEPD se refiere a clientes, mientras que el escrito por el que se requiere información a CPC hace referencia a “posibles clientes”. Afirma CPC que, aunque la Agencia reconoce que ha habido un error de transcripción y que no existen tales tratamientos, el hecho de no existir tales tratamientos no disminuye la extralimitación inicialmente planteada ya que, aunque no sabe qué hubiera pasado si tales tratamientos hubieran existido, “es razonable pensar que la investigación se hubiera llevado a cabo fuera del alcance concretado por la Directora de la AEPD” Nuevamente esta Agencia no puede compartir tales razonamientos. Esta Agencia ha reconocido en la propuesta de resolución que se ha producido un error de transcripción en el requerimiento de la Subdirección de Inspección por el que se solicitaba información a CPC, al hacerse referencia no solamente a clientes, sino también a “posibles clientes”. Ahora bien, no se ha realizado actuación alguna sobre tratamientos de datos no incluidos en el ámbito de investigación fijado por la Directora de la AEPD, la propia CPC ha manifestado, en la información facilitada con motivo de tal requerimiento, que no se llevan a cabo tales tratamientos con “`posibles clientes” y en consecuencia no ha facilitado información alguna en tal sentido. Por otra parte, la afirmación de CPC de que aunque no sabe qué hubiera pasado si tales tratamientos hubieran existido, pero “es razonable pensar que la investigación se hubiera llevado a cabo fuera del alcance concretado por la Directora”, carece del más absoluto fundamento. A juicio de esta Agencia, de ninguna manera pueda admitirse que una suposición infundada constituya una causa de anulabilidad del procedimiento. 3. La tercera de las alegaciones hace referencia a una presunta vulneración del principio non bis in ídem, considerando que la misma recogida de consentimientos para la elaboración de perfiles fue objeto de investigación y sanción en el procedimiento sancionador contra CAIXABANK, S.A, número PS/00477/2019. Entiende que existe identidad de sujeto, hecho y fundamento, toda vez que CPC forma parte del grupo CaixaBank, lo que conlleva que muchos tratamientos se realicen en régimen de corresponsabilidad, en particular el tratamiento basado en el consentimiento, descrito como “Análisis de sus datos para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle”, que figura en la letra 6.1.A de la política de privacidad de Caixabank, S.A. Esta Agencia tampoco puede aceptar tal alegación. La resolución del PS/00477/2019, limita su actuación a determinadas actuaciones de la entidad CAIXABANK, S.A., excluyendo expresamente “la actuación que puedan desarrollar las empresas que integran el denominado “Grupo CaixaBank” para el cumplimiento del principio de transparencia o los procedimientos específicos que hayan habilitado para recabar el consentimiento de sus clientes para los tratamientos de datos personales que lleven o pretendan llevar a cabo, o en relación con los otros aspectos reseñados.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/82 A ello debe añadirse que el régimen de corresponsabilidad a que se hace referencia n

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.