İspanya Veri Koruma Otoritesi (AEPD) — gdprhub/aepd-spain-exp202213437

1/89

 Expediente N.º: EXP202213437

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES..........................................................................................................4
PRIMERO:.................................................................................................................4
SEGUNDO:................................................................................................................ 6
TERCERO:................................................................................................................. 6
CUARTO:...................................................................................................................6
QUINTO:.................................................................................................................. 20
SEXTO:.................................................................................................................... 20
SÉPTIMO:................................................................................................................ 20
OCTAVO:.................................................................................................................. 36
NOVENO:................................................................................................................. 36
DÉCIMO:.................................................................................................................. 37
HECHOS PROBADOS................................................................................................58
PRIMERO:............................................................................................................... 58
SEGUNDO:.............................................................................................................. 58
TERCERO:............................................................................................................... 60
CUARTO:................................................................................................................. 60
QUINTO:.................................................................................................................. 61
SEXTO:.................................................................................................................... 61
SÉPTIMO:................................................................................................................ 61
OCTAVO:.................................................................................................................. 61
NOVENO:................................................................................................................. 61
DÉCIMO:.................................................................................................................. 62
DÉCIMO PRIMERO:................................................................................................62
DÉCIMO SEGUNDO:...............................................................................................63
DÉCIMO TERCERO:................................................................................................64

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/89

DÉCIMO CUARTO:..................................................................................................64
DÉCIMO QUINTO:...................................................................................................65
DÉCIMO SEXTO:.....................................................................................................65
DÉCIMO SÉPTIMO:.................................................................................................66
FUNDAMENTOS DE DERECHO.................................................................................67
I Competencia.......................................................................................................... 67
II Cuestiones previas................................................................................................67
III Respuesta a las alegaciones del acuerdo de inicio..............................................68
IV Respuesta a las alegaciones a la propuesta de resolución..................................71
V Artículo 5.1.f) del RGPD........................................................................................83
VI Tipificación de la infracción del artículo 5.1.f) del RGPD......................................84
VII Sanción por infracción del artículo 5.1 f) del RGPD............................................85
VIII Artículo 32 del RGPD.........................................................................................88
XI Artículo 25 del RGPD...........................................................................................94
XII Tipificación de la infracción del artículo 25 del RGPD.........................................97
XIII Sanción del artículo 25 del RGPD......................................................................97
XIV Responsabilidad..............................................................................................100
XV Medidas............................................................................................................ 101
RESUELVE:............................................................................................................... 101

ANTECEDENTES

PRIMERO:
Con fecha 19 de octubre de 2022, A.A.A., en representación de B.B.B. y C.C.C. (en
adelante, reclamante 1 y reclamante 2 respectivamente) interpuso reclamación ante la
Agencia Española de Protección de Datos.

La reclamación se dirige contra CAIXABANK, S.A. con NIF A08663619 (en adelante,
la parte reclamada).

Los motivos en que basa la reclamación son los siguientes:

La representante de los reclamantes manifiesta que sus representados son clientes de
la parte reclamada. La reclamante 1 tiene tres cuentas abiertas con dicha entidad,
figurando en dos de ellas como titular y su madre como autorizada. En la tercera
cuenta (terminada en ***REFERENCIA.1, en adelante cuenta compartida) figuran la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/89

reclamante 1 y el reclamante 2 como cotitulares, no figurando ninguna persona más ni
como titular ni como autorizado.

Manifiesta que, al intentar la reclamante 1 realizar cualquier operativa con sus cuentas
a través de la banca online, se precisa de la firma de la persona autorizada no solo si
la realiza desde alguna de las dos cuentas en las que está autorizada sino también en
caso de que quieran realizar una operación en la cuenta de la que es cotitular el
reclamante 2 (la terminada en ***REFERENCIA.1) y en la que no figura la madre de la
reclamante 1 como autorizada.

Asimismo, cuando la persona autorizada en dos de las cuentas de las que la
reclamante 1 es titular accede al área personal a través de "CaixaBankNow", puede
visualizar no solo la información relativa a las cuentas y a los productos vinculados a
las mismas en las que figura como autorizada, sino que también visualiza la
información relativa a las tarjetas vinculadas a la tercera cuenta (terminada en
***REFERENCIA.1) respecto de la cual no ostenta ninguna capacidad, ni como titular,
ni como persona autorizada.

A raíz de lo ocurrido, presenta numerosas reclamaciones ante la parte reclamada, así
como una reclamación ante el Banco de España, sin que se haya solucionado la
incidencia.

En la reclamación se dice que “La respuesta inicial que se da a la reclamante 1 es que
en algún momento del año 2009 suscribió un “contrato de futuro”, sin precisar cuál ni
facilitar el supuesto documento firmado por B.B.B. y D.D.D., por el que esta última
tendría acceso a toda esa información”.

Documentación relevante aportada por la parte reclamante:

-Hilo de los mensajes de correo electrónico mantenidos por la reclamante 1 con su
gestor de CaixaBank (desde el 14 de enero al 17 de febrero de 2021).
-Copia del escrito de reclamación de la reclamante 1 en el que consta sello de
recepción de la parte reclamada de fecha 17 de febrero de 2021.
-Respuesta de fecha 23 de marzo de 2021 confirmando la recepción de la reclamación.
-Intercambio de correos electrónicos mantenidos por la reclamante 1 con el
Departamento de Protección de Datos de la parte reclamada (en fechas 19 y 21 de
febrero de 2021).
-Documentación relativa al procedimiento seguido ante el Banco de
España(reclamación presentada el ***FECHA.1) entre la que destaca la siguiente:

o Propuesta de solución amistosa de Caixabank (***FECHA.2) por la que se
ofrece una compensación económica y la firma de un acuerdo de desistimiento
de la reclamación, añadiendo la parte reclamada lo siguiente:

 "Parece ser que existió una incidencia técnica con los usuarios de la
reclamante 1 y su madre y que debería ser resuelta con la entrega de
nuevas claves con acceso correctos a la reclamante 1 y a su madre".

o Escrito de la reclamante 1 dirigido al Banco de España en la que comunica
que la incidencia no ha sido solucionada, rechaza la propuesta de solución

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/89

amistosa y solicita la continuación de la tramitación de la reclamación
presentada.

o Informe del Banco de España (de fecha ***FECHA.3) indicando que la
actuación de la parte reclamada podría haber quebrantado la normativa de
transparencia, además de no haber corregido con diligencia la incidencia o
error. Entre la argumentación de dicho informe (apartado 1, criterios
generales) se encuentra la siguiente:

 Los autorizados son personas que, con el consentimiento
expreso de los titulares, pueden disponer con carácter general
del saldo existente en la cuenta. No están facultados para
modificar las condiciones del contrato, ni para cancelar la
cuenta, ni para realizar disposiciones contra la cuenta tras el
fallecimiento del titular. La condición de autorizado se obtiene
por autorización expresa del titular o titulares de la cuenta y
habitualmente por escrito, siendo uso y práctica bancaria que se
recojan en ese momento tanto las firmas de los titulares como
de las personas autorizadas.

En el apartado 2 (estudio de las particulares circunstancias que aquí concurren)
se indica lo siguiente:
La entidad, en sus dos escritos de alegaciones, reconoce la
incidencia o error y comunica que lo ha solucionado. Como
documentación adjunta a sus alegaciones, solo aporta el correo
electrónico que dirigió a la reclamante el 8 de julio de 2021, en el que
sus letrados manifestaban que, según comentado telefónicamente,
deseaban hacer llegar a la reclamante la voluntad de CaixaBank de
encontrar una solución amistosa a la situación y que, había existido
una incidencia técnica con los usuarios, la oficina iba a iniciar los
trámites para verificar que las claves se emitían de forma correcta,
antes de citarlas para hacerle entregas de las mismas, y para
compensarle por la demora en la resolución del caso le ofrecerían
una compensación de 150 €

-Copia de la reclamación presentada por el reclamante 2 ante la parte reclamada (el 5
de octubre de 2021)

-Copia de la respuesta de la parte reclamada a este escrito presentado por la parte
reclamante 2 (de fecha 27 de octubre de 2021) indicando que el asunto está siendo
dilucidado ante el Banco de España.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/89

SEGUNDO:
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), el 21 de febrero de 2022, se dio traslado de dicha reclamación a la parte
reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo
de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos
en la normativa de protección de datos.

Con fecha 10/02/2023 la parte reclamada presenta escrito de contestación al traslado
indicando lo siguiente:

“Con motivo de la reclamación trasladada por esta Agencia, se ha revisado por parte
de CaixaBank la operativa y autorizaciones habilitadas en el servicio de Banca Online
(CaixaBank NOW) de la reclamante, de esta revisión no se ha podido comprobar lo
alegado en su reclamación respecto a la visibilidad de sus productos por parte de
otros autorizados en su Banca Online y la necesidad de firma de estos autorizados al
realizar la reclamante operaciones en los productos sobre los que se pretende operar.

Por todo ello, hemos solicitado a la reclamante mantener una entrevista personal con
el equipo técnico especializado en CaixaBank NOW, así como el gestor habitual de la
clienta, con la finalidad de restaurar y reconfigurar las autorizaciones de sus productos
de acuerdo a sus indicaciones y precisiones. Se adjunta comunicación enviada a la
dirección de correo electrónica facilitada por la clienta, del cual esperamos respuesta a
fecha de contestación de este escrito. Anexo I”.

La comunicación a la que hace referencia el Anexo I del escrito de contestación al
traslado es un correo electrónico enviado de: DELEGADO PROTECCION DATOS al
correo electrónico de la reclamante 1 en fecha 09/02/2023.

TERCERO:
Con fecha 19 de enero de 2023, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO:
La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

La reclamante 1 puso en conocimiento de la parte reclamada los hechos contenidos
en la reclamación presentada ante la AEPD:

Así, aporta diversos correos de fechas 11/01/2021 y 14/01/2021 entre ella y
[email protected] en los que se incorporan capturas de
pantalla de la hucha digital en los que figuran los siguientes mensajes: “Has preparado

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/89

correctamente la operación y la has enviado a firmar a los firmantes requeridos”
figurando como firmantes la reclamante 1 y como firmante 2 su madre y “Su petición
de multifirmas se ha realizado correctamente pero no hemos podido avisar a todos los
firmantes. La operación finalizará cuando la hayan confirmado todos los firmantes
necesarios” si bien no queda claro cuál es la cuenta asociada a la hucha digital.

También aporta varios correos mantenidos con su gestor personal de CAIXABANK,
entre el 10/02/2021 y el 17/02/2021, en los que la reclamante 1 vuelve a poner de
manifiesto que su madre tiene acceso a la visualización de sus cuentas, tanto de las
que es titular en exclusiva como de la que es cotitular junto con el reclamante 2,
pudiendo ver esas cuentas así como las tarjetas asociadas a las mismas, la hipoteca,
el PIAS, etc.

También aporta escrito de reclamación sobre cesión de datos a terceros dirigido al
Defensor del Cliente o Servicio de Atención al cliente, de fecha 16/02/2021 en los que
pone de manifiesto los siguientes hechos:

1º.- Que para poder realizar operaciones tipo “creación de huchas” en cualquiera de
sus cuentas, ya sea de titularidad exclusiva o compartida con el reclamante 2, la
reclamante 1 necesita tanto su firma como la de su madre.

2º.- Cesión de datos por parte de La Caixa a un tercero sin autorización:

- Todas las tarjetas vinculadas a la cuenta acabada en ***REFERENCIA.1 (son
3 tarjetas) son vistas por una persona que no es ni titular ni autorizada de dicha
cuenta.

-Todo lo vinculado a las cuentas ***REFERENCIA.2 y ***REFERENCIA.3,
hipotecas, seguro de vida, seguro del hogar, tarjetas PIAS… es visualizado por la
persona autorizada en esas cuentas.

-Que estos hechos ya han sido comunicados de forma reiterada a su sucursal,
sin que se haya corregido estas incidencias a fecha de este escrito.

Solicita que se ordenen las instrucciones oportunas para:

- Que La Caixa solucione el error de firma.

- Se envíe el contrato de futuro.

- Soluciones para el enorme problema de cesión de los datos tanto de la reclamante 1
y como del reclamante 2 a una persona sin previa autorización.

- Anulación del supuesto contrato a futuro.

Asimismo, aporta la respuesta de fecha 23/03/2021 del Servicio de Atención al Cliente
de CaixaBank en el que manifiesta que se ha recibido la reclamación y que tratarán de
resolverla a la mayor brevedad posible.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/89

También aporta las comunicaciones con el correo electrónico
[email protected] entre el 19/02/2021 y el 21/02/2021
poniendo en su conocimiento los hechos objeto de la reclamación.

Y, aporta las comunicaciones con [email protected]. En estas comunicaciones
y actuando como letrados de CAIXABANK se le envía una propuesta de acuerdo para
resolver la reclamación formulada por la reclamante 1, indicando que se han
solventado las incidencias de la reclamación y que a cambio de que renuncie a
presentar cualquier reclamación le van a indemnizar con 150 €. La reclamante 1 en
estas comunicaciones muestra su disconformidad con que se hayan resuelto las
incidencias de la reclamación y en ningún momento acepta la indemnización
propuesta.

La parte reclamada era consciente de los hechos reclamados desde que se pusieron
en su conocimiento los mismos por diversos hilos de correos.

En el Informe del Departamento de Conducta de Entidades del Banco de España en
relación con la reclamación presentada por B.B.B., contra la entidad CAIXABANK,
S.A., de 23 de diciembre, tras centrar el objeto de la reclamación presentada ante el
Banco de España en el hecho de que “la reclamante (1) relata que tiene tres cuentas y
en dos de ellas está autorizada su madre y en otra (de nº terminado en
***REFERENCIA.1) ella comparte titularidad con otra persona, C.C.C.. Muestra su
disconformidad porque, según dice, su madre tiene acceso a información sobre la
tercera cuenta y tarjetas asociadas así como a los productos asociadas a las dos
primeras cuentas (seguros, hipoteca, préstamos, etc.), para los cuales no le otorgó
autorización. Acusa a la entidad de vulnerar así sus derechos y los del otro cotitular.

Afirma que comunicó ese hecho a la entidad en enero de 2021 y posteriormente
reclamó, pero la entidad no le proporcionó respuesta”.

También recoge las alegaciones de la parte reclamada señalando que “solicita de
nuevo el archivo del expediente por allanamiento y manifiesta que ha realizado las
regularizaciones oportunas de sus marcas de control (sustitución de la de “apoderada”
por la de “autorizada”), fuente del error administrativo padecido, con lo que se
actualizan y corrigen automáticamente las facultades de visualización de la madre de
la reclamante. Habla de que en esa fecha la madre de la reclamante podía realizar
consultas, a través del servicio de banca digital por internet CaixaBankNow,
únicamente sobre los productos de los que es autorizada: las cuentas a la vista
número …***REFERENCIA.2 y …***REFERENCIA.3:”

Y las alegaciones de la parte reclamante a las manifestaciones anteriores de la parte
reclamada en los siguientes términos “Afirma que, aunque la documentación aportada
por CAIXABANK indica que todo está solucionado, a esa fecha (02/09/2021) es
mentira y aporta videos demostrativos”.

Pasando a continuación a expresar la “Opinión del Departamento” en donde tras fijar
los siguientes “Criterios generales”: “Los autorizados son personas que, con el
consentimiento expreso de los titulares, pueden disponer con carácter general del
saldo existente en la cuenta (…)”. “(…) La condición de autorizado se obtiene por
autorización expresa del titular o titulares de la cuenta y habitualmente por escrito,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/89

siendo uso y práctica bancaria que se recojan en ese momento tanto las firmas de los
titulares como de las personas autorizadas”.

Y que “Este Departamento ha reiterado que, en general, las facultades de actuación
del autorizado dependerán del documento de autorización suscrito;”

Señalando en el “Estudio de las particulares circunstancias que aquí concurren” que:

“En este caso, la reclamante (1) es titular de tres cuentas y manifiesta haber
autorizado a su madre solo en dos de ellas. Aporta videos de los que resulta que su
madre, con su usuario en internet, tiene acceso a información sobre todos sus
productos (de la reclamante) incluyendo una cuenta y productos en los que no fue
autorizada. La entidad, en sus dos escritos de alegaciones, reconoce la incidencia o
error y comunica que lo ha solucionado”. Y que “La reclamante (1), no obstante, en
sus distintos escritos, el último de 2 de septiembre de 2021, indica que el problema
seguía sin solucionarse y aporta videos demostrativos”.

Concluyendo en su informe que “Este Departamento considera que la actuación de la
entidad podría haber quebrantado la normativa de transparencia y protección de la
clientela bancaria, (…), en la medida en que, habiendo puesto de manifiesto la titular
de una cuenta su discrepancia con el hecho de que la autorizada accediera a
información sobre sus productos, no respondió en plazo a la reclamación, ni
demuestra haber corregido con diligencia la incidencia o error”.

Con fecha 24/05/2023 se remitió a la parte reclamada requerimiento de información al
objeto de esclarecer los hechos contenidos en la reclamación presentada por la parte
reclamante en los siguientes términos:

1.- La aportación de los informes técnicos o recomendaciones elaborados por el
Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que
fuera su formato, respecto de los tratamientos sobre los que se solicita información,
así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los
citados informes técnicos o recomendaciones.

2.- La decisión adoptada a propósito de esta reclamación.

3.- Informe sobre las causas que han motivado la incidencia que ha originado la
reclamación.

4.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias
similares, fechas de implantación y controles efectuados para comprobar su eficacia.

5.- Cualquier otra que considere relevante. Además, se deberá aportar información
sobre:

6.- Los datos que posee CAIXABANK respecto de los titulares y autorizados en las
tres cuentas a las que se refiere la reclamación, y respecto de los productos
vinculados a las mismas. Se deberán aportar los contratos en virtud de los cuales se
poseen esos datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/89

7.- Si B.B.B. y su madre firmaron en el año 2009 un “contrato de futuro” se deberá
aportar copia de dicho contrato.

8.- ¿Cuál es la operatoria que sigue CAIXABANK para permitir a sus clientes operar a
través de la banca online en el caso de que existan titulares y autorizados en una
misma cuenta? En concreto se deberá aportar los movimientos de las tres cuentas en
los que se haya exigido la firma de D.D.D., desde enero de 2021 hasta la fecha del
presente requerimiento.

9.- En relación con la aplicación de banca electrónica de Caixabank (Caixabank Now),
¿Qué Protocolos tiene establecidos CAIXABANK para los accesos los titulares y
autorizados en las cuentas a través de dicha aplicación, a las cuentas, a los servicios
asociados a las mismas, a ambos? En concreto, ¿Qué accesos o autorizaciones ha
tenido en relación con las tres cuentas objeto de reclamación D.D.D., desde enero de
2021 hasta la fecha del presente requerimiento a través de dicha aplicación?

10.- ¿Cuáles son las medidas de seguridad que en relación con la protección de datos
se han establecido en la aplicación de banca electrónica de Caixabank (Caixabank
Now), para garantizar que a través de la misma solo pueden acceder las personas que
están realmente autorizadas?

11.- ¿Cuáles son las medidas de seguridad que tiene previstas CAIXABANK para
evitar posibles incidencias técnicas para que no se produzcan hechos como los
recogidos en esta reclamación?

12.- ¿Cuál ha sido la participación del Delegado de Protección de Datos en relación
con las medidas adoptadas? Se deberán aportar los informes técnicos o
recomendaciones que en su caso haya realizado al respecto.

En fecha 16/06/2023 la parte reclamada presentó escrito de contestación al
requerimiento en el que manifestaba entre otros aspectos que en relación con el
mencionado escrito, remitían la siguiente información/documentación:

En relación con el punto 1 del requerimiento la parte reclamada manifiesta que “El
Delegado de Protección de Datos ha coordinado, junto con los responsables de
seguridad de la Entidad al análisis de la reclamación de B.B.B. y, ante la imposibilidad
de reproducir los incidentes descritos por la Reclamante (1), propuso mantener una
reunión con ella en la que, acompañados de especialistas en las aplicaciones de
banca online de la Entidad, se intentaran reproducir los supuestos errores y, de
resolverse que no había incidencia técnica sino una configuración de visualizaciones
incorrecta por parte de la usuaria, se le ayudara a configurar los accesos conforme a
sus requerimientos. Esta sugerencia fue adoptada y se traslado a la Reclamante (1) y
a la AEPD.

En ejecución de la recomendación del DPD, desde CaixaBank se intentó mantener
con la Reclamante (1) una cita presencial en su oficina gestora con la finalidad de
configurar, según sus preferencias, las facultades de operación y visualización de sus
productos a los usuarios autorizados designados en su contrato de Banca Online.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/89

La Reclamante (1) ha declinado en varias ocasiones a través de su gestor mantener
esta cita presencial para la revisión de sus preferencias de visualización y operativa de
sus autorizados, por lo que desde CaixaBank nos ha resultado imposible conocer si la
configuración actual del contrato de Banca Online de la Reclamante (1) se adecua, o
no, a sus preferencias.

A su vez, desde CaixaBank se han revisado las diferentes opciones de visualización y
facultades de operación respecto al contrato de Banca Online (CaixaBankNOW) de la
Reclamante (1) desde que se dio de alta a D.D.D. en el mismo, no detectando
ninguna incidencia y confirmando los siguientes aspectos: (se adjuntan pantallas de
cada una de las autorizaciones)

i. En fecha 03 de febrero de 2021 se realiza por parte de la Reclamante (1), B.B.B., la
contratación de la Banca Online (contrato de CaixaBankNOW). En el proceso de alta
de este contrato de Banca Online, la Reclamante (1) incluyó a su madre, D.D.D. como
autorizada en este contrato, con un nivel de “Todo permitido” el cual, según se recoge
en el contrato firmado por la Reclamante (1) , da autorización a este apoderado a
operar sobre los productos sobre los que se permite la visualización, en concreto las
cuentas acabadas en ***REFERENCIA.2 y ***REFERENCIA.3 y a los productos
vinculados a estas cuentas. Se adjunta el contrato de CaixaBank NOW firmado por la
Reclamante como Anexo I.

ii. En fecha 4 de agosto de 2021, a petición de la Reclamante (1), se realizó una
modificación sobre las opciones descritas en el punto anterior respecto a la
visualización y gestión establecidas en el alta para D.D.D., modificando el nivel de
visualización de “Todo permitido” a “Personalizada”. y ampliando la visibilidad sobre
las cuentas de la Reclamante. En concreto, se permitió la visibilidad de las cuentas
terminadas en: ***REFERENCIA.2, ***REFERENCIA.3, ***REFERENCIA.1.

iii. En fecha 10 de agosto de 2021, desde la oficina gestora, a petición de la
Reclamante (1), se excluyeron de la visibilidad de la autorizada otros productos, como
se puede observar en la imagen adjunta, la visualización de las tarjetas asociadas al
contrato de Banca Online no puede visualizarse por parte de la autorizada en esta
fecha.

iv. En fecha 11 de agosto de 2021 se realizó, por parte de la Reclamante (1), en su
oficina gestora, otra modificación respecto de las opciones de visualización de la
autorizada en su contrato de Banca Online, estado en el que se encuentra a la f echa
de la presente reclamación. Según esta modificación de la Reclamante, la autorizada,
D.D.D., volvía a tener autorización para visualizar los contratos de tarjetas y todas las
cuentas de la Reclamante.

Por todo ello, y a fecha de la recepción de esta reclamación, la operativa y
visualización de la autorizada de la Reclamante (1) en su contrato de Banca Online
entendemos que es correcta y se corresponde a los ejemplos que la misma aporta en
sus reclamaciones, al estar la visualización de los productos permitidos por la
Reclamante en su contrato de CaixaBankNOW, tal y como se detalla en las
explicaciones que se adjuntan en el punto 3 posterior”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/89

En relación con el punto 2 del requerimiento. La parte reclamada manifiesta que “tal y
como se informó a esta Agencia y reitera en el presente escrito, revisados los
permisos de visualización de los autorizados en el contrato de CaixaBankNOW de la
Reclamante (1), no se encontró ninguna incidencia, motivo por el que se intentó
mantener una entrevista personal con la Reclamante para que pudiera trasladarnos
personalmente sus preferencias respecto a las opciones de visualización y gestión de
la autorizada en su contrato de CaixaBankNOW. A fecha del presente escrito, la
Reclamante ha declinado esta propuesta de entrevista personal. No se han adoptado
más actuaciones al no tener más instrucciones de la Reclamante”.

En relación al punto 3 del requerimiento la parte reclamada manifiesta que “no se ha
detectado desde CaixaBank ninguna incidencia en la operativa de la Banca Online de
la Reclamante (1) y las reclamaciones sobre las funcionalidades de la banca online de
la Reclamante (1) se deben a sus propias elecciones en la configuración de las
visualizaciones. Analizando en detalle el video aportado por B.B.B. como supuesta
prueba de una incidencia, y en lo alegado en su reclamación donde indica que la
autorizada en su Banca Online puede ver movimientos de tarjetas que no están
asociadas a B.B.B. sino a C.C.C., podemos confirmar que la operativa reproducida
en el video es correcta, y lo es por los siguientes motivos:

• El video, fechado a 01 de septiembre de 2021, recoge como D.D.D. (autorizada)
puede visualizar el contrato de tarjeta N.º (…) ***REFERENCIA.5, titularidad de
B.B.B.. Visualización correcta al tener la autorizada permitida la consulta de estos
productos en esa fecha.

• En este contrato de tarjeta, titularidad de la Reclamante (1), existen varias tarjetas
vinculadas (beneficiarias), tres de ellas a nombre de C.C.C.. (se adjunta detalle del
contrato de tarjeta y del video). Este extremo es de especial relevancia para clarificar
alguna de las reclamaciones de la Reclamante (1): los contratos de estas tarjetas no
son titularidad de C.C.C., son titularidad de la Reclamante (1), B.B.B., quien ha
solicitado que se emitan tarjetas a favor de un tercero (C.C.C.). Por ello, la
Reclamante (1) como titular del contrato tiene acceso a todos los movimientos y, por
ende, también los tienen las personas a las que la propia titular autoriza, en este
caso, D.D.D.. no accede a un contrato de C.C.C., accede a un contrato de la
Reclamante (1), B.B.B., que ha solicitado tarjetas a nombre de un beneficiario,
C.C.C..

Avanzando en el video, se observa como la autorizada, de acuerdo con las opciones
de visualización establecidas por la Reclamante, puede acceder a este contrato de
tarjeta N.º (…) ***REFERENCIA.5, y los movimientos de las tarjetas asociadas al
mismo, al ser titularidad de B.B.B.. (se adjunta detalle de los movimientos del contrato
de tarjeta y del video)

Por todo lo expuesto en este punto, y a lo largo del presente escrito, se concluye que
la operativa que visualiza la autorizada es correcta, ya que los movimientos de las
tarjetas que visualiza el 01 de septiembre de 2021 (fecha del video aportado) son los
asociados a todas las tarjetas beneficiarias del contrato de tarjeta N.º (…)
***REFERENCIA.5 titularidad de la Reclamante (1), B.B.B., y configurada por ella la
opción de visualización de tarjetas desde el 11 de agosto de 2021. Por ello, desde
CaixaBank, al recibir la reclamación remitida por la Agencia, comprobado el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/89

funcionamiento correcto del contrato de banca online de la Reclamante y no encontrar
incidencia alguna, se ha insistido a la Reclamante, y así hemos informado a esta
Agencia, en mantener una entrevista personal entre ella y técnicos de la Entidad, para
realizar las modificaciones que estime oportunas para que sus autorizados visualicen
los productos según sus preferencias”.

En relación con el punto 4 del requerimiento señala la parte reclamada que “no se han
adoptado medidas adicionales a las ya implantadas para el desarrollo y seguridad de
sus aplicaciones, al no detectarse incidencia alguna en la presente reclamación”.

En relación al punto 6 de la reclamación la parte reclamada indica que “En la
reclamación traslada por esta Agencia se hace referencia a tres cuentas titularidad de
la Reclamante, en concreto:

i. Cuenta terminada en ***REFERENCIA.1

En esta cuenta constan como titulares: B.B.B. y C.C.C..

A dicha cuenta se encuentran vinculados los siguientes productos:

Contrato de tarjeta N.º (…) ***REFERENCIA.5: Titularidad de B.B.B.. Asociadas a
este contrato de tarjeta se encuentra como beneficiario y tenedor de tres tarjetas
C.C.C..

Contrato de CaixaBank NOW (…) ***REFERENCIA.7: Titularidad de C.C.C..

ii. Cuenta terminada en ***REFERENCIA.2 En esta cuenta consta como titular B.B.B.
y como firmas reconocidas D.D.D. y E.E.E...

A esta cuenta consta vinculado el siguiente producto: Contrato de CaixaBank NOW (..)
***REFERENCIA.6. Titularidad de B.B.B. y donde consta D.D.D. como autorizada.
Este contrato firmado por la titular esta adjunto ya a este escrito como anexo I.

iii. Cuenta terminada en ***REFERENCIA.3 En esta cuenta consta como titular B.B.B.
y como firma reconocida D.D.D..

“A dicha cuenta se encuentran vinculados los siguientes productos”: 5 contratos de
tarjetas con diversas tarjetas asociadas a los mismos y todos ellos de titularidad de la
parte reclamada 1; 1 préstamo hipotecario, donde figuran la parte reclamada 1, como
titular, y, otros dos avalistas; 3 contratos de seguro titularidad de la parte reclamante 1
y; 1 plan de pensiones, también, de titularidad de la parte reclamante 1.

En relación con el punto 7 del requerimiento manifiesta la reclamada que: “No se ha
podido identificar el “contrato de futuro” a que se hace referencia, no existiendo, salvo
error, en la cartera de productos de la entidad un contrato con esa denominación, y no
habiendo localizado en el año citado ningún contrato de la Reclamante y su madre
que pudiera atender a esta denominación”.

En relación con el punto 8 del requerimiento de información la parte reclamada
manifiesta que sus clientes “pueden permitir el acceso de terceros autorizados a su

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/89

banca digital; en consecuencia, cuando una persona consta como autorizada por el
cliente titular (el supuesto que nos ocupa), esta persona, en su condición de tercero
autorizado (en este caso, la madre de la Reclamante (1)) dispone del correspondiente
acceso a la información del cliente titular autorizante (la Reclamante (1)). Esta
operativa de los autorizados en el contrato de Banca Online, se encuentra descrita en
el contrato que firman los clientes y que, para el caso concreto que nos ocupa, firmó la
Reclamante (1) y consta como adjunto a este escrito como anexo I.

En dicho contrato, se recoge expresamente:

“1.2. Adicionalmente, usted puede nombrar a otras personas para que puedan usar su
CaixaBankNOW:

➢ Usuarios autorizados:
➢ Usuarios personalizados: de acuerdo con los siguientes niveles:
• Básico
• Consulta
• Consulta y
• Todo permitido.
• Detallado”.

A su vez, todos los clientes tienen disponible, en todo momento en su banca online, la
consulta del detalle de su contrato de CaixaBankNOW.

Dentro de configuración personal tienen la opción habilitada “Consultar mi contrato de
banca digital CaixaBankNOW”, donde aparecen todos los datos del contrato, usuarios
autorizados y nivel de acceso. Adjuntamos pantalla de ejemplo.

Y no solo la operativa de consulta se encuentra disponible para todos los clientes
titulares de contratos de CaixaBankNOW, también pueden realizar ellos mismos las
modificaciones de visualización sobre los productos de sus autorizados según sus
preferencias”.

Y que, “Revisada la operativa realizada por la Reclamante (1) en su banca online, así
como por su autorizada, D.D.D., no se han encontrado operativas donde se haya
exigido la firma de la autorizada para la ejecución de operaciones iniciadas por la
Reclamante”.

En relación con la aplicación de banca electrónica de CaixaBank (CaixaBankNOW) a
la que se refiere el punto 9, manifiesta la parte reclamada que:

“Los protocolos de acceso de los titulares y autorizados a las cuentas y servicios por
titulares y autorizados son los que se han descrito en el apartado 8 de este escrito,
que están definidos por el cumplimento de los requisitos establecidos por la normativa
PSD2 (Payment Services Directive).

(…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/89

En concreto, ¿Qué accesos o autorizaciones ha tenido en relación con las tres
cuentas objeto de la reclamación D.D.D., desde enero de 2021 hasta la fecha del
presente requerimiento a través de la aplicación?

Se adjunta detalle de los accesos y autorizaciones de D.D.D. a las tres cuentas objeto
de la reclamación como anexo IV.

El ultimo acceso a los productos de la Reclamante a través de la Banca Online que
consta en nuestros sistemas por parte de D.D.D. es de septiembre de 2021”.

En relación con el punto 10 del requerimiento manifiesta la parte recurrente que “tiene
implantados unos reglamentos internos de obligado cumplimiento, realizados en virtud
de la Política de Seguridad de la Información del Grupo CaixaBank, que recogen los
requerimientos de seguridad en todo tipo de banca que se realice por medios
electrónicos, los cuales garantizan la aplicación de los requisitos mínimos de
seguridad en este ámbito.

Respecto a las medidas de seguridad relativas al acceso de los clientes de CaixaBank
a su banca online, adicionalmente a las medidas adicionales implantadas por la
entidad, la normativa vigente aplicable a CaixaBank en este ámbito, como entidad de
pago, conocida como normativa PSD2 (Payment Services Directive), y en concreto:

• El Reglamento Delegado (UE) 2018/389 de la Comisión, de 27 de noviembre, por el
que se complementa la Directiva (UE) 2015/2633 del Parlamento Europeo y del
Consejo en lo relativo a las normas técnicas de regulación para la autenticación
reforzada,

• Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas
urgentes en materia financiera,

Obliga a CaixaBank a establecer unos controles de seguridad relativos al acceso de
sus clientes a su cuenta en línea, y obliga, entre otros aspectos, a que cuando
accedan lo hagan con autenticación reforzada.

(…).

En concreto, para el desarrollo y funcionamiento de la banca electrónica
(CaixaBankNOW) se detallan a continuación las medidas de seguridad, genéricas y
concretas, implantadas que garantizan, en todo momento, tanto el acceso seguro por
parte de los titulares de los contratos de banca electrónica, como la certeza o garantía
de acceso únicamente de las personas legitimadas para acceder a la información.

(…)

Y una serie de “REQUERIMIENTOS DE SEGURIDAD ESPECÍFICOS (…).

En relación con el punto 11 del requerimiento señala en su escrito que “no se
establecerán medidas de seguridad adicionales a las ya implantadas para el desarrollo
y funcionamiento de su Banca Online al no detectarse incidencia técnica que haga
necesaria la implantación de nuevas medidas”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/89

En relación con el punto 12 del requerimiento manifiesta que:

“El delegado de Protección de Datos de CaixaBank participa e interviene en la fase
inicial de diseño de todos los tratamientos de datos personales que se realizan en la
entidad como asesor y supervisor del cumplimiento de la normativa sobre privacidad,
participando de forma adecuada y en tiempo oportuno en todas las cuestiones de
protección de datos.

Tal como exige la normativa de protección de datos, CaixaBank se ha dotado tanto de
la metodología necesaria para realizar las evaluaciones de impacto de todos los
tratamientos que vaya a realizar la entidad, como de un Comité específico, en
concreto el Comité de Gestión del Riesgo y Evaluaciones de Impacto: comité
delegado del Comité de Privacidad, encargado del análisis y la aprobación de
cualquier Nuevo Tratamiento, donde la participación del DPD está presente en todo
momento.

En el presente escrito se recogen los análisis realizados tanto por el Delegado de
Protección de Datos como por el área de Seguridad de la Información de CaixaBank
respecto de las medidas de seguridad implantadas para el acceso y gestión de la
banca electrónica por parte de los clientes que garantizan la protección de los datos
personales de los clientes y usuarios de los canales de atención electrónica”.

De lo expuesto, los Servicios de Inspección destacan los aspectos siguientes:

Los términos en los que se plantea la cuestión que subyace en la reclamación consiste
en determinar si el procedimiento de la parte reclamada en el que se recoge la
operativa para el acceso a la información de productos financieros por terceros
distintos de los titulares, permitía a la madre de la reclamante 1 el acceso a las
cuentas de titularidad única de la reclamante 1 y a la cuenta de titularidad conjunta de
la reclamante 1 y del reclamante 2, así como a los productos a tales cuentas
asociados y a sus movimientos; y si para la realización de ciertas operaciones en las
cuentas de los reclamantes se requería también la firma de la madre de la reclamante
1.

Del escrito de contestación al requerimiento y de la documentación incorporada al
mismos se observan, los siguientes extremos:

La parte reclamada manifiesta que tiene un procedimiento que recoge la operativa
para el acceso a la información de productos financieros por terceros distintos de los
titulares, donde se recoge cómo es el sistema de autorizaciones, las tipologías de
permisos que hay, y alcance de éstos, señalando que:

“Esta operativa de los autorizados en el contrato de Banca Online, se encuentra
descrita en el contrato que firman los clientes (…)”.

En las condiciones generales del contrato firmado por la reclamante 1 se recoge
expresamente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/89

“1.2. Adicionalmente, usted puede nombrar a otras personas para que puedan usar su
CaixaBankNOW:

➢ Usuarios autorizados: usted autoriza a estas personas para que puedan acceder a
su CaixaBankNOW en los niveles de Acceso básico, Consulta o Consulta y
preparación (vea el punto siguiente), excepto que usted nos indique lo contrario.

Esta autorización queda sin efecto cuando termina el plazo de tiempo por el que usted
la ha autorizado, o si nos comunica que ya no quiere que la persona sea autorizada.

➢ Usuarios personalizados: usted puede decidir el grado de acceso que otorga a
estas personas, de acuerdo con los siguientes niveles:

• Básico: permite al usuario presentar documentos para realizar distintas operaciones,
como domiciliaciones, transferencias, etc., que requieren la firma del titular o de un
usuario con plenas facultades.

La finalidad es que el usuario prepare las operaciones para que usted, como titular, las
consienta con posterioridad.

• Consulta: permite al usuario consultar los servicios contratados, así como su
operativa concreta.

• Consulta y preparación: es la suma de los dos niveles anteriores.

• Todo permitido: el usuario puede acceder a todos los servicios que ofrece
CaixaBankNOW.

• Detallado: el usuario puede tener distintos niveles de acceso, según el tipo de
servicio: cuenta corriente, fondo de inversión, seguro, etc.”

A su vez, todos los clientes tienen disponible, en todo momento en su banca online, la
consulta del detalle de su contrato de CaixaBankNOW.

La parte reclamada aporta copia del contrato CaixaBankNOW nº (…)
***REFERENCIA.6 de la reclamante 1 en el que ésta figura como primer y único titular,
de fecha 03/02/2021, asociada a la cuenta acabada en ***REFERENCIA.2 en el
apartado de este contrato “USUARIOS AUTORIZADOS” Personas que pueden
acceder a su CaixaBankNow figura la madre de la reclamante 1, que tiene asignado
como número de usuario el terminado en ***REFERENCIA.8 y Nivel Operativo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/89

También aporta copia del contrato CaixaBankNOW nº (…) ***REFERENCIA.7 del
reclamante 2 en el que éste figura como primer titular, de fecha 18/01/2021, asociado
a la cuenta acabada en ***REFERENCIA.1, y en la que no figura ningún usuario
autorizado.

Aplicación al caso particular de los reclamantes

La parte reclamante 1 es titular en exclusiva de los siguientes productos:

i. Cuenta acabada en ***REFERENCIA.2 En esta cuenta consta como titular
B.B.B. y como firmas reconocidas D.D.D. y E.E.E...

A esta cuenta consta vinculado el siguiente producto: Contrato de CaixaBank NOW
(…) ***REFERENCIA.6. Titularidad de B.B.B. y donde consta D.D.D. como
autorizada.

i. Cuenta corriente acabada en ***REFERENCIA.3 En esta cuenta consta como
titular B.B.B. y como firma reconocida D.D.D..

La parte reclamante 1 y la parte reclamante 2 son cotitulares del siguiente producto:

i. Cuenta acabada en ***REFERENCIA.1.

A dicha cuenta se encuentran vinculados los siguientes productos de la parte
reclamante:

- Contrato de tarjeta N.º (…) ***REFERENCIA.5: Titularidad de B.B.B..

Según declara la parte reclamada asociadas a este contrato de tarjeta se encuentra
como beneficiario y tenedor de tres tarjetas C.C.C..

En relación con la información facilitada hay que señalar que si bien se adjunta copia
del contrato de la tarjeta N.(…) ***REFERENCIA.5 cuya titularidad es de la parte
reclamante 1, en dicho contrato no figura ningún beneficiario/tenedor de otras tarjetas
asociadas a este contrato; si bien, si aparece un apartado “Mantenimiento tarjeta
adicional (beneficiario) 48 euros al año por tarjeta”

Y que en el captura de pantalla presentada como documentación justificativa de que la
parte reclamante 2 es el beneficiario/tenedor de tres tarjetas solicitadas por la parte
reclamante 1 se ha realizado la consulta por “Tarjetas del contrato” donde aparecen
cuatro tarjetas en 1 de ellas figura como titular la reclamante 1 y en las otras 3 figura
como titular el reclamante 2, y figurando en dos de estas tarjetas en el campo “Tipo”
“Apple Pay – Smart Phone”. Mientras que en el resto de capturas de pantalla referidas

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/89

a las otras cuentas la consulta para mostrar las tarjetas asociadas es por “Personas
relacionadas”.

- Contrato CaixaBankNOW (…) ***REFERENCIA.7: Titularidad de C.C.C..

La parte demanda sostiene en su escrito de contestación al requerimiento de
información que si la madre de la reclamante tuvo acceso a los productos financieros
de los reclamantes 1 y 2 es porque contaba con los permisos de visibilización
adecuados para verlos al estar como autorizada en el contrato CaixaBankNOW de la
reclamante 1, habiendo sido ésta quien solicitó a la parte reclamada que realizara las
modificaciones para que en cada fecha su madre pudiera tener visibilidad de los
productos a los que accedía.

Al respecto cabe señalar que si bien aporta capturas de pantalla de las modificaciones
a las que hace referencia, indicando que se han hecho a petición de la parte
reclamante 1, no aporta evidencia alguna de la existencia de la petición de la parte
reclamante 1, o de que ésta haya realizado personalmente las modificaciones.

Además, cabe señalar que en su escrito de alegaciones complementarias presentado
ante el Departamento de Conducta de Entidades del Banco de España en respuesta al
escrito remitido por ese Departamento de fecha ***FECHA.4, la parte reclamada tras
manifestar en su alegación única “Que CaixaBank ha procedido a realizar las
regularizaciones oportunas de sus marcas de control (sustitución de la de “apoderada”
por la de “autorizada”), fuente del error administrativo padecido, con lo que se
actualizan y corrigen automáticamente las facultades de visualización que la madre de
la reclamante tiene de los productos de ésta, gracias a lo cual actualmente consta que
a través del servicio de banca digital por internet CaixaBankNow la madre de la
reclamante puede realizar consultas únicamente sobre los productos de los que es
autorizada, que son actualmente las cuentas a la vista número (…) ***REFERENCIA.2
y (…) ***REFERENCIA.3” manifiesta que justifica “las regularizaciones realizadas en
este sentido, tanto respecto a las cuentas como de limitación de los movimientos de
tarjetas” aportando dos capturas de pantalla, de fecha ***FECHA.4, la primera es la
misma captura de pantalla que la presentada en el escrito de contestación al
requerimiento de información donde, aparece marcada con un click de verificación en
verde el acceso a las cuentas acabadas en ***REFERENCIA.3 y en
***REFERENCIA.2 y con un aspa rojo las cuentas acabadas en ***REFERENCIA.4 y
***REFERENCIA.1, esta misma captura de pantalla también aparece, después de otra
captura de pantalla en la que aparece como fecha de modificación 03/02/2021, siendo
el objeto de la modificación: el usuario; la acción realizada: el alta; el número de
usuario: el acabado en 01; el nombre del usuario: el de la madre de la recurrente 1; y
como valor después de la modificación: Todas permitidas.

Y el segundo, es el mismo pantallazo que el recogido en el escrito de contestación al
requerimiento de información, donde se indica que “En fecha 10 de agosto de 2021,
desde la oficina gestora, a petición de la Reclamante, se excluyeron de la visibilidad
de la autorizada otros productos, como se puede observar en la imagen adjunta, la
visualización de las tarjetas asociadas al contrato de Banca Online no puede
visualizarse por parte de la autorizada en esta fecha”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/89

En relación con los accesos y autorizaciones de D.D.D. a las tres cuentas objeto de la
reclamación que la parte reclamada aporta como anexo IV, conviene, señalar que este
anexo IV es una Hoja de Excel con tres pestaña: “Accesos CaixabankNOW”, en la que
figuran accesos entre 04/02/2021 y 03/08/2021, durante este periodo la madre de la
reclamante 1 tiene acceso a las cuentas con dos perfiles distintos como usuario
acabado en 01, accede con el perfil de apoderada; y entre el 10/08/2021 y 29/09/2021
como usuario acabado en 02, accede con el perfil de autorizada); “Consultas Cuentas
CaixabankNOW”, en la que figura que como usuario 02 consultó los movimientos de
las tres cuentas objeto de la reclamación presentada en las fechas antes indicadas y
que el 10/08/2021 como usuario 02 realizó 15 consultas a la cuenta acabada en
***REFERENCIA.1 entre las 15:07 y las 15:48 horas; y, “Movimientos Firmados”,
donde figuran dos movimientos realizados como usuario 01 entre marzo y julio de
2021.

QUINTO:
La entidad CAIXABANK, S.A. tiene un volumen de negocio de 964.711 millones de
euros, de conformidad con los datos indicados en la página 11 de la presentación de
resultados publicada por la propia entidad en octubre de 2023.

SEXTO:
Con fecha 16 de enero de 2024, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo
dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del artículo 25 del RGPD y del artículo 32 del
RGPD, tipificadas en el artículo 83.4 del RGPD y del artículo 5.1.f) del RGPD tipificada
en el artículo 83.5 del RGPD.

SÉPTIMO:
Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que, en síntesis, manifiesta dos alegaciones:

El procedimiento sancionador debe archivarse por ausencia de tipicidad, apoyando su
afirmación en lo siguiente:
 El ejercicio de los derechos a través de terceros.
 D.D.D. estaba autorizada por B.B.B. para visualizar la información relativa a la
Cuenta Compartida, actuando válidamente como sustituta en el ejercicio de su
derecho.
 Ejercicio de la Autonomía informativa
Y como segunda alegación señala que actuó con base en una interpretación
coherente, histórica y consolidada de la norma de conformidad con el código civil.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/89

Las alegaciones presentadas por la entidad reclamada se respaldaron con las
siguientes afirmaciones:

“El procedimiento sancionador debe archivarse por ausencia de tipicidad.
El acceso a la cuenta compartida por la representante de la cotitular fue
consentido porC.C.C.: la cuenta compartida se sujeta al régimen de solidaridad.
La cuenta compartida es de naturaleza solidaria, por lo que cualquiera de sus
cotitulares está facultado para consultar de forma individual la información de la
cuenta, siendo irrelevante si tal derecho se ejercita por el cotitular o por un tercero
autorizado por este.
La titularidad compartida de una situación jurídica exige determinar el régimen al
que deberá sujetarse el ejercicio de los derechos por parte de los sujetos que
forman parte de esa titularidad compartida.
El ejercicio de los derechos por parte de los titulares de una situación jurídica
compartida puede organizarse de dos modos: a través de la “solidaridad”, o por
medio de la “mancomunidad”.
La solidaridad implica que cada uno de los cotitulares puede ejercer la totalidad
de los derechos relativos a la situación jurídica compartida de forma individual e
independiente de los demás, de suerte que cada uno de los cotitulares tiene
“derecho a pedir…íntegramente las cosas objeto de la misma” (artículo 1.137 del
Código Civil), como si fuera un titular único. Por el contrario, la mancomunidad
(arg. artículo 1.139 del Código Civil), exige la concurrencia simultánea de todos
los titulares para que el acto jurídico sea producido de forma válida. Los derechos
deben ejercerse “en mano común” por todos los cotitulares, que no pueden
ejercer los derechos de forma individual, como es propio de la solidaridad.
En este sentido, la diferencia de que una cuenta bancaria sea solidaria o
mancomunada es que en el primer caso los cotitulares podrán ejercitar los
derechos que les atribuya el contrato con la entidad bancaria de forma
independiente y sin requerir la concurrencia del otro cotitular. En cambio, si la
cuenta bancaria se sujeta al régimen de mancomunidad, será necesario el
consentimiento de todos los cotitulares para ejercitar cualquier derecho previsto
en el contrato de cuenta corriente.
Lo anterior resulta expresamente de la cláusula 1 de las condiciones generales del
Contrato de Cuenta Corriente, al establecer lo siguiente:
“1.3. Usted puede ser único titular (titularidad individual) o compartir cotitularidad
con otras personas. Si comparte cotitularidad con otras personas, puede hacerlo
en la modalidad de responsabilidad «solidaria» o en la de responsabilidad
«mancomunada».
1.4.ILa responsabilidad solidaria es la que aplicaremos si no nos dice lo contrario;
significa que cada uno de los titulares puede operar por sí solo y ejercitar todos
los derechos del contrato, incluso cancelarlo, excepto que una ley indique lo
contrario.
1.5.ISolo si nos lo pide expresamente, y consta en las condiciones particulares,
aplicará la modalidad de responsabilidad mancomunada. Esto significa que será

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/89

necesaria la firma y aceptación de todos o de varios titulares para realizar
cualquier operación”.

Pues bien, en el caso que nos ocupa, las partes del Contrato de Cuenta Corriente
pactaron que cada uno de los titulares de la Cuenta Compartida podría ejercer de
forma válida sus derechos en relación con esa cuenta de forma independiente del
otro, sin la concurrencia del otro titular. Lo anterior resulta del apartado cuarto de
las condiciones particulares en los siguientes términos:

4. DECISIONES SOBRE EL CONTRATO
Modalidad Solidaria (si tiene dudas diríjase a la cláusula 1 de las
condiciones generales)

Así las cosas, cada uno de los cotitulares tenía “derecho a pedir” (artículo 1.137
del Código Civil) cuanto resulte de la Cuenta Compartida, de forma que tanto
B.B.B. comoC.C.C. pueden actuar de forma independiente, sin necesidad de que
concurra el otro cotitular para operar y ejercitar los derechos previstos en el
Contrato. Lo anterior resulta expresamente de la cláusula 1.4 de las condiciones
generales del Contrato cuyo tenor literal establece lo siguiente:
1.4.ILa responsabilidad solidaria es la que aplicaremos si no nos dice lo contrario;
significa que cada uno de los titulares puede operar por sí solo y (…), excepto que
una ley indique lo contrario.

Pues bien, uno de los derechos reconocidos en las condiciones generales del
Contrato es precisamente el acceso a la cuenta y, en particular, la consulta del
saldo y los movimientos, estableciéndose como posible canal para el ejercicio de
ese derecho la plataforma de banca digital. Así, la cláusula 2.1 de las condiciones
generales del Contrato establece lo siguiente:
“Usted puede [...] acceder al resto de los servicios de pago y consultar el saldo y
los movimientos [...] a través de CaixaBank Now”.
Atendiendo al régimen de solidaridad establecido por las partes del Contrato,
cualquiera de los cotitulares de la Cuenta Compartida está facultado para consultar
el saldo y los movimientos de esa cuenta de forma independiente y sin requerir de
la concurrencia del otro cotitular. En eso consiste la solidaridad.
El ejercicio de los derechos a través de terceros.
El ejercicio individual de un derecho comprende de forma inherente la decisión de
su titular sobre cómo quiere ejercitar tal derecho, bien por cuenta propia o bien a
través de un tercero autorizado que, siendo una suerte de alter ego del
representado, actúe en su sustitución. En particular, en el ámbito de la autonomía
de su voluntad, el titular del derecho puede decidir ejercitarlo por sí mismo o por
medio de un tercero habilitado al efecto, a través de un apoderamiento.
Este régimen es el mismo que se establece, sin condicionantes, en el artículo 12
de la LOPD, el derecho de acceso (reconocido en el artículo 15 del RGPD) puede
“ejercerse directamente o por medio de representante legal o voluntario”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/89

Esta decisión sobre la forma de ejercitar del derecho (por cuenta propia o a través
de un tercero) está comprendida en el ámbito de la autonomía de la voluntad de su
titular, según recuerda de forma ilustrativa la Audiencia Provincial de A Coruña en
su sentencia núm. 396/2008 de 22 de septiembre (AC 2008/1960) en los
siguientes términos:
“El fundamento de todo apoderamiento y representación radica en la voluntad del
dominus que, al amparo de la libre autonomía de la voluntad dimanante del art.
1255 del CC, confiere su representación a otra persona, el apoderado, para que
actúe en su nombre en el tráfico jurídico, generándose de tal forma la denominada
hetero eficacia representativa. La voluntad de conferir dicha representación se
manifiesta a través de un negocio jurídico: el apoderamiento. Salvo excepciones
(poder para contraer matrimonio o el general para pleitos, sin perjuicio de su
otorgamiento apud acta ante el Secretario Judicial) rige en la materia el principio
de libertad de forma [...].”
En el mismo sentido, las “Guidelines 01/2022 on data subject rights - Right of
access. Version 2.0. Adopted on 28 March 2023” emitida por el “European Data
Protection Board recuerdan que la forma y el alcance del apoderamiento es una
cuestión que escapa del ámbito de la protección de datos, al establecer que “las
legislaciones nacionales que regulan la representación (por ejemplo, los poderes
notariales), [...] deben tenerse en cuenta, ya que el RGPD no regula esta
cuestión”. En el ordenamiento jurídico español, como se ha expuesto, el negocio
jurídico del apoderamiento no está sujeto a ninguna formalidad.
Aplicando lo anterior a las situaciones de cotitularidad solidaria, cada uno de los
titulares puede ejercitar los derechos que le corresponden de forma independiente
del otro cotitular, bien por sí mismo, bien a través de un tercero que lo represente.
Estamos ante una consecuencia necesaria del régimen jurídico de solidaridad: el
titular del derecho puede ejercitarlo como considere más oportuno.
Por tanto, en el momento en que se acordó que la Cuenta Compartida se sujetara
a la “modalidad solidaria” (cláusula 4 de las condiciones particulares del Contrato
de Cuenta Corriente) ambos Cotitulares consintieron que cada uno de ellos
pudiera ejercitar sus derechos de forma individual, consintiendo por tanto que, en
el marco del ejercicio individual y al amparo de la autonomía de la voluntad de
cada cotitular, los derechos fueran ejercitados por cuenta propia del cotitular o por
un tercero autorizado por este.
Así las cosas, y en el momento en que los cotitulares ( B.B.B. y C.C.C.)
consintieron que la Cuenta Corriente se sujetara al régimen de solidaridad,
aceptaron como consecuencia necesaria que cada uno de ellos de forma
independiente pudiera ejercitar los derechos relativos a esa Cuenta (en particular
el derecho de acceso a la información de la Cuenta) de la forma que considerase
oportuna: por sí mismo o bien autorizando a un tercero debidamente habilitado
para el ejercicio de ese derecho.
Eso es precisamente lo que sucedió en nuestro caso, en el que B.B.B. (una de las
cotitulares solidarias) podía acceder a los datos de la Cuenta Compartida por sí o
autorizando a un tercero. Con base en lo anterior, B.B.B. autorizó a su madre
(D.D.D.) para que en su representación accediera a los datos de la Cuenta
Compartida. Lo anterior es una manifestación concreta del régimen de solidaridad

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/89

que los cotitulares pactaron con CaixaBank (y que debía ser respetado por
CaixaBank en cumplimiento de la documentación contractual).
(…)
La representación se define en términos genéricos como aquella figura jurídica en
virtud de la cual se confiere a una persona (representante) la facultad de actuar
jurídicamente por cuenta e interés de otra persona (representado).
Atendiendo a su fundamento, la representación puede ser voluntaria (si surge de
un acto de autonomía privada del representante) o legal (si la representación es
imperativa por emanar de una disposición legal). En relación con la diferencia
entre representación voluntaria y representación legal resulta especialmente
ilustrativa la sentencia de la Sala de lo Civil del Tribunal Supremo de 22 de junio de
1979 (RJ 1979/2908) al establecer lo siguiente:
“[...] es de tener en cuenta que netamente existe una clara y precisa distinción
entre la representación legal y la representación voluntaria, en cuanto mientras la
primera encuentra estrictamente su fundamento en la Ley, y por tanto fuera del
ámbito de la autonomía privada, la segunda tiene su causa en el hecho de que el
representado confiere voluntariamente su representación al apoderado, teniendo
en consecuencia su origen en dicha autonomía privada y encontrando en ella la
razón de su eficacia, revelando en definitiva, que en el ordenamiento jurídico
español mientras la representación voluntaria es una mera concesión de
legitimación de representante, la representación legal emana de un poder de
representación que descansa inmediatamente en una disposición legal [...]”.
Por tanto, a diferencia de la representación legal, la representación voluntaria se
configura como una manifestación de la autonomía privada del titular de derechos
individuales, que decide libremente que un tercero le sustituya en el ejercicio de
tales derechos en los términos encomendados.
El negocio jurídico a través del que se materializa la relación representativa a
efectos externos es el apoderamiento, que es precisamente el acto jurídico en
virtud del cual una persona concede voluntariamente a otra un poder de
representación con el alcance concreto que se determine.
Debe señalarse que la esencia del apoderamiento se encuentra en el hecho de
que el representante despliega una actuación por cuenta del representado que
tiene efectos en la esfera jurídica de aquel. Por tanto, la representación es la
institución por la cual un sujeto (representante) sustituye a otro (representado) en
la realización de la actividad jurídica.
De forma coherente con lo anterior, y en tanto que la representación determina la
sustitución del representado por el representante en el tráfico jurídico, la base de la
relación representativa es la confianza y la fidelidad entre representante y
representado, configurándose así como una relación de carácter personal.
Debe recordarse que el negocio jurídico de apoderamiento, basado en una
relación de confianza y fidelidad, se sujeta al mismo esquema legal que el
mandato y, por tanto, no está sujeto a ninguna formalidad, pudiendo incluso ser
tácito, según establece el artículo 1710 del Código Civil en los siguientes términos:
“El mandato puede ser expreso o tácito.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/89

El expreso puede darse por instrumento público o privado y aun de palabra. La
aceptación puede ser también expresa o tácita, deducida ésta última de los actos
del mandatario”.
Por consiguiente, la regla general es la libertad de forma de la declaración de
voluntad del principal, lo que ha sido confirmado por la jurisprudencia. Así a modo
de ejemplo, la Sala de lo Civil del Tribunal Supremo en su sentencia 133/1994 de
25 de febrero (RJ 1994/1263) recordó lo siguiente:
“[...] es doctrina jurisprudencial que el apoderamiento no viene sujeto a forma «ad
solemnitatem» tal como establece el artículo 1710, párrafo 2.º, CC, e incluso
puede nacer de una declaración de voluntad tácita sin que a ello se oponga la
exigencia formal señalada en el número 5.º [...] ”.
Entrando a analizar el caso concreto, es preciso poner de manifiesto que
CaixaBank Now permite a sus usuarios “nombrar a otras personas para que
puedan usar su CaixaBank Now”, pudiendo conceder distintos “grados de acceso”
a favor de los terceros autorizados. Así el apoderamiento que se realice con base
en el sistema de CaixaBank Now es jurídicamente completo y, desde luego, de
obligado cumplimiento para CaixaBank.
En particular, y según resulta de la cláusula 1.2 de las condiciones generales del
Contrato de CaixaBank Now, se diferencian los siguientes “grados de acceso” que
pueden concederse a los terceros autorizados, cuya elección concreta determinará
el alcance de la autorización:
“Básico: permite al usuario presentar documentos para realizar distintas
operaciones, como domiciliaciones, transferencias, etc., que requieren la firma del
titular o de un usuario con plenas facultades.
La finalidad es que el usuario prepare las operaciones para que usted como titular,
las consienta con posterioridad.
(…)

Por tanto, de conformidad con la documentación contractual, el titular del contrato
de CaixaBank Now puede autorizar a terceros para que accedan a los servicios de
la plataforma digital, pudiendo determinar en cada caso el alcance de la
autorización otorgada (eligiendo en cada caso el “grado de acceso” que concede).
Lo anterior evidencia que CaixaBank permite a los clientes definir el alcance del
apoderamiento que conceda caso a caso. Y ese apoderamiento (con el concreto
alcance en el que haya sido conferido) debe respetarse por CaixaBank, de forma
que si no permitiese acceder a la plataforma el tercero autorizado incurriría en un
incumplimiento del Contrato CaixaBank Now.
Así las cosas, el sistema de apoderamiento que ofrece CaixaBank Now se
configura como un verdadero sistema de apoderamiento digital, permitiendo que
los titulares de los correspondientes contratos puedan autorizar a terceros para
que actúen por su cuenta en los términos en los que hayan sido expresamente
autorizados en el ámbito de acceso a la plataforma digital.
Este es un instrumento muy útil: el titular de la cuenta corriente puede acceder a
aquella a través de CaixaBank Now y, además, puede apoderar, por ejemplo, a
asesores fiscales, gestores, administradores o, en general, a cualquier tercero

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/89

para que acceda a las cuentas del titular. El apoderamiento documental tradicional
viene a ser sustituido por el apoderamiento virtual a través de CaixaBank Now.
Pues bien, en el presente caso, y en virtud del Contrato CaixaBank Now, B.B.B.
autorizó a su madre (D.D.D.) para que pudiera acceder a la información de las
cuentas de las que es titular, de forma que, amparada en su autonomía de la
voluntad, autorizó a su madre para que pudiera acceder a la plataforma digital por
su cuenta. Este es un apoderamiento jurídicamente completo.
En este sentido, importa destacar que el alcance del apoderamiento concedido a
favor de B.B.B. incluía la visualización de los datos de la Cuenta Compartida. Así,
y habiendo podido limitar el objeto de la autorización a los datos de las cuentas de
su única titularidad, B.B.B. decidió libre y unilateralmente que la autorización
concedida a favor de D.D.D. comprendiera los datos de la Cuenta Compartida, de
forma que CaixaBank debía permitir a D.D.D. acceder a los datos de la Cuenta
Compartida.
Ejercicio de la Autonomía informativa
Es muy importante destacar que el alcance de la autorización fue expresamente
decidido por B.B.B. amparada en su autonomía de la voluntad. En efecto, el
sistema de CaixaBank Now permite a los usuarios seleccionar expresamente las
opciones de visualización que se conceden a los terceros autorizados, sin que en
ningún caso CaixaBank imponga un sistema por defecto del que el usuario no sea
consciente. El sistema de representación voluntaria desarrollado por CaixaBank es
plenamente respetuoso con la autonomía informativa de los usuarios. Permite
decidir al usuario con absoluta precisión facultar al representante o autorizado bien
para consultar (i.e. visualizar) bien para operar (i.e. disponer), y dentro del ámbito
de consulta delimitar también los concretos productos.
CaixaBank es el destinatario del alcance de la autorización concedida por el
cliente. Si el cliente concede una autorización a un tercero, CaixaBank deberá
atender al alcance de la autorización concedida. Y, por tanto, deberá permitir el
acceso autorizado, así como, en hipótesis, entregar los datos que en su caso
solicite ese tercero autorizado incluidos en el ámbito de la autorización.
A continuación, se exponen los hitos temporales relevantes de los que resulta que,
efectivamente, el alcance de la autorización concedida a favor de B.B.B.
comprendía el acceso a la Cuenta Compartida. En particular:
El 3 de febrero de 2021 B.B.B. suscribió el Contrato de CaixaBank Now y en el
proceso de alta de ese Contrato incluyó a D.D.D. como autorizada, según resulta
de las capturas de pantalla que se aportaron con el escrito de 15 de junio de
CaixaBank contestando al requerimiento de la AEPD (y que se reproducen a
continuación para mayor facilidad). En esta primera configuración, B.B.B. limitó el
acceso de D.D.D. a las cuentas de las que B.B.B. era la única titular, excluyendo
la posibilidad de acceder a información relativa a la Cuenta compartida. Esto
quiere decir que D.D.D. no incluía la visibilidad de la Cuenta Compartida (que
acaba en 462), por haberse excluido expresamente por B.B.B., titular del Contrato
de CaixaBank Now.
No obstante, la configuración sobre la visibilidad de las cuentas se modificó
expresamente por B.B.B..

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/89

En particular, el 4 de agosto de 2021 se modificó la configuración de visualización
inicial, permitiendo a D.D.D. visualizar la operativa concreta de la Cuenta
Compartida. Concretamente, como consecuencia de ese cambio de configuración
(que se realizó a petición de B.B.B.), D.D.D. no solo quedó facultada para
visualizar las Cuentas de las que únicamente es titular B.B.B., sino que también
quedó autorizada para visualizar la Cuenta 462 (que es la Cuenta Compartida).
Así, a partir del 4 de agosto de 2021, B.B.B. autorizó expresamente que D.D.D.
pudiera acceder a información de la Cuenta compartida a través de la plataforma
de banca digital, de forma que el alcance del apoderamiento pasó a comprender
también el acceso a la Cuenta Compartida.
El 10 de agosto de 2021 se realizó una nueva modificación de la autorización
conferida a D.D.D. modificando así su alcance y excluyendo de tal autorización la
visualización de las tarjetas asociadas al Contrato CaixaBank Now.
Por tanto, como consecuencia de la referida modificación, se limitó la autorización
otorgada a favor de D.D.D., excluyendo de sus facultades la visualización de los
movimientos que se realizaran con las tarjetas asociadas a las distintas cuentas.
El 11 de agosto de 2021 B.B.B. volvió a modificar el alcance de la autorización
otorgada a favor de D.D.D., reintegrando la facultad de consultar la operativa de
las tarjetas asociadas a las cuentas titularidad de B.B.B.. Lo anterior resulta de la
siguiente captura de pantalla: (…)
Así las cosas, el alcance del apoderamiento a favor de D.D.D. en los términos
modificados el 11 de agosto de 2021 incluye la consulta de los movimientos de la
Cuenta Compartida, así como los movimientos de las tarjetas asociadas a esas
cuentas. Debe señalarse que este era el alcance del apoderamiento en el
momento en que se formuló la reclamación de la que trae causa el Acuerdo de
inicio. Y ese era precisamente el alcance que CaixaBank debía respetar en
cumplimiento del Contrato CaixaBank Now.
Por todo lo anterior debe concluirse que el alcance del apoderamiento a favor de
D.D.D. en los términos expresamente conferidos por B.B.B. comprende el acceso
a la plataforma de la banca digital respecto de todas las cuentas de B.B.B.
(incluyendo la Cuenta Compartida), así como el acceso a la información vinculada
a las tarjetas asociadas a esas cuentas. Ese es el alcance del apoderamiento que
confirió B.B.B. de forma libre y unilateral y, por tanto, ese es el apoderamiento
que CaixaBank tenía que respetar.
Lo anterior, como se avanzaba, tiene consecuencias muy relevantes, tanto desde
una perspectiva contractual civil como por lo que se refiere al ámbito de la
protección de datos. En particular, si, en relación con los datos de una cuenta
solidaria, CaixaBank no permite acceder a un tercero autorizado por uno de los
cotitulares, estará incumpliendo el contrato, así como el apoderamiento concedido
por aquel.
En efecto, y en este caso concreto, si CaixaBank (contraparte del Contrato de
Cuenta Corriente) hubiera impedido el ejercicio de los derechos que correspondían
de forma solidaria a B.B.B. a través de un tercero (D.D.D.) habría incumplido de
forma clara el Contrato de Cuenta Corriente, así como el Contrato CaixaBank Now.
En efecto, B.B.B. tenía “derecho a pedir” (artículo 1.137 del Código Civil) lo que
resulta del Contrato de Cuenta Corriente, por sí o por medio de cualquier tercero y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/89

CaixaBank (artículos 1.090, 1.254 y 1.258 del Código Civil) debía permitir el
ejercicio de los derechos de la contraparte a que se obligó en virtud del Contrato
de Cuenta Corriente, con independencia de que el sujeto que los ejerciera fuera
uno de los titulares de la Cuenta Compartida o un tercero debidamente apoderado
a través del sistema CaixaBank Now.
En este sentido, importa destacar que la forma y el alcance del apoderamiento es
una cuestión que escapa del ámbito de la protección de datos, según recuerdan
las “Guidelines 01/2022 on data subject rights - Right of access. Version 2.0.
Adopted on 28 March 2023” al establecer expresamente lo siguiente:
En este sentido, las legislaciones nacionales que regulan la representación (por
ejemplo, los poderes notariales), [...] deben tenerse en cuenta, ya que el RGPD no
regula esta cuestión.
De conformidad con el principio de responsabilidad, así como de los demás
principios de protección de datos, los responsables del tratamiento deberán poder
demostrar la existencia de la autorización pertinente para [...] recibir la información
solicitada, salvo si la legislación nacional difiere (por ejemplo, si la legislación
nacional contiene normas específicas relativas a la fiabilidad de los responsables
del tratamiento).
En el ordenamiento jurídico español, como se ha expuesto, el negocio jurídico del
apoderamiento no está sujeto a ninguna formalidad, de suerte que el
apoderamiento para el acceso a la Cuenta Compartida realizado con base en el
Contrato CaixaBank Now es jurídicamente completo y, desde luego, de obligado
cumplimiento para CaixaBank.Procedería, llegados a este punto, hacerse la
siguiente pregunta retórica:
Si D.D.D. hubiera acudido a CaixaBank con un poder notarial que la amparara a
solicitar el derecho de acceso a los datos de B.B.B., ¿debería CaixaBank haberle
únicamente entregado la información relativa a los contratos en los que B.B.B.
era titular única, por no aportar autorización de los cotitulares del resto de
contratos?
Y si generalizamos, cuando un apoderado (el representante legal o voluntario que
indica el artículo 12 LOPD) solicite un ejercicio del derecho de acceso, ¿deben los
responsables de los datos negar al acceso a los datos de los productos con
cotitulares hasta que se aporte autorización de los cotitulares?
Claramente la respuesta, atendiendo a la práctica actual y las instrucciones y
resoluciones de la propia AEPD, es que se debe atender el derecho de acceso
completo, pese a que se ejerza mediante representante, salvo que la AEPD
pretenda cambiar el criterio mediante esta resolución. Y debe tenerse en cuenta
que lo habitual es que los clientes tengan diversidad de productos, con diversidad
de cotitulares en ellos (familiares, parejas, socios, etc.), y esta modificación del
criterio supondría una afectación muy profunda a la capacidad de ejercer el
derecho de acceso (u otros) mediante representante.
Y dicho todo lo anterior, ¿Qué diferencia hay entre el ejercicio del derecho de
acceso y la consulta de la información por un servicio de banca on line?
Por lo demás, el acceso de D.D.D. a los datos de la Cuenta Compartida es
acorde a Derecho por ser coherente con la naturaleza solidaria de la Cuenta
Compartida. En efecto, en el momento en que C.C.C. consintió que la Cuenta

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/89

Compartida fuera solidaria (como efectivamente hizo al firmar el Contrato de
Cuenta Corriente), consintió que B.B.B. pudiera ejercitar sus derechos en calidad
de cotitular de forma individual y, por tanto, consintió que B.B.B., amparándose
en su autonomía privada, pudiera ejercitar tales derechos de la forma que
considerara oportuna, bien por su cuenta, bien por medio de un tercero
autorizado. Y si el cotitular decide libremente ejercitar su derecho por medio de un
tercero y le apodera a tal efecto a través del sistema ofrecido en CaixaBank Now
(que se configura como un sistema jurídicamente completo atendiendo a la
libertad de forma del negocio del apoderamiento), CaixaBank debe respetarlo y,
por tanto, debe permitir el acceso al tercero autorizado.
En definitiva, en el momento en que C.C.C. consintió que la cuenta fuera solidaria,
consintió que B.B.B. accediera a la información de la cuenta a través de
CaixaBank Now y, por tanto, consintió que tal acceso pudiera realizarlo bien
B.B.B. por su cuenta, bien un tercero que B.B.B. autorizara a tal efecto (como
efectivamente sucedió al apoderar a D.D.D.).
Lo anterior determina que D.D.D., amparándose en la autorización concedida por
B.B.B., pudiera, por un lado, acceder a los datos de la Cuenta Compartida (en
tanto que tales datos estaban comprendidos en el alcance del poder a su favor) y,
por otro lado, requerir a CaixaBank que le entregara los referidos datos. En caso
de que CaixaBank no hubiera permitido el acceso o se hubiera negado a
entregarle los datos solicitados, CaixaBank habría incurrido en un incumplimiento
del Contrato CaixaBank Now y del Contrato de Cuenta Compartida. Como
consecuencia de lo anterior, el procedimiento sancionador debe archivarse por
ausencia de tipicidad. En efecto, el acceso a la Cuenta Compartida por la
representante de la cotitular fue consentido por C.C.C..
Como consecuencia de lo anterior, el procedimiento sancionador debe archivarse
por ausencia de tipicidad. En efecto, el acceso a la Cuenta Compartida por la
representante de la cotitular fue consentido por C.C.C..
El Acuerdo de inicio considera de forma improcedente, dicho sea con el debido
respeto, que supuestamente CaixaBank habría incurrido en determinadas
infracciones tipificadas en el RGPD. En particular, las infracciones cuya
imputación trata de sostener el Acuerdo de incoación son las siguientes:
i) Supuesta vulneración del artículo 5.1.f) del RGPD que establece el
principio de confidencialidad de los datos.
En particular, el Acuerdo de incoación considera que se habría
vulnerado tal principio en tanto que, según su entender (improcedente
dicho sea con el debido respeto), C.C.C. “no ha dado autorización a la
madre de [ B.B.B.] para que acceda a los datos de la tarjeta asociada
a la cuenta de las que los dos reclamantes son titulares”. El Acuerdo de
incoación califica la supuesta vulneración del principio de
confidencialidad como una infracción muy grave al amparo del artículo
72 del RGPD.
i) Supuesta infracción del artículo 32 del RGPD que establece la
obligación de los responsables del tratamiento de aplicar “medidas
técnicas y organizativas apropiadas para garantizar un nivel de
seguridad adecuado al riesgo”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/89

En particular, el Acuerdo de incoación considera que CaixaBank no
contaría con medidas de seguridad adecuadas en tanto que “se ha
seguido manteniendo el acceso de la madre de la reclamante a la
cuenta que los reclamantes tienen en común, pese a que la madre de
la parte reclamante 1, no es titular ni persona autorizada para acceder
a dicha cuenta”. El Acuerdo de incoación califica la supuesta ausencia
de medidas de seguridad adecuadas como una infracción grave al
amparo del artículo 73 del RGPD.
ii) Supuesta infracción del artículo 25 del RGPD por supuestamente haber
vulnerado la protección de los datos “desde el diseño de la aplicación
informática”.
En particular, el Acuerdo de incoación considera que CaixaBank habría
vulnerado la protección de los datos “desde el diseño”, en la medida en
que según la AEPD “a través de la banca online no se debería poder
nunca permitir que una persona accediese a datos personales
obrantes en cuentas en las que no se es titular ni persona autorizada”.
El Acuerdo de incoación califica la supuesta vulneración de la
protección de los datos “desde el diseño” como una infracción grave al
amparo del artículo 73 del RGPD.
Debe advertirse inmediatamente que el fundamento en el que el Acuerdo de
incoación trata de sostener la comisión de las infracciones indicadas es la
supuesta falta de consentimiento de C.C.C. a que B.B.B. accediera a la
información de la Cuenta Compartida. Lo anterior resulta de forma ilustrativa del
siguiente párrafo del Acuerdo de incoación:
“Sin embargo, de conformidad con los hechos constatados, parece que la banca
online de la entidad reclamada no exige el consentimiento de todos los titulares,
sino que le basta con tener el consentimiento de uno de los titulares para permitir
el acceso a terceros, lo cual vulnera la protección de datos de los titulares que
formando parte de una cuenta de titularidad conjunta no hayan dado su
consentimiento o autorización para que terceros puedan acceder a los
movimientos de una cuenta de su titularidad, cuando dicha cuenta es compartida
con otros titulares”.
En efecto, sobre la base de esta supuesta falta de consentimiento de C.C.C. (lo
que se niega en todo caso) el Acuerdo de incoación construye la supuesta
vulneración del principio de confidencialidad, la supuesta ausencia de medidas
adecuadas para proteger los datos personales y el supuesto diseño deficiente de
la plataforma de la banca digital.
No obstante, el planteamiento del Acuerdo de incoación ignora un elemento de
cabal importancia: La Cuenta Compartida está sujeta al régimen de solidaridad (y
no de mancomunidad). En efecto, como se ha expuesto, la Cuenta Compartida es
solidaria, de modo que C.C.C. en el momento de suscribir el Contrato de la
Cuenta Compartida consintió que B.B.B. accediera a la información de la cuenta
a través de CaixaBank Now y, por tanto, consintió que tal acceso pudiera
realizarlo bien B.B.B. por su cuenta, bien a través de un tercero que B.B.B.
autorizara a tal efecto (en este caso D.D.D.). La decisión sobre el ejercicio de los
derechos reside en el ámbito de la autonomía de la voluntad de su titular, siendo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/89

indiferente si lo ejercita por su cuenta o a través de un tercero por medio de un
apoderamiento.
Y si el cotitular decide libremente ejercitar su derecho por medio de un tercero y le
apodera a tal efecto a través del sistema ofrecido en CaixaBank Now (que se
configura como un sistema jurídicamente completo atendiendo a la libertad de
forma del negocio del apoderamiento), CaixaBank debe respetarlo y, por tanto,
debe permitir el acceso al tercero autorizado. De lo contrario CaixaBank incurriría
en un incumplimiento del Contrato CaixaBank Now.
Se sigue de lo anterior, que el planteamiento del Acuerdo de incoación
únicamente sería correcto en caso de que la Cuenta Compartida fuera
mancomunada. En ese caso B.B.B. debería solicitar el consentimiento de C.C.C.
para ejercitar el derecho de acceso a la cuenta. Pero ese planteamiento no se
corresponde con la realidad de los hechos.
En definitiva, el acceso de D.D.D. fue consentido por C.C.C., en tanto que la
Cuenta Compartida se sujetó por expreso consentimiento de las partes a la
“modalidad solidaria”.
Partiendo de la anterior premisa, decaen los tipos infractores sobre los que el
Acuerdo de incoación pretende basar el procedimiento sancionador. En efecto:
i) No se vulneró el principio de confidencialidad (en tanto que C.C.C.
consintió que B.B.B. ejercitara su derecho de acceso de forma
individual, lo que comprende el apoderamiento de un tercero para su
ejercicio).
ii) CaixaBank cuenta con las medidas de seguridad adecuadas, no
siendo exigible que establezca medidas de seguridad para que los
terceros autorizados por un cotitular accedan a información de
cuentas compartidas. Si la cuenta es solidaria (como lo es en este
caso) cualquiera de los cotitulares puede autorizar a un tercero para
que ejerza su derecho consistente en el acceso a las cuentas,
teniendo en cuenta que tal autorización se consiente en el momento
en que se somete la cuenta a la “modalidad solidaria”. De hecho,
entender lo contrario implicaría vulnerar el régimen de solidaridad
acordado por las partes contractualmente.
iii) La plataforma de banca digital no adolece de un defecto en el diseño,
no siendo exigible que requiera el consentimiento de todos los
cotitulares para que terceros autorizados por uno de ellos puedan
acceder a la información de la cuenta, siempre que la cuenta se haya
sometido al régimen de solidaridad y, por tanto, siempre que los
cotitulares puedan ejercitar sus derechos del modo que estimen
oportuno. Lo anterior sería equivalente a obviar el régimen solidario de
la Cuenta Compartido que fue expresamente consentido por los
cotitulares y que debe respetarse por CaixaBank Now.
A mayor abundamiento, en ningún caso podría fundamentarse un deficiente
diseño de la plataforma teniendo en cuenta que, según se ha visto, esta permite a
los titulares de la cuenta configurar las opciones de acceso de los terceros. En
efecto, y atendiendo a la cláusula 1.2 de las condiciones generales del Contrato

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/89

CaixaBank Now, los “grados de acceso” que se pueden otorgar a los terceros
autorizados son los siguientes:
“Básico: permite al usuario presentar documentos para realizar distintas
operaciones, como domiciliaciones, transferencias, etc., que requieren la firma del
titular o de un usuario con plenas facultades.
La finalidad es que el usuario prepare las operaciones para que usted como titular,
las consienta con posterioridad.
Consulta: permite al usuario consultar los servicios contratados así como su
operativa concreta.
Consulta y preparación: es la suma de los dos niveles anteriores.
Todo permitido: el usuario puede acceder a todos los servicios que ofrece
CaixaBank Now.
Detallado: el usuario puede tener distintos niveles de acceso, según el tipo de
servicio: cuenta corriente, fondo de inversión, seguro, etc.”
Así las cosas, no existe un diseño deficiente en tanto que, precisamente, la
plataforma de la banca digital permite a los titulares configurar como consideren
oportuno el acceso de terceros, incluso permitiendo configurar este acceso de
forma personalizada en “distintos niveles de acceso, según el tipo de servicio:
cuenta corriente, fondo de inversión, seguro, etc.”
En definitiva, el acceso de D.D.D. a los datos de la Cuenta Compartida en
sustitución de B.B.B. y al amparo de una autorización expresamente concedida
por esta fue consentido por C.C.C., que al consentir que la Cuenta Compartida
fuera solidaria, consintió que B.B.B. pudiera ejercitar sus derechos individuales
del modo que considerara oportuno.
Así las cosas, la actuación de CaixaBank al permitir el acceso de B.B.B. es
atípica, toda vez que tal acceso estaba amparado por la documentación
contractual que suscribieron los cotitulares de la Cuenta Compartida. De hecho,
exigir el consentimiento de C.C.C. hubiera supuesto vulnerar los términos del
Contrato de la Cuenta Compartida, toda vez que hubiera supuesto aplicar el
régimen de mancomunidad a una cuenta cuyos cotitulares pactaron
expresamente que fuera solidaria.
En este sentido, debe recordarse que tanto el Contrato de Cuenta Corriente como
el apoderamiento a favor de D.D.D. son negocios jurídicos válidos que fueron
celebrados conforme al Código Civil y de los que resulta, precisamente, que
B.B.B. en ejercicio independiente de su derecho pudiera autorizar libremente a
D.D.D. para que lo ejercitara por su cuenta (siendo absurdo exigir el
consentimiento expreso de C.C.C. a tal efecto).
La AEPD no puede pretender alterar, más allá de su competencia, el régimen
jurídico de un contrato válidamente celebrado para derivar consecuencias
impropias del régimen jurídico civil propio de ese contrato. En este sentido,
resultan ilustrativas las Guidelines al establecer expresamente que “las
legislaciones nacionales que regulan la representación (por ejemplo, los poderes
notariales), [...] deben tenerse en cuenta, ya que el RGPD no regula esta
cuestión”. En efecto, el RGPD no regula cómo deben

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/89

ser los apoderamientos a favor de terceros. Esta es una cuestión civil sobre la que
la AEPD no tiene ninguna competencia.
Por todo lo anterior, es preciso que se archive el presente procedimiento por
ausencia de tipicidad. En efecto, y como se ha visto, el acceso a la Cuenta
Compartida por la representante de la cotitular fue consentido por C.C.C. al
consentir que la Cuenta Compartida fuera solidaria, lo que implica que decaigan
los tipos infractores sobre los que el Acuerdo de incoación pretende basar el
procedimiento sancionador.
(…)
Aun cuando pudiera entenderse que CaixaBank incurrió en las infracciones del
RGPD indicadas (quod non), la imputación que Acuerdo de incoación seguiría
resultando improcedente. Y ello, porque en todo caso no concurre el elemento
subjetivo de culpabilidad imprescindible para ejercer la potestad sancionadora,
según resulta expresamente del artículo 28 de la Ley 40/2015, de 1 de octubre, de
Régimen Jurídico del Sector Público, de 1 de octubre, de Régimen Jurídico del
Sector Público (en adelante, la “Ley 40/2015”) al establecer que “sólo podrán ser
sancionadas por hechos constitutivos de infracción administrativa las personas
físicas y jurídicas [...] que resulten responsables de los mismos a título de dolo o
culpa”. Así lo recuerda el Tribunal de Justicia de la Unión Europea en su sentencia
de 5 de diciembre de 2023 (Asunto C-807/2021), que en relación con la
imputación de infracciones de la normativa de protección de datos, estableció lo
siguiente:
“En consecuencia, procede declarar que el artículo 83 del RGPD no permite
imponer una multa administrativa por una infracción contemplada en sus
apartados 4 a 6 sin que se demuestre que dicha infracción fue cometida de forma
intencionada o negligente por el responsable del tratamiento y que, por lo tanto, la
culpabilidad en la comisión de la infracción constituye un requisito para la
imposición de la multa.
[...]
Habida cuenta de las consideraciones anteriores, procede responder a la segunda
cuestión prejudicial que el artículo 83 del RGPD debe interpretarse en el sentido
de que solo puede imponerse una multa administrativa con arreglo a esa
disposición si se demuestra que el responsable del tratamiento, que es a la vez
una persona jurídica y una empresa, cometió, de forma intencionada o negligente,
una infracción contemplada en los apartados 4 a 6 de dicho artículo”.
Por tanto, en cualquier caso, debe concurrir el elemento subjetivo para sancionar
una conducta que se considere típica. En este sentido, debe señalarse que una
consolidada jurisprudencia de la Sala Tercera del Tribunal Supremo se ha
pronunciado en numerosas ocasiones sobre la exoneración de responsabilidad en
el ámbito sancionador como consecuencia de la aplicación razonable de las
normas, en este caso la interpretación histórica, consolidada y, hasta el momento,
no cuestionada del funcionamiento de las facultades solidarias. Pueden citarse,
entre otras muchas, las Sentencias de esta Excma. Sala de 6 de julio de 1995 (RJ
5796), 12 de enero de 2002 (RJ 549) y 30 de junio de 2003 (RJ 5754), 9 de
diciembre de 1997 (RJ 485). Conforme a esta última:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/89

“Para que una discrepancia jurídica pueda ahuyentar la culpabilidad de un
incumplimiento normativo objetivamente acreditado es necesario que resulte
razonablemente justificada. Y esto último, a su vez, exige que se precisen los
puntos polémicos que susciten esa discrepancia, la alternativa interpretativa que
en contra del órgano administrativo sancionador se sustente sobre esos puntos y
las argumentaciones jurídicas utilizadas para defender esa interpretación
diferenciada”.
Pues bien, en el caso que nos ocupa se dan todas las condiciones para aplicar
esta doctrina y estimar que no cabe apreciar el elemento subjetivo en la conducta
de CaixaBank que permita imponerle la sanción pretendida y que, por ello, la
imputación de la infracción efectuada en el Acuerdo de incoación es
improcedente.
En particular, la interpretación de CaixaBank del RGPD le lleva de forma
razonable a concluir que el acceso de D.D.D. a la Cuenta Compartida es correcta,
en la medida en que es coherente con el régimen de solidaridad al que se sometió
la referida Cuenta.
En este sentido la exigencia del consentimiento de C.C.C. para que D.D.D. (en
sustitución de B.B.B.) pudiera acceder a información pierde todo el sentido
cuando se contextualiza con el resto del ordenamiento jurídico y, en particular, con
lo dispuesto en el Código Civil, que contempla las relaciones solidarias, así como
figura del mandato, para el que se permite total libertad de forma. Entender lo
contrario supondría desnaturalizar la dinámica de las relaciones solidarias (que
permiten el ejercicio independiente de los derechos de la forma que se estime
conveniente), así como desnaturalizar el apoderamiento, que permite el ejercicio
independiente de derechos a través de un tercero (que actúa como una suerte de
alter ego en el tráfico jurídico).
Tanto es así, que exigir el consentimiento en los términos pretendidos por la
AEPD hubiera supuesto un incumplimiento del Contrato de Cuenta Corriente, en
la medida en que este Contrato permite a sus cotitulares ejercitar sus derechos de
forma independiente (con independencia de la forma de ejercicio) y sin que sea
precisa la concurrencia del otro titular.
Por otro lado, debe señalarse que la actuación de CaixaBank fue diligente en la
medida en que mi representada permitió el acceso de D.D.D. en los términos
expresamente autorizados por B.B.B. en cada momento (respetando así la
naturaleza solidaria de la Cuenta Compartida y la autorización conferida a favor
de D.D.D.). En efecto, el acceso que tuvo D.D.D. a las cuentas de las que B.B.B.
era titular (de forma individual o compartida) se ajustaba a la configuración de
visualizaciones que libremente había elegido B.B.B., poniéndose CaixaBank a su
disposición para modificarla según sus preferencias.
A mayor abundamiento, en ningún caso puede considerarse que la conducta de
CaixaBank fue culpable en tanto que CaixaBank trató de colaborar con B.B.B.
ofreciéndole concertar una reunión presencial para que pudiera configurar el
alcance de la autorización conferida a favor de D.D.D. (y, en particular, para
configurar las opciones de visualización de las que disponía). No obstante,
B.B.B. declinó la propuesta de CaixaBank, según se expuso en el escrito de 15
de junio presentado ante la AEPD por mi representada:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/89

“El Delegado de Protección de Datos ha coordinado, junto con los responsables
de seguridad de la Entidad al análisis de la reclamación de B.B.B. y, ante la
imposibilidad de reproducir los incidentes descritos por la Reclamante (1), propuso
mantener una reunión con ella en la que, acompañados de especialistas en las
aplicaciones de banca online de la Entidad, se intentaran reproducir los supuestos
errores y, de resolverse que no había incidencia técnica sino una configuración de
visualizaciones incorrecta por parte de la usuaria, se le ayudara a configurar los
accesos conforme a sus requerimientos. Esta sugerencia fue adoptada y se
trasladó a la Reclamante (1) y a la AEPD.
En ejecución de la recomendación del DPD, desde CaixaBank se intentó
mantener con la Reclamante (1) una cita presencial en su oficina gestora con la
finalidad de configurar, según sus preferencias, las facultades de operación y
visualización de sus productos a los usuarios autorizados designados en su
contrato de Banca Online.
La Reclamante (1) ha declinado en varias ocasiones a través de su gestor
mantener esta cita presencial para la revisión de sus preferencias de visualización
y operativa de sus autorizados, por lo que desde CaixaBank nos ha resultado
imposible conocer si la configuración actual del contrato de Banca Online de la
Reclamante (1) se adecua, o no, a sus preferencias”.
Así las cosas, en ningún caso puede considerarse que la conducta de CaixaBank
fue culpable en tanto que el acceso que tenía D.D.D. se ajustaba a la
configuración de visualizaciones que libremente había elegido B.B.B. y
CaixaBank trató de colaborar con B.B.B. a fin de que pudiera configurar el
alcance de la autorización conferida, a pesar de su negativa a reunirse con mi
representada. En efecto, CaixaBank mantuvo en todo momento una conducta
diligente y se ofreció a mantener una cita personal, que nunca llegó por la
negativa de B.B.B..
Por todo lo anterior, incluso en el hipotético y negado caso de considerar que los
hechos imputados son típicos (quod non), no procedería sancionar a CaixaBank
por las supuestas y negadas infracciones identificadas en el Acuerdo de
incoación, toda vez que su conducta estuvo motivada por una interpretación
razonable de las normas aplicables y su actuación fue en todo momento diligente,
de forma que no concurre el elemento subjetivo necesario para sancionar.”

OCTAVO:
Con fecha 6 de marzo de 2024, el instructor del procedimiento acordó dar por
reproducidos a efectos probatorios la reclamación interpuesta por B.B.B. y C.C.C. su
documentación, los documentos obtenidos y generados durante la fase de admisión a
trámite de la reclamación, y el informe de actuaciones previas de investigación que
forman parte del procedimiento.

Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo
de inicio del procedimiento sancionador referenciado, presentadas por CAIXABANK,
S.A., y la documentación que a ellas acompaña.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/89

NOVENO:
Con fecha 28 de octubre de 2024 se notifica propuesta de resolución, donde se
propone:

Que por la Directora de la Agencia Española de Protección de Datos se sancione a
CAIXABANK, S.A., con NIF A08663619, por las siguientes infracciones:

 Del artículo 5.1. f), RGPD, tipificada en el art. 83.5 a) calificada como muy
grave a efectos de prescripción en el artículo 72.1 a) de la LOPDGDD, con una
multa de 500.000 euros (quinientos mil euros)
 Del artículo 32 del RGPD, tipificada en el art. 83. 4 a) del RGPD calificada
como grave a efectos de prescripción en el artículo 73 f) de la LOPDGDD, con
una multa de 300.000 euros (trescientos mil euros).
 Del artículo 25 del RGPD, tipificada en el art. 83. 4 a) del RGPD y calificada
como grave a efectos de prescripción en el artículo 73 d) de la LOPDGDD, con
una multa de 3.000.000 (tres millones de euros).

La suma de las multas propuestas hace un total de 3.800.000 millones de
euros.

Que por la Directora de la Agencia Española de Protección de Datos se ordene a
CAIXABANK, S.A., con NIF A08663619, que en virtud del artículo 58.2.d) del RGPD,
acredite, en el plazo de tres meses desde la ejecutividad de la resolución que sea
dictada, la adopción de las medidas adoptadas por la entidad responsable para
garantizar que el tratamiento de datos personales que realiza se ajusta a las
disposiciones del RGPD, en concreto, en lo relativo a las garantías de confidencialidad
de los datos que se traten y de la adopción de las medidas técnicas y organizativas de
seguridad que sean apropiadas en función del riesgo derivado del tratamiento.
En relación con la infracción del artículo 25 del RGPD, las medidas correctivas
consisten en notificar, en el plazo de nueve meses desde que la resolución que ponga
fin al presente procedimiento sancionador sea ejecutiva, la adopción de medidas
técnicas y organizativas de seguridad desde el diseño y por defecto, que garanticen
que la aplicación de la banca online de la entidad reclamada proteja los datos de
carácter personal con carácter general a todos los clientes de la entidad reclamada.

DÉCIMO:
Con fecha 19 de noviembre de 2024, la entidad reclamada presentó alegaciones a la
propuesta de resolución, indicando literalmente las siguientes alegaciones:

(…)

Como se expuso en el escrito de Alegaciones contra el Acuerdo de incoación, al
que nos remitimos íntegramente, la imputación a CaixaBank carece de sentido,
toda vez que la actuación de mi representada ni fue típica ni fue culpable. Lo
anterior debió llevar necesariamente al archivo del presente procedimiento
sancionador. En particular:

i) B.B.B. y C.C.C. formalizaron un contrato de cuenta corriente con
CaixaBank, con base en el cual pasaban a ser cotitulares de una cuenta

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/89

corriente compartida (en adelante, la “Cuenta Compartida” y el “Contrato
de Cuenta Corriente”). De acuerdo con el Contrato de Cuenta Corriente, al
ser una cuenta corriente “solidaria”, cada uno de los titulares de la Cuenta
Compartida podría ejercer de forma válida sus derechos en relación con
esa cuenta de forma independiente del otro, sin la concurrencia del otro
titular.

ii) Según resulta del Contrato de Cuenta Corriente y del Código Civil, el
ejercicio de los derechos derivados de la Cuenta Compartida puede ser
realizado de forma personal por los titulares o por medio de un
representante apoderado al efecto, que de este modo sustituye al titular en
el ejercicio de sus derechos.

iii) C.C.C., al firmar el contrato de Cuenta Corriente, consintió el ejercicio de
la totalidad de los derechos que de ella resultan por parte de B.B.B., tanto
de forma personal por esta como como por cualquier representante que
esta pudiera designar y con el alcance que B.B.B. considerara oportuno.

iv) B.B.B. apoderó a su madre, D.D.D., a través de la plataforma “CaixaBank
Now” para acceder a las cuentas corrientes de que aquella es titular
(incluyendo la Cuenta Compartida) en ejecución del contrato de “servicio
CaixaBank Now” suscrito el 3 de febrero de 2021 (el “Contrato CaixaBank
Now”). En particular, el alcance del apoderamiento (que incluía la Cuenta
Compartida) y, por tanto, el ámbito al que podía acceder la representante
apoderada (D.D.D.) fue determinado libre y unilateralmente por B.B.B., en
ejercicio de la autonomía de la voluntad. En efecto, el sistema de
CaixaBank Now permite a los usuarios seleccionar expresamente las
opciones de visualización de las cuentas que los clientes otorgan a
terceros autorizados, sin que en ningún caso CaixaBank imponga un
sistema por defecto (“en bloque”) del que el usuario no sea consciente.
Cuando D.D.D. estaba autorizada para visualizar la Cuenta Compartida
podía visualizarla y cuando no lo estaba no. Lo anterior se acreditó por
medio de las capturas de pantalla que se acompañaron al contestar el
requerimiento de información formulado por la AEPD (cfr. folios 402 y ss.
del expediente) y no ha sido desvirtuado en la Propuesta de Resolución.
v) En la hipótesis de que CaixaBank se opusiera al acceso a una cuenta
compartida por un representante con un apoderamiento suficiente para la
visualización de los movimientos de una cuenta, estaría incumpliendo el
Contrato de Cuenta Corriente (que permite el acceso pleno a la cuenta,
bien por cada cotitular de forma individual, bien por una persona
autorizada individualmente por uno u otro), así como la normativa de
protección de datos. En particular:

• Si CaixaBank no permite acceder a los datos de una cuenta solidaria a
un tercero autorizado por uno de los cotitulares estará incumpliendo el
contrato de cuenta corriente (por vulnerar el régimen de solidaridad

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/89

expresamente acordado), así como el apoderamiento concedido por
aquel.

• Si, por otro lado, CaixaBank no entrega los datos relativos a cuentas
solidarias en cotitularidad que, en hipótesis, solicite un tercero,
representante legal o voluntario, en el marco de la solicitud de un
derecho de acceso, CaixaBank estará incumpliendo la normativa de
protección de datos, en tanto que estará impidiendo el ejercicio de
derecho de acceso previsto en el artículo 15 del RGPD, y cuyo
ejercicio no solo corresponde al titular sino también a ese tercero
representante, según establece expresamente el artículo 12 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales (en adelante, la
“LOPD”).

vi) En definitiva, el acceso de D.D.D. a los datos de la Cuenta Compartida en
sustitución de B.B.B. y al amparo de una autorización expresamente
concedida por aquella a través de la plataforma CaixaBank Now (y cuyo
alcance comprendía la visualización de la Cuenta Compartida) fue
consentido porC.C.C., en tanto que consintió que la Cuenta Compartida
fuera solidaria y, por ende, consintió que B.B.B. pudiera ejercitar sus
derechos individuales del modo que considerara oportuno (i.e. por sí
misma o mediante un tercero).
Así las cosas, la actuación de CaixaBank al permitir el acceso de B.B.B. es atípica,
toda vez que tal acceso estaba amparado por el Contrato de Cuenta Corriente. Por
otro lado, CaixaBank actuó de forma diligente y con base en una interpretación
razonable de la norma de conformidad con el Código Civil. Lo anterior debió llevar
necesariamente al archivo del procedimiento sancionador por ausencia de tipicidad o,
subsidiariamente, por ausencia de culpabilidad.
2. Síntesis de los motivos de oposición a la Propuesta de Resolución

2.1.1 El procedimiento sancionador debe archivarse: CaixaBank no incurrió en
ningún hecho típico. Ausencia de tipicidad.
(…)
Con el debido respeto, en este supuesto no se está “planteando una posible colisión
entre el Código Civil y la normativa vigente en materia de protección de datos”. El
Código Civil regula el régimen de responsabilidad solidaria y mancomunada, así como
el régimen de apoderamiento, siendo estas cuestiones que no están reguladas en el
RGPD y a las que debe atender la AEPD al analizar el cumplimiento de la normativa
de protección de datos.
En efecto, el marco legal y los requisitos para el ejercicio de los derechos del
interesado mediante un representante no están armonizados por el RGPD, según
recuerdan las “Guidelines 01/2022 on data subject rights - Right of access. Version
2.0. Adopted on 28 March 2023” emitidas por el “European Data Protection Board”,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/89

que es la organización coordinadora que reúne las autoridades nacionales de
protección de datos, así como al Supervisor Europeo de Protección de Datos (en
adelante, la Guía del Derecho de Acceso del CEPD”). En particular, la Guía establece
que “las legislaciones nacionales que regulan la representación (por ejemplo, los
poderes notariales), [...] deben tenerse en cuenta, ya que el RGPD no regula esta
cuestión”.
En coherencia con lo anterior, resulta especialmente ilustrativa la reciente sentencia
de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 3 de octubre
de 2024 en la que se estableció expresamente que la AEPD debe atender a la
normativa civil a fin de analizar si se ha cometido una infracción en materia de
protección de datos (en adelante, la “Sentencia de la Audiencia Nacional”).
En efecto la AEPD no puede ignorar el régimen aplicable a la cuenta y al
apoderamiento conferido a D.D.D., sino que, siguiendo su planteamiento previo y
atendiendo a la Sentencia de la Audiencia Nacional, debe analizar si se produjo una
vulneración de la normativa de protección de datos partiendo del régimen aplicable a
la relación jurídica entre las partes.
Este análisis debe llevar necesariamente a la AEPD a concluir que efectivamente
D.D.D., podía acceder a la Cuenta Compartida, atendiendo a la naturaleza solidaria
de la Cuenta y a la autorización conferida a su favor a través del sistema CaixaBank
Now. En efecto, la AEPD no puede pretender alterar, más allá de su competencia, el
régimen jurídico de un contrato válidamente celebrado para derivar consecuencias
impropias del régimen jurídico civil propio de ese contrato.
Debe advertirse que exigir que el cotitular autorice expresamente el acceso a la
cuenta del apoderado por el otro cotitular según pretende la Propuesta de Resolución
no solo supondría situar a CaixaBank en una situación de incumplimiento contractual
y de la normativa de protección de datos (que expresamente prevé el derecho de
acceso de los terceros apoderados), (…).
Así, y a modo de ejemplo, implementar lo que propone la Propuesta de Resolución
sería tanto como negar el acceso a las cuentas solidarias a aquellos que estuvieran
apoderados a tal efecto por un cotitular (incluso mediante un poder notarial) hasta que
se aportara una autorización de los otros cotitulares. Esta situación podría llegar al
absurdo de que el apoderado de uno de los cotitulares pudiera disponer de los fondos
de la cuenta solidaria sin el consentimiento expreso del otro cotitular (en aplicación del
régimen de solidaridad) y en cambio no pudiera acceder a la información de esa
cuenta sin el previo consentimiento expreso del otro cotitular.
Por otro lado, la Propuesta de Resolución sugiere que CaixaBank habría reconocido
que la “visualización de datos personales [...] por parte de tercero no autorizado se
corresponde con una incidencia” en la respuesta proporcionada al Banco de España.
Con el debido respeto, que en el referido escrito se calificara la “visualización de datos
personales” como una incidencia técnica no implica en ningún caso que CaixaBank
estuviera reconociendo responsabilidad de ningún tipo (y menos responsabilidad por
una supuesta y negada infracción en materia de protección de datos). De hecho, en la
respuesta al requerimiento presentada ante la AEPD, CaixaBank señaló que “la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/89

operativa que visualiza la autorizada es correcta” porque responde a la autorización
expresamente conferida a favor de D.D.D. (p. 406 del expediente administrativo).
En cualquier caso, la calificación que se utilizara en el procedimiento seguido ante el
Banco de España a la hora de exponer los hechos es irrelevante a los efectos de
determinar la responsabilidad de CaixaBank en el presente procedimiento. CaixaBank
únicamente podrá ser responsable de hechos que incurran en un tipo infractor. Y en
este caso no concurre el elemento de tipicidad, según se expuso en las Alegaciones
contra el Acuerdo de incoación a las que nos remitimos íntegramente.
Por lo demás, debe señalarse que el planteamiento de la Propuesta de Resolución
parte de una premisa errónea, al confundir la figura de apoderado de una cuenta
bancaria con la figura de autorizado en la banca digital. (…) Este planteamiento es
incorrecto en tanto que no es necesario ser apoderado de una cuenta concreta (y, por
tanto, ostentar facultades que podrían incluso comprender el cierre de la cuenta) para
poder acceder a información relativa a esa cuenta a través de la plataforma de banca
digital si así ha sido autorizado por el titular del contrato de CaixaBank Now,
circunstancia que quedó acreditada en las Alegaciones contra el Acuerdo de
incoación.
Se sigue de lo anterior que CaixaBank no incurrió en ningún hecho típico: C.C.C.
consintió que la representante de la cotitular de la Cuenta Compartida pudiera
acceder a información de esa Cuenta en el momento en que consintió que la Cuenta
Compartida fuera solidaria.
Además, incluso en el negado caso de considerar que CaixaBank incurrió en las
infracciones cuya imputación propone la Propuesta de Resolución, en ningún caso
podrían imputarse las infracciones que responden a la supuesta ausencia de medidas
adecuadas y a las supuestas deficiencias en el diseño por haber prescrito. En efecto,
el plazo de prescripción de ambas infracciones (tipificadas como graves) es de dos
años. Los hechos de los que trae causa la imputación de ambas infracciones se
produjeron en 2021, de modo que ambas infracciones prescribieron en 2023. Es decir,
antes de que se notificara el Acuerdo de incoación (de 18 de enero de 2024).

2.1.1 A mayor abundamiento el procedimiento sancionador debe archivarse, toda
vez que la actuación de CaixaBank no fue culpable.
Más allá de la ausencia de tipicidad y de la prescripción de dos de las infracciones,
debe señalarse que en ningún caso podría imputarse responsabilidad a CaixaBank en
tanto que tampoco concurre el elemento de culpabilidad.
En efecto, según se expuso en las Alegaciones contra el Acuerdo de incoación, la
actuación de CaixaBank fue coherente con una interpretación contextualizada de la
normativa en materia de protección de datos con el resto del ordenamiento jurídico y,
en particular, con lo dispuesto en el Código Civil aplicable al Contrato de Cuenta
Corriente, que contempla las relaciones solidarias, así como la figura del
apoderamiento, para el que se permite total libertad de forma.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/89

2.1.2 Sin perjuicio de lo expuesto anteriormente, con carácter subsidiario y en el
hipotético y negado caso de que no se acordara el archivo del
procedimiento, la sanción propuesta debería reducirse.
(…), en el hipotético y negado caso de considerar que CaixaBank incurrió en una
conducta típica y culpable (quod non), deberá aplicarse el régimen del concurso
medial previsto en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen
Jurídico del Sector Público (en adelante, la “Ley 40/2015”), que limita la imposición de
una única sanción en caso de cometer infracciones que deriven necesariamente de
otras. A mayor abundamiento, y para el hipotético y negado caso de no aplicar las
reglas del concurso medial, en ningún caso cabría aplicar dos sanciones por la
supuesta vulneración de los artículos 5 y 32 del RGPD en tanto que tal imputación se
basa en los mismos hechos, de modo que en hipótesis únicamente se podría aplicar
la sanción asociada a una de las infracciones, pero no a las dos.
En cualquier caso, y sin perjuicio de lo anterior, las sanciones propuestas (de un total
de 3.800.000 euros) son desproporcionadas y carecen de la necesaria motivación. En
particular, las sanciones no atienden al principio de proporcionalidad, teniendo en
cuenta que el acceso, aunque en hipótesis hubiera sido ilegítimo (quod non), en
ningún caso hubiera podido generar un perjuicio real y efectivo en C.C.C..
***
Atendiendo a lo anterior, las pretensiones de mi representada son que se dicte una
resolución por la que (i) se acuerde el archivo del presente expediente sancionador y
(ii) subsidiariamente, y en caso de no archivarlo, se acuerde reducir la sanción
atendiendo a los principios de non bis in idem y de proporcionalidad.

PRIMERA.- EL PROCEDIMIENTO SANCIONADOR DEBE ARCHIVARSE POR
AUSENCIA DE TIPICIDAD. EL ACCESO A LA CUENTA COMPARTIDA POR LA
REPRESENTANTE DE LA COTITULAR FUE CONSENTIDO POR C.C.C.: LA
CUENTA COMPARTIDA SE SUJETA
AL RÉGIMEN DE SOLIDARIDAD. EN CUALQUIER CASO, LAS INFRACCIONES
RELATIVAS A LA SUPUESTA AUSENCIA DE MEDIDAS ´TÉCNICAS Y A LA
SUPUESTA VULNERACIÓN DE LA PROTECCIÓN DE DATOS DESDE EL
DISEÑO HAN PRESCRITO.

1. El procedimiento sancionador debe archivarse por ausencia de tipicidad. La
AEPD debe observar el régimen aplicable a la relación jurídica entre las
partes, no pudiendo ignorarlo sobre la base del principio de especialidad.
CaixaBank en ningún caso reconoció su responsabilidad.
En efecto, y según se expuso en las Alegaciones contra al Acuerdo de incoación (a las
que nos remitimos íntegramente), la Cuenta Compartida es solidaria, de modo que
C.C.C. en el momento de suscribir el Contrato de la Cuenta Compartida consintió que
B.B.B. accediera a la información de la cuenta a través de CaixaBank Now y, por
tanto, consintió que tal acceso pudiera realizarlo bien B.B.B. por su cuenta, bien a
través de un tercero que B.B.B. autorizara a tal efecto (en este caso D.D.D.).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/89

(…) no es necesario ser apoderado de una cuenta concreta (y, por tanto, ostentar
facultades que podrían incluso comprender el cierre de la cuenta) para poder acceder
a información relativa a esa cuenta a través de la plataforma de banca digital si así ha
sido autorizado por el titular del contrato de CaixaBank Now, circunstancia que quedó
acreditada en las Alegaciones contra el Acuerdo de incoación.
Por lo demás, el único motivo de la Propuesta de Resolución para combatir los
argumentos de fondo expuestos por CaixaBank es que, supuestamente, en un
supuesto como el planteado no aplica el régimen de la solidaridad ni del
apoderamiento previsto en la normativa civil con base en el principio de especialidad
normativa, debiendo prevalecer en este caso la normativa de protección de datos.
Con el debido respeto, este planteamiento es incorrecto por lo siguiente:
− El principio de especialidad exige que la ley especial se aplique con
preferencia a la ley general cuando un supuesto de hecho se ajuste más al
hecho regulado en la ley especial. Por el contrario, aplicará la ley general en
todas aquellas materias no contempladas en la ley especial.
− El régimen de solidaridad y de apoderamiento no está previsto en el RGPD y,
por tanto, su análisis debe sujetarse a la normativa civil (que es la única que
regula estas materias). Lo anterior resulta de forma evidente si se atiende a la
Guía del Derecho de Acceso del CEPD en la que se indica expresamente que
las cuestiones de derecho civil relacionadas con el apoderamiento no se
regulan en el RGPD, sino en la normativa nacional (en nuestro caso, el
Código Civil). Esta circunstancia, que es de cabal relevancia para resolver el
presente procedimiento ha sido ignorada en la Propuesta de Resolución. En
particular, la referida Guía del Derecho de Acceso establece lo siguiente:
“En este sentido, las legislaciones nacionales que regulan la
representación (por ejemplo, los poderes notariales), [...] deben tenerse en
cuenta, ya que el RGPD no regula esta cuestión.
De conformidad con el principio de responsabilidad, así como de los
demás principios de protección de datos, los responsables del tratamiento
deberán poder demostrar la existencia de la autorización pertinente para
[...] recibir la información solicitada, salvo si la legislación nacional difiere
(por ejemplo, si la legislación nacional contiene normas específicas
relativas a la fiabilidad de los responsables del tratamiento).
− En coherencia con lo anterior, resulta especialmente ilustrativa la Sentencia de
la Audiencia Nacional que estableció expresamente que la AEPD debe
atender a la normativa civil subyacente a la relación entre las partes para
analizar la concurrencia de infracciones en materia de protección de datos.
− En particular, en ese supuesto un tercero (el padre de la reclamante) abrió una
cuenta en nombre de su hija sobre la base de un poder otorgado a su favor.
La reclamante consideró que ese poder no habilitaba a su padre para abrir
una cuenta en su nombre, toda vez que, si bien el poder le facultaba para
abrir cuentas, sus facultades estaban limitadas a unos bienes determinados
ajenos a la cuenta que se había abierto en su nombre. La Audiencia Nacional

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/89

analizó el alcance del poder conferido a favor del padre de la reclamante y
concluyó que en ese supuesto el poder no amparaba la apertura de la cuenta
en cuestión, de modo que consideró que Bankia, S.A. (posteriormente
sucedida por CaixaBank) había incurrido en una vulneración del artículo 6 del
RGPD.
− En relación con lo anterior, frente al argumento de la ausencia de competencia
de la AEPD, la Audiencia Nacional concluyó que la AEPD “no valora ni
examina la validez de los contratos firmados con la entidad bancaria”,
limitándose a “examinar tan solo si existe o no consentimiento lícito”. Y a los
efectos de realizar tal examen, la Audiencia Nacional estableció que la AEPD
“tiene competencia para la represión de conductas que afectan al ámbito de
protección de datos, entre las que se encuentran las vulneraciones de los
-
principios del consentimiento...Y si dichos principios exigen que los datos de
una persona tratados por un tercero se realicen con su consentimiento, la
Agencia, a los solos efectos de determinar si se ha producido o no la
vulneración de los citados principios, puede realizar una valoración sobre si el
consentimiento para el tratamiento de los datos...cuenta o no con la cobertura
de la contratación de dichos servicios...”.
− Atendiendo a este planteamiento, la AEPD y posteriormente la Audiencia
Nacional analizaron el alcance del poder otorgado a favor del padre de la
reclamante y concluyeron que sus términos no le facultaban para abrir una
cuenta en nombre de su hija. En este caso, la AEPD debe realizar el mismo
ejercicio y analizar si, por un lado, B.B.B. podía ejercer sus derechos de
forma individual (atendiendo al carácter solidario de la Cuenta Compartida) y,
por otro lado, si D.D.D. estaba o no facultada para acceder a la información
de la Cuenta Compartida (atendiendo a la autorización conferida a su favor a
través del sistema de CaixaBank Now).
− Así, siguiendo su planteamiento previo y atendiendo a la Sentencia de la
Audiencia Nacional, la AEPD debe analizar si se produjo una vulneración de
la normativa de protección de datos partiendo del régimen aplicable a la
relación jurídica entre las partes.
− Este análisis debe llevar necesariamente a la AEPD a concluir que
efectivamente D.D.D., podía acceder a la Cuenta Compartida, atendiendo a la
naturaleza solidaria de la Cuenta y a la autorización conferida a su favor a
través del sistema CaixaBank Now.
− En efecto, la AEPD no puede pretender alterar, más allá de su competencia, el
régimen jurídico de un contrato válidamente celebrado para derivar
consecuencias impropias del régimen jurídico civil propio de ese contrato.
− Debe advertirse que el planteamiento seguido en la Propuesta de Resolución
no solo es jurídicamente improcedente por lo expuesto, (…).
− (…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/89
-

− Carecería de toda lógica que, por un lado se permitiera que el apoderado
dispusiera de los fondos sin la previa autorización de los otros cotitulares y,
por otro, se denegara el acceso a la visualización de las cuentas por no contar
con la previa autorización de los cotitulares. La aplicación de este
planteamiento (que es el que defiende la Propuesta de Resolución) implicaría
llegar a una situación absurda en la que el apoderado pudiera disponer de la
totalidad de los fondos sin la autorización expresa de los demás cotitulares y,
en cambio, no pudiera conocer, por ejemplo, el saldo de la cuenta en
cuestión.
− Además, aplicar el planteamiento de la Propuesta de Resolución, no solo
generaría problemas prácticos como el planteado, sino que implicaría situar a
CaixaBank en una situación de incumplimiento contractual (estaría impidiendo
-
a los cotitulares ejercer sus derechos por cuenta de tercero en el marco de un
contrato de naturaleza solidaria), así como de incumplimiento de la normativa
de protección de datos. En particular, en caso de aplicar la tesis que sugiere
la Propuesta de Resolución, CaixaBank se vería forzada a incumplir el
derecho de acceso del tercero autorizado en relación con cuentas solidarias
en cotitularidad, en contravención al artículo 12 de la LOPD, que reconoce
expresamente que “Los derechos reconocidos en los artículos 15 a 22 del
Reglamento (UE) 2016/679 [entre los que se incluye el derecho de acceso],
podrán ejercerse directamente o por medio de representante legal o
voluntario”. Ese artículo no prevé que, en caso de ejercerse el derecho por
representante, deba recabarse un consentimiento adicional de los cotitulares.
− En definitiva, la invocación del principio de especialidad para tratar de desplazar
la aplicación de la normativa civil es incorrecto por ser jurídicamente
improcedente. Además, la aplicación del planteamiento propuesto supondría
un cambio de criterio de la AEPD, que generaría numerosos problemas
prácticos y que impactaría negativamente en el ejercicio de los derechos por
parte de los representantes, que se vería limitado de forma injustificada y en
contravención con el artículo 12 de la LOPD.
(…) Sin perjuicio de lo anterior, y a mayor abundamiento, debe señalarse que la
Propuesta de Resolución resulta improcedente al tratar de imputar las
infracciones a CaixaBank con base en un supuesto “reconocimiento” de su
responsabilidad en el marco de la tramitación del procedimiento seguido ante el
Banco de España. En particular:
− El hecho de que en el procedimiento tramitado ante el Banco de España
CaixaBank calificara la “visualización de datos personales” como una
incidencia técnica no implica en ningún caso que CaixaBank estuviera
reconociendo responsabilidad de ningún tipo (y menos responsabilidad por
una supuesta y negada infracción en materia de protección de datos).
− CaixaBank no discute que D.D.D. tenía acceso a los datos de las cuentas de
las que era titular o cotitular B.B.B., y ese acceso no se trata de ningún error,
sino del funcionamiento normal de la plataforma digital del banco ya que

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/89
-

D.D.D. tenía acceso conforme a los permisos de visualización que B.B.B. le
había otorgado expresamente en cada momento, según se expuso
debidamente en la respuesta al requerimiento presentada ante la AEPD (p.
406 del expediente administrativo).
− En cualquier caso, la calificación que se utilizara en el procedimiento seguido
ante el Banco de España a la hora de exponer los hechos es irrelevante a los
efectos de determinar la responsabilidad de CaixaBank en el presente
procedimiento. Primero porque el procedimiento seguido ante el Banco de
España no tenía nada que ver con la imputación de infracciones en materia
de protección de datos. Y segundo porque, en cualquier caso, el hipotético y
negado reconocimiento al que alude la Propuesta de Resolución es
irrelevante a los efectos de resolver el presente procedimiento.
− En efecto, CaixaBank únicamente podrá ser responsable de hechos que
incurran en un tipo infractor. Y en este caso no concurre el elemento de
tipicidad, según se expuso debidamente en las Alegaciones contra el Acuerdo
de incoación a las que nos remitimos.
Así las cosas, cuando D.D.D. estaba autorizada para visualizar la Cuenta Compartida
podía visualizarla y cuando no lo estaba no. Lo anterior se acreditó por medio de las
capturas de pantalla que se acompañaron al contestar el requerimiento de información
formulado por la AEPD. En efecto, no hay un solo video o captura de pantalla que
acredite que D.D.D. podía acceder a la cuenta conjunta cuando su hija se lo había
retirado. Por tanto, no ha quedado acreditada la comisión de las infracciones que
pretenden imputarse. Y no han quedado acreditadas porque (como sí se ha
evidenciado) D.D.D. solo podía visualizar la Cuenta Compartida cuando estaba
expresamente autorizada al efecto.
En definitiva, el acceso de D.D.D. fue consentido por C.C.C., en tanto que la Cuenta
Compartida se sujetó por expreso consentimiento de las partes a la “modalidad
solidaria”, de modo que los cotitulares podían ejercer sus derechos de forma individual
por sí mismos o mediante terceros. Partiendo de lo anterior, decaen todos los tipos
infractores que pretenden imputarse:
− No se vulneró el principio de confidencialidad (en tanto que C.C.C. consintió
que B.B.B. ejercitara su derecho de acceso de forma individual, lo que
comprende el apoderamiento de un tercero para su ejercicio).
− CaixaBank cuenta con las medidas de seguridad adecuadas, no siendo exigible
que establezca medidas de seguridad para que los terceros autorizados por un
cotitular accedan a información de cuentas compartidas. Si la cuenta es solidaria
(como lo es en este caso) cualquiera de los cotitulares puede autorizar a un
tercero para que ejerza su derecho consistente en el acceso a las cuentas,
teniendo en cuenta que tal autorización se consiente en el momento en que se
somete la cuenta a la “modalidad solidaria”. De hecho, entender lo contrario
implicaría vulnerar el régimen de solidaridad acordado por las partes
contractualmente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/89

− La plataforma de banca digital no adolece de un defecto en el diseño, no siendo
exigible que requiera el consentimiento de todos los cotitulares para que terceros
autorizados por uno de ellos puedan acceder a la información de la cuenta,
siempre que la cuenta se haya sometido al régimen de solidaridad y, por tanto,
siempre que los cotitulares puedan ejercitar sus derechos del modo que estimen
oportuno. Lo anterior sería equivalente a obviar el régimen solidario de la Cuenta
Compartida que fue expresamente consentido por los cotitulares y que debe
respetarse por CaixaBank Now.
Todo lo anterior debe llevar necesariamente al archivo del presente procedimiento por
ausencia de tipicidad. En efecto, y como se ha visto, el acceso a la Cuenta
Compartida por la representante de la cotitular fue consentido por C.C.C. al consentir
que la Cuenta Compartida fuera solidaria, lo que implica que decaigan los tipos
infractores que la Propuesta de Resolución propone imputar.

2. Subsidiariamente, resulta improcedente tratar de imputar las infracciones
graves asociadas a la vulneración de los artículos 32 y 25 del RGPD, toda vez
que han prescrito.
(…)
Estas infracciones no pueden imputarse a CaixaBank en tanto que, como se ha
expuesto en el apartado anterior, mi representada no ha incurrido en ninguna
infracción. No obstante, a mayor abundamiento y para el hipotético y negado caso en
que se considerara que CaixaBank incurrió en tales infracciones, la Propuesta de
Resolución seguiría siendo incorrecta porque las infracciones previstas en los
apartados f) y d) del artículo 73 de la LOPD han prescrito.
En efecto, de conformidad con el artículo 73 de la LOPD las infracciones graves
“prescribirán a los dos años”, siendo el dies a quo “el día en que la infracción se
hubiera cometido”, según resulta del artículo 30.2 de la Ley 40/2015, de 1 de octubre,
de Régimen Jurídico del Sector Público.
En este caso los hechos que se consideran típicos ya se habrían cometido en el
momento en que B.B.B. presentó su reclamación ante la AEPD (i.e. el 27 de enero
de 2021, según el Hecho Probado Tercero de la Propuesta de Resolución). Por tanto,
en ese momento ya se habrían cometido los hechos considerados típicos. De lo
anterior resulta que incluso considerando esa fecha como el dies a quo, en el
momento en que se dictó el Acuerdo de incoación las infracciones ya habían prescrito
en tanto que ya habían transcurrido más de dos años desde el momento en que se
produjo la supuesta infracción.
La AEPD disponía de dos años (i.e. hasta el 27 de enero de 2023) para iniciar el
procedimiento sancionador a fin de imputar las infracciones graves que de forma
improcedente pretende imputar ahora. No obstante, no notificó el Acuerdo de
incoación hasta el 18 de enero de 2024 (casi tres años después de que se produjeran
los hechos cuestionados).
Se sigue de lo anterior que, incluso en el hipotético y negado caso de considerar que
CaixaBank incurrió en las infracciones previstas en los apartados f) y d) del artículo 73

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/89

de la LOPD, en ningún caso podrían imputarse tales infracciones, en tanto que ya
habían prescrito en el momento en que se dictó el Acuerdo de incoación. Lo anterior
debe llevar necesariamente a que, subsidiariamente, no se imputen tales infracciones
y, por tanto, a que en ningún caso se impongan las sanciones que la Propuesta de
Resolución asocia a su comisión (300.000 euros por la infracción prevista en el
artículo 73.f) de la LOPD y 3.000.000 euros por la infracción prevista en el artículo
73.d) de la LOPD).

SEGUNDA.- SUBSIDIARIAMENTE, EL PROCEDIMIENTO SANCIONADOR
DEBE ARCHIVARSE POR AUSENCIA DE CULPABILIDAD. CAIXABANK ACTUÓ
CON BASE EN UNA INTERPRETACIÓN COHERENTE DE LA NORMA DE
CONFORMIDAD CON EL CÓDIGO CIVIL.
Aun cuando pudiera entenderse que CaixaBank incurrió en las infracciones del RGPD
indicadas (quod non), la imputación que propone la Propuesta de Resolución seguiría
resultando improcedente. Y ello, porque en todo caso no concurre el elemento
subjetivo de culpabilidad imprescindible para ejercer la potestad sancionadora, según
resulta expresamente del artículo 28 de la Ley 40/2015 al establecer que “sólo podrán
ser sancionadas por hechos constitutivos de infracción administrativa las personas
físicas y jurídicas [...] que resulten responsables de los mismos a título de dolo o
culpa”. Así lo recuerda en materia de protección de datos el Tribunal de Justicia de la
Unión Europea en su sentencia de 5 de diciembre de 2023 (Asunto C-807/2021).
Por tanto, en cualquier caso, debe concurrir el elemento subjetivo para sancionar una
conducta que se considere típica. En este sentido, según se expuso en las
Alegaciones contra el Acuerdo de incoación, debe señalarse que una consolidada
jurisprudencia de la Sala Tercera del Tribunal Supremo se ha pronunciado en
numerosas ocasiones sobre la exoneración de responsabilidad en el ámbito
sancionador como consecuencia de la aplicación razonable de las normas. Pueden
citarse, entre otras muchas, las Sentencias de esta Excma. Sala de 6 de julio de 1995
(RJ 5796), 12 de enero de 2002 (RJ 549) y 30 de junio de 2003 (RJ 5754), 9 de
diciembre de 1997 (RJ 485). Conforme a esta última:
“Para que una discrepancia jurídica pueda ahuyentar la culpabilidad de un
incumplimiento normativo objetivamente acreditado es necesario que resulte
razonablemente justificada. Y esto último, a su vez, exige que se precisen los
puntos polémicos que susciten esa discrepancia, la alternativa interpretativa
que en contra del órgano administrativo sancionador se sustente sobre esos
puntos y las argumentaciones jurídicas utilizadas para defender esa
interpretación diferenciada”.
En este sentido la exigencia del consentimiento de C.C.C. para que D.D.D. (en
sustitución de B.B.B.) pudiera acceder a información pierde todo el sentido cuando se
contextualiza con el resto del ordenamiento jurídico y, en particular, con lo dispuesto
en el Código Civil, que contempla las relaciones solidarias, así como figura del
mandato, para el que se permite total libertad de forma. Entender lo contrario
supondría desnaturalizar la dinámica de las relaciones solidarias (que permiten el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/89

ejercicio independiente de los derechos de la forma que se estime conveniente), así
como desnaturalizar el apoderamiento, que permite el ejercicio independiente de
derechos a través de un tercero (que actúa como una suerte de alter ego en el tráfico
jurídico).
Por otro lado, debe señalarse que la actuación de CaixaBank fue diligente en la
medida en que mi representada permitió el acceso de D.D.D. en los términos
expresamente autorizados por B.B.B. en cada momento. En efecto, el acceso que
tuvo D.D.D. a las cuentas de las que B.B.B. era titular (de forma individual o
compartida) se ajustaba a la configuración de visualizaciones que libremente había
elegido B.B.B., poniéndose CaixaBank a su disposición para modificarla según sus
preferencias. Lo anterior no ha sido desvirtuado en la Propuesta de Resolución.
A mayor abundamiento, en ningún caso puede considerarse que la conducta de
CaixaBank fue culpable en tanto que CaixaBank trató de colaborar con B.B.B., desde
un primer momento, en el cual B.B.B. se dirigió al Servicio de Atencion al cliente de
CaixaBank, y desde el área del Delegado de Protección de datos se realizó una
llamada a B.B.B., donde al confirmar que no había ningún incidente sino una
configuración que no era del agrado de B.B.B., se trasladó de nuevo al Servicio de
Atencion al cliente para que atendiera las necesidades de visualización de B.B.B..
Posteriormente, el Delegado de Protección de datos le ofreció concertar una reunión
presencial para que pudiera configurar el alcance de la autorización conferida a favor
de D.D.D. (y, en particular, para configurar las opciones de visualización de las que
disponía). No obstante, B.B.B. declinó la propuesta de CaixaBank, según se expuso
en el escrito de 15 de junio presentado ante la AEPD.
En este sentido, por tanto, en ningún caso puede sostenerse que CaixaBank no
cuenta con un procedimiento de gestión de reclamaciones de los interesados en
materia de protección de datos adecuado, en tanto que, no existiendo ninguna
infracción en materia de protección de datos, atendió a D.D.D. a fin de que pudiera
cambiar las opciones de visualización que ella misma había configurado.
Así las cosas, en ningún caso puede considerarse que la conducta de CaixaBank fue
culpable en tanto que el acceso que tenía D.D.D. se ajustaba a la configuración de
visualizaciones que libremente había elegido B.B.B. y CaixaBank trató de colaborar
con B.B.B. a fin de que pudiera configurar el alcance de la autorización conferida, a
pesar de su negativa a reunirse con mi representada. En efecto, CaixaBank mantuvo
en todo momento una conducta diligente y se ofreció a mantener una cita personal,
que nunca llegó por la negativa de B.B.B..

TERCERA.- SIN PERJUICIO DE LO EXPUESTO ANTERIORMENTE, CON
CARÁCTER SUBSIDIARIO
Y EN EL HIPOTÉTICO Y NEGADO CASO DE NO ARCHIVARSE EL
PROCEDIMIENTO, LA SANCIÓN APLICABLE DEBE REDUCIRSE. LAS
SANCIONES PROPUESTAS EN LA PROPUESTA DE RESOLUCIÓN
VULNERAN EL PRINCIPIO NON BIS IN IDEM Y NO ATIENDEN AL PRINCIPIO
DE PROPORCIONALIDAD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/89

1. Las sanciones cuya imposición propone la Propuesta de Resolución son
contrarias al principio non bis in idem. Deben aplicarse las reglas del concurso
medial.
32. Las infracciones que pretende imponer la Propuesta de Resolución (i.e. supuesta
vulneración del principio de confidencialidad, supuesta ausencia de medidas de
seguridad adecuadas y supuesto diseño deficiente de la plataforma de banca
digital) traen causa de un único hecho: la supuesta falta de consentimiento de
C.C.C. que supuestamente evidenciaría un error en el diseño (lo que se niega en
cualquier caso). Lo anterior es contrario a Derecho por vulnerar el principio non
bis in idem, que supone la imposibilidad manifiesta de imponer dos o más
sanciones administrativas por un mismo hecho. En particular:

(i) Vulneración del principio non bis in idem: La Propuesta de Resolución pretende
imponer tres sanciones sin aplicar las reglas del concurso medial. La
aplicación de las reglas del concurso medial debería llevar a que únicamente
se impusiera la sanción asociada a la infracción del artículo 5.1.f) del RGPD.
En caso de considerar que CaixaBank incurrió en una conducta típica y culpable
(quod non), deberá aplicarse el régimen del concurso medial previsto en el artículo
29.5 de la Ley 40/2015, cuyo tenor literal establece lo siguiente:
(…)
, la Audiencia Nacional apreció la procedencia de estimar la concurrencia de
infracciones sobre la base de un concurso medial entre las infracciones contempladas
en la normativa de protección de datos, cuando necesariamente la comisión de una
requiera la producción de la otra.
Esto es precisamente lo que sucede en el presente supuesto. En hipótesis el hecho
de haber incurrido en la infracción del artículo 25 del RGPD (error en el diseño) habría
dado lugar a la imposibilidad de aplicar medidas adecuadas así como, en último
término, vulnerar el principio de confidencialidad. Por tanto, la supuesta comisión de
una de las infracciones ha dado lugar al resto.
Se sigue de lo anterior que, aplicando el pronunciamiento de la Audiencia Nacional al
supuesto que nos ocupa, únicamente se podría imputar una infracción (y aplicar una
sanción), pero no tres.
De las tres infracciones que pretenden imputarse la más grave es la prevista en el
artículo 5.1.f) del RGPD (que se califica de muy grave). Así, de conformidad con el
artículo 29.5 de la Ley 40/2015, en hipótesis únicamente podría imputarse esa
infracción, pero no el resto.

(ii) A mayor abundamiento, y para el hipotético y negado caso de no aplicar las
reglas del concurso medial, en ningún caso cabría aplicar dos sanciones por la
supuesta vulneración de los artículos 5 y 32 del RGPD en tanto que tal imputación
se basa en los mismos hechos.
(…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/89

(…) los hechos en los que se basa la imputación de ambas infracciones son los
mismos y básicamente responden al acceso por parte de D.D.D. a los movimientos de
la Cuenta Compartida, sin que de la Propuesta de Resolución resulten los elementos
específicos de vulneración de uno y otro artículo que, en hipótesis, justificarían la
imputación de dos infracciones distintas.
Así las cosas, y en virtud del principio non bis in idem (que impide que un mismo
hecho se sancione más de una vez) resulta improcedente tratar de imponer dos
sanciones por estos mismos hechos, por lo que en hipótesis únicamente se podría
aplicar una de las sanciones, pero no las dos.
2. En cualquier caso, y sin perjuicio de lo anterior, las sanciones propuestas son
desproporcionadas y carecen de la necesaria motivación, generando
indefensión a CaixaBank.
(…) Debe señalarse que las sanciones indicadas en la Propuesta de Resolución son
manifiestamente contrarias al principio de proporcionalidad al que necesariamente
debe atender la AEPD, según resulta expresamente del artículo 29.3 de la Ley
40/2015 cuyo tenor literal establece lo siguiente:
“3. En la determinación normativa del régimen sancionador, así como en la
imposición de sanciones por las Administraciones Públicas se deberá
observar la debida idoneidad y necesidad de la sanción a imponer y su
adecuación a la gravedad del hecho constitutivo de la infracción [...]”.
En este sentido, resulta especialmente ilustrativa la sentencia de la Sala de lo
Contencioso-Administrativo de la Audiencia Nacional de 18 de noviembre de 2022 al
establecer lo siguiente:
“Según reiterada jurisprudencia del Tribunal Supremo, como la Sentencia
de 12 de abril de 2012 -recurso nº. 5.149/2009-, entre otras, que debe existir
una debida adecuación entre la gravedad del hecho constitutivo de la
infracción y la sanción aplicada, como dispone el art. 29.3 de la Ley
40/2015, de 1 de octubre.
Dicho principio no puede sustraerse al control jurisdiccional, pues el margen
de apreciación que se otorga a la Administración en la imposición de
sanciones dentro de los límites legalmente previstos, debe ser desarrollado
ponderando en todo caso, las circunstancias concurrentes, al objeto de
alcanzar la necesaria y debida proporción entre los hechos imputados y la
responsabilidad exigida, dado que toda sanción, debe determinarse en
congruencia con la entidad de la infracción cometida y según un criterio de
proporcionalidad en relación con las circunstancias del hecho. De modo que
la proporcionalidad constituye un principio normativo que se impone a la
Administración y que reduce el ámbito de sus potestades sancionadoras.”
Pues bien, en este caso resulta sin ninguna duda que las sanciones que se
contemplan en la Propuesta de Resolución son del todo desproporcionadas si se
atiende a las circunstancias subyacentes al procedimiento sancionador. En particular:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/89

− Solo existe una reclamación relacionada con los permisos de
visualización, es decir, no es un caso generalizado sino complemente
puntual. Lo anterior evidencia que no exista un problema estructural de
diseño sino, a lo sumo, una situación puntual (que en ningún caso
vulnera la normativa de protección de datos). Esta circunstancia debe
tenerse en cuenta a la hora de establecer el importe de la sanción al
amparo del artículo 83.2.a) del RGPD.

− Si bien D.D.D. pudo acceder a información sobre la Cuenta Compartida
no podía disponer de los fondos de titularidad exclusiva del C.C.C.. Por
lo tanto, el acceso, aunque en hipótesis hubiera sido ilegítimo, en
ningún caso hubiera podido generar un perjuicio real y efectivo en
C.C.C..

− CaixaBank trató de colaborar con B.B.B. ofreciéndole concertar una
reunión presencial para que pudiera configurar el alcance de la
autorización conferida a favor de D.D.D. (y, en particular, para
configurar las opciones de visualización de las que disponía). No
obstante, B.B.B. declinó la propuesta de CaixaBank, según se expuso
en el escrito de 15 de junio presentado ante la AEPD. Esta
circunstancia debe tenerse en cuenta a la hora de establecer el importe
de la sanción al amparo del artículo 83.2.c) y f) del RGPD.
A mayor abundamiento, resulta improcedente que para el cálculo de la sanción la
Propuesta de Resolución aplique el artículo 83.2.b) que establece la agravante
consistente en la “intencionalidad o negligencia en la infracción”. En efecto, y según
recuerda la Sentencia de la Audiencia Nacional “Respecto al apartado b) la
intencionalidad o negligencia, este Tribunal en numerosas ocasiones se ha
pronunciado en el sentido de considerar no aplicable esta circunstancia como
agravación por cuanto por si sola forma parte del propio tipo infractor y salvo en
aquellos supuestos en que se justifique y acredite que ha existido un plus de
intencionalidad, no es una circunstancia que deba emplearse como agravatoria de la
conducta”. Así las cosas, en el hipotético y negado caso de considerar que se habría
incurrido en una infracción, en ningún caso habría quedado acreditada la existencia
de un “plus de intencionalidad”, lo que determina que bajo ninguna circunstancia se
podría contemplar la aplicación de esta agravante.
Por otro lado, debe advertirse que la Propuesta de Resolución es contraria al deber de
motivación al que se sujeta toda Administración (de conformidad con el artículo 35 de
la Ley 39/2015), toda vez que en ningún momento justifica el cálculo de las sanciones
consideradas. En este sentido, la vulneración del deber de motivación supone situar a
mi representada en una situación de indefensión, en tanto que desconoce los motivos
concretos por los que la AEPD considera que la primera infracción debería llevar
aparejada una sanción de 500.000 euros, la segunda de 300.000 euros y la tercera de
3.000.000 de euros. La situación de indefensión se ve todavía más agravada si se
tiene en cuenta el elevado importe de las sanciones considerado en la Propuesta de
Resolución. (…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/89

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS
PRIMERO:

La Reclamante 1, B.B.B., es titular de tres cuentas bancarias en CAIXABANK, S.A. en
concreto son las siguientes:

 ***REFERENCIA.1.
 ***REFERENCIA.2
 ***REFERENCIA.3

En la primera de las cuentas indicadas figura como cotitular el reclamante 2 y en las
dos últimas cuentas señaladas consta como persona autorizada D.D.D., madre de la
reclamante 1.

SEGUNDO:
El detalle de los productos asociados a cada cuenta es el siguiente:

1. ***REFERENCIA.1.

En esta cuenta constan como titulares:
B.B.B. y C.C.C.
A esta cuenta consta vinculado el siguiente producto:

N.º ***REFERENCIA.5 : Titularidad de B.B.B..

Asociadas a este contrato de tarjeta se encuentra como beneficiario y tenedor de tres
tarjetas C.C.C. .
***REFERENCIA.7: Titularidad de C.C.C..
1. ***REFERENCIA.2

En esta cuenta consta como titular B.B.B. y como firmas reconocidas D.D.D. y
E.E.E...

A efecto de cobro, a esta cuenta consta vinculado el siguiente producto:

***REFERENCIA.6: Titularidad de B.B.B. y donde consta D.D.D. como autorizada.

2. ***REFERENCIA.3

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/89

En esta cuenta consta como titular B.B.B. y como firma reconocida D.D.D..

A dicha cuenta se encuentran vinculados los siguientes productos:

***REFERENCIA.8: Titularidad de B.B.B. y con una tarjeta asociada.

***REFERENCIA.9: Titularidad de B.B.B. y con una tarjeta asociada.

***REFERENCIA.10: Titularidad de B.B.B. y con dos tarjetas asociadas.

***REFERENCIA.11: Titularidad de B.B.B. y con una tarjeta asociada .

***REFERENCIA.12: Titularidad de B.B.B. y con una tarjeta asociada.

***REFERENCIA.13: titularidad de B.B.B. y con dos avalistas: E.E.E.. y D.D.D..

***REFERENCIA.14 titularidad de B.B.B.

***REFERENCIA.15 titularidad de B.B.B..

***REFERENCIA.16 titularidad de B.B.B..

***REFERENCIA.17 titularidad de B.B.B..

TERCERO:
Con fecha 11/01/2021, la parte reclamante 1 pone en conocimiento de la reclamada
incidencia- con nº de referencia ***REFERENCIA.18 respecto de determinada
operativa en las cuentas de las que es titular.

Según consta en el expediente, la incidencia es identificada en los siguientes términos:
Su petición de multifirma ha sido realizada correctamente pero no hemos podido
avisar a todos los firmantes. Fecha 11/01/2021. Hora 16:59:39.

Con fecha 27/01/2021 la parte reclamante 1 comunicó a la parte reclamada incidencia
relativa a que su madre tiene acceso a través de su aplicación de banca electrónica de
Caixabank (Caixabank Now) a toda la información financiera no solo de ella misma,
sino de la cuenta que comparte con la parte reclamante 2.

CUARTO:
El 3/02/2021 la reclamante 1 firmó contrato CaixaBank Now (Contrato nº (…)
***REFERENCIA.6) referido a la cuenta ***REFERENCIA.2 y que permite realizar la
operativa relativa a la misma de forma electrónica.

En el apartado 2 de dicho contrato- usuarios autorizados- figura lo siguiente: Personas
que pueden acceder a su CaixaBankNow D.D.D., con DNI ***NIF.1, Número de
usuario ***REFERENCIA.19 y nivel Operativo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/89

Según la página 9 del mencionado contrato, apartado 1.2:

Adicionalmente, usted puede nombrar a otras personas para que puedan usar su
CaixaBankNow:

> Usuarios autorizados: usted autoriza a estas personas para que puedan acceder a
su CaixaBankNow en los niveles de Acceso básico, Consulta o Consulta y preparación
(vea el punto siguiente), excepto que usted nos indique lo contrario.
Esta autorización queda sin efecto cuando termina el plazo de tiempo por el que usted
la ha autorizado, o si nos comunica que ya no quiere que la persona sea autorizada.

> Usuarios personalizados: usted puede decidir el grado de acceso que otorga a estas
personas, de acuerdo con los siguientes niveles:
> Básico: permite al usuario presentar documentos para realizar distintas
operaciones, como domiciliaciones, transferencias, etc., que requieren la firma del
titular o de un usuario con plenas facultades. La finalidad es que el usuario prepare las
operaciones para que usted, como titular, las consienta con posterioridad.
> Consulta: permite al usuario consultar los servicios contratados así como su
operativa concreta.
> Consulta y preparación: es la suma de los dos niveles anteriores. > Todo
permitido: el usuario puede acceder a todos los servicios que ofrece CaixaBankNow.
> Detallado: el usuario puede tener distintos niveles de acceso, según el tipo
de servicio: cuenta corriente, fondo de inversión, seguro, etc.

No figura definición alguna sobre lo que ha de entenderse como usuario autorizado de
nivel operativo.

En el escrito de 16 de junio de 2023 de la parte reclamada se indica que,

…no se ha detectado desde CaixaBank ninguna incidencia en la operativa de
la Banca Online de la Reclamante (1) y las reclamaciones sobre las
funcionalidades de la banca online de la Reclamante (1) se deben a sus
propias elecciones en la configuración de las visualizaciones. (el subrayado es
nuestro)

QUINTO:
Con fecha 18/01/2021, el reclamante 2 firma contrato CaixaBankNOW nº (…)
***REFERENCIA.7 en el que figura como primer titular, de fecha 18/01/2021, asociado
a la cuenta acabada en ***REFERENCIA.1, y en la que no figura ningún usuario
autorizado.

SEXTO:
Con fecha 10/02/2021, la reclamante 1 comunica de nuevo a la parte reclamada que
su madre, puede ver también los productos y movimientos asociados a la cuenta
finalizada en ***REFERENCIA.1, cuenta en la que no ha sido de alta como persona
autorizada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/89

SÉPTIMO:
Con fecha 11/02/2021, la parte reclamante 1 comunica a la parte reclamada que su
madre podía ver los distintos productos (incluidos préstamos hipotecarios, seguros y
tarjetas bancarias) asociados a las cuentas de las que es titular la parte reclamante 1,
incluida aquella en la que es cotitular junto con la parte reclamante 2.

OCTAVO:
Con fecha de entrada de 17 de febrero de 2021 la parte reclamante 1 interpone
reclamación ante la parte reclamada en la que pone de manifiesto todos los hechos
que venía denunciando y se solicita la finalización de lo que califica como una cesión
de datos a terceros sin autorización. Consta acuse de recibo de dicha reclamación de
fecha 23 de marzo de 2021.

En tal documento muestra su voluntad respecto al rol de su madre como autorizada en
las cuentas corrientes de las que es titular y cotitular indicando que,

Por lo tanto, a partir de la presente derogo todo “contrato a futuro” a nombre de
B.B.B. que según mi sucursal tengo (aún espero documentación inicial)
dejando únicamente como autorizada a D.D.D. de las cuentas acabadas en
***REFERENCIA.2 y ***REFERENCIA.3 como siempre estuvo y ha estado
siempre. (el subrayado es nuestro).

NOVENO:
Con fecha 23 de marzo de 2021, la parte reclamada contesta a la reclamante 1
indicando que están dando trámite a su reclamación, a la que darán respuesta a la
mayor brevedad posible y en el plazo máximo de un mes.

DÉCIMO:
Entre el 19 y el 21 de febrero de 2021, la reclamante 1 se dirige al delegado de
protección de datos de la parte reclamada en relación a los hechos acaecidos.

La reclamante 1 en su correo de 21 de febrero de 2021 indica expresamente que:

1º Le adjunto la reclamación remitida a mi oficina nº2409 donde explico todo lo
que ha ido sucediendo, y creo que resumen bastante bien todo lo que me ha
ido ocurriendo. Esta reclamación fue firmada el 16-02-2021. Indicar como
podrá leer en la reclamación, que el primer suceso en donde me di cuenta de
fallos fue el 11-01-2021 y a partirr de ahí solo ha ido a peor. Adjunto DNI
2º Los implicados son C.C.C., D.D.D. y B.B.B..
3º Incapacidad de realizar ciertas operaciones en todas mis cuentas, por
obligatoriedad de firma del tercero, en cuentas donde no es nada. Creo que
queda explicado en la reclamación.
4º Cesión de datos a un tercero, aunque todo queda explicado en la
reclamación, le adjunto un video donde este tercero puede ver datos bancarios
los cuales no debería de ver, y los cuales JAMÁS ha visualizado hasta principio
de año.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/89

5º Indicar que mi oficina es consciente de todo desde el primer momento de
todo, las soluciones y explicaciones (me las transmite mi oficina, pero son
indicaciones dadas por La Caixa contactcenter o desde donde sea). Toda esta
documentación, más fotos y los fallos desde el primer momento está también
en manos de ella.(el subrayado es nuestro)

Consta como única respuesta a estas comunicaciones respuesta del delegado de
protección de datos al correo electrónico de fecha 9 de febrero de 2023 (dos años
después de la reclamación presentada ante este y fechada un día antes de que la
reclamada contestara el 10 de febrero de 2023 la solicitud de información solicitada
por la AEPD a resultas de la presentación de la reclamación) en el que se le comunica
lo siguiente:

Nos ponemos en contacto con usted en relación a su reclamación sobre el
funcionamiento y visibilidad de productos de su contrato de banca online
(CaixaBank NOW). Dado que en las últimas interacciones que hemos
mantenido no se ha conseguido configurar a su satisfacción las facultades de
operación y visualización de sus productos a los autorizados designados, nos
gustaría concertar con usted una cita en su oficina, a la que asistiríamos con el
apoyo de los departamentos técnicos de la Entidad, con la finalidad de,
siguiendo las indicaciones y precisiones que nos indique, restaurar y
reconfigurar las autorizaciones de todos sus productos. Esperamos que de esta
manera podremos probar con su intervención todas las configuraciones que
nos indique, hasta que el funcionamiento sea de su completa satisfacción.

DÉCIMO PRIMERO:
Con fecha 22/06/2021, la parte reclamante 1 interpuso reclamación ante el Banco de
España- Ref.Expediente: ***REFERENCIA.20.

DÉCIMO SEGUNDO:
Con ***FECHA.2 la reclamante 1 recibe de los letrados de la parte reclamada un
correo electrónico con una propuesta adjunta de acuerdo, derivado de la reclamación
presentada por la reclamante 1 ante el Banco de España.

En la misma, se indica que,

Según comentado telefónicamente, le contactamos como letrados de
CaixaBank, en relación con la reclamación presentada ante el Banco de
España con el número de referencia referenciado en el asunto del correo.

Tal y como hemos hablado, deseamos hacerle llegar la voluntad de CaixaBank
de encontrar una solución amistosa a la situación planteada por usted, en
relación con la posibilidad de un tercero de poder consultar posiciones de sus
productos, a pesar de no estar autorizado en los mismos, sino sólo en dos
cuentas a la vista.

Al respecto, y tal y como le hemos indicado, parece ser que existió una
incidencia técnica con los usuarios de usted y de su madre y que debería ser
resuelta con la entrega de nuevas claves con accesos correctos a usted y a su

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/89

madre. En este sentido, vamos a contactar con oficina a fin de que inicie los
trámites para verificar que estas claves se emiten de forma correcta, antes de
citarlas para hacerle entregas de las mismas. (el subrayado es nuestro)

Con posterioridad, el 21 de julio de 2021, los letrados de la parte reclamada envían un
correo la reclamante 1 en la que ponen de manifiesto que se trata de una incidencia
técnica.

Así, indican que,

Le escribo nuevamente para comunicarle que nos consta que el personal de
oficina y usted han hecho pruebas con sus nuevas claves de usuario de
CaixaBankNow y que uno de los problemas que exponía en su reclamación ya
se habría solucionado. Ahora únicamente quedará que su madre pueda hacer
la correspondiente prueba para verificar que con su usuario ella sólo pueda
acceder a los productos de usted en los que conste como autorizada. (el
subrayado es nuestro).

Tras ello el 10 de agosto de 2021 los letrados de la parte reclamada envían un correo
a la reclamante 1 en el que le indican que a partir de entonces su madre sólo puede
consultar los productos de los que es autorizada.

Le señalan que,

Le escribo nuevamente para comunicarle que constan hechas las
modificaciones oportunas para que su madre únicamente pueda consultar por
CaixaBankNow los productos de los que es autorizada suya.

El mismo 10 de agosto la reclamante 1 contesta a los letrados de la parte reclamada
que aún no está solucionada la incidencia.

Por último, el 13 de agosto de 2021 a través del correo enviado por los letrados de la
parte reclamada a la reclamante 1 se muestra cómo la incidencia, no obstante, las
aseveraciones anteriores de la parte reclamada, no estaba solventada con
anterioridad.

Disculpe las molestias. Salvo error, ahora sí que su madre solo puede acceder
a consultar las cuentas de las que está como autorizada suya (número
***REFERENCIA.2 y ***REFERENCIA.3) y sin acceso a los movimientos de
tarjetas.

DÉCIMO TERCERO:
En respuesta a la reclamación presentada ante el Banco de España, y al efecto de
argumentar que se procedía a la satisfacción de las pretensiones de la parte
reclamante, CaixaBank en fecha 21 de julio de 2021 señaló lo siguiente: Dadas estas
manifestaciones, CaixaBank ha procedido a realizar las verificaciones oportunas y ha
detectado que existe una incidencia técnica que afecta a los usuarios de banca digital
de la reclamante y de su madre como autorizada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/89

DÉCIMO CUARTO:
El Banco de España remite a la reclamante 1, con fecha 26 de julio de 2021,
documento en el que se le indica que se ha recibido en este Departamento de
Conducta de Entidades, escrito procedente de CAIXABANK, S.A., en el que comunica,
en relación con la reclamación presentada el ***FECHA.1, que han procedido a
rectificar la situación objeto de discrepancia, habiéndole sido aquel notificado por la
propia entidad, por lo que consideramos que su reclamación ha quedado satisfecha
conforme a lo previsto en el artículo 14 de la Orden ECC/2502/2012, de 16 de
noviembre, por la que se regula el procedimiento de presentación de reclamaciones
ante los servicios de reclamaciones del Banco de España, la Comisión Nacional del
Mercado de Valores y la Dirección General de Seguros y Fondos de Pensiones. Se le
indica que a tal fecha se procede al archivo de la reclamación.

La reclamante 1 formula alegaciones ante el Banco de España, con fecha de firma 26
de julio de 2021, señalando que se opone al archivo indicando expresamente que la
incidencia no está resulta.

Señala que,

Desde enero, y de todas las vías conocidas (el único que se preocupó fue mi
gestor, y ni siquiera a él le daban una respuesta) he intentado solucionar las
cosas de forma amistosa, pero JAMÁS se me dió solución y ni siquiera una
respuesta. Se interpuso una reclamación formal a fecha 17 de febrero, a la cual
JAMÁS se dio solución ni respuesta, (hasta la llamada el 8 de julio) cuando
están en la obligación de responder en el transcurso de un MES. Que quede
claro que la situación actual en la que nos encontramos es debido únicamente
y exclusivamente a CaixaBank, y sus no respuestas desde el inicio. Debido a
esto, me siento ninguneada como cliente, ya que solamente se ha respondió a
raíz de la reclamación al BDE.

Por otro lado, la situación actual del problema de la presente reclamación sigue
igual y evidentemente no voy a parar nada que no está resuelto. Además, solo
se han puesto en contacto conmigo, cuando aquí hay más personas
involucradas. (el subrayado es nuestro).

DÉCIMO QUINTO:
El 19 de agosto de 2021 los letrados de la parte reclamante remiten al Banco de
España escrito en relación con la reclamación presentada por la parte reclamante 1
ante dicha entidad (pues tras las alegaciones de la parte reclamante 1 la reclamación
presentada por esta no fue archivada).

Indican que,

ÚNICA.- Que CaixaBank ha procedido a realizar las regularizaciones oportunas
de sus marcas de control (sustitución de la de “apoderada” por la de
“autorizada”), fuente del error administrativo padecido, con lo que se actualizan
y corrigen automáticamente las facultades de visualización que la madre de la
reclamante tiene de los productos de ésta, gracias a lo cual actualmente consta
que a través del servicio de banca digital por internet CaixaBankNow la madre
de la reclamante puede realizar consultas únicamente sobre los productos de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/89

los que es autorizada, que son actualmente las cuentas a la vista número
***REFERENCIA.2 y ***REFERENCIA.3.

…En este sentido, justificamos las regularizaciones realizadas en este sentido,
tanto respecto a las cuentas como de limitación de los movimientos de tarjetas:

…esta entidad solicita que se proceda al archivo del presente expediente,
teniéndose a la entidad como allanada y solicitando le sea de aplicación la
doctrina sentada por este Departamento en materia de errores administrativos,
y en consecuencia, declare la inexistencia de actuación contraria a las buenas
prácticas bancarias. (el subrayado es nuestro).

DÉCIMO SEXTO:
El Reclamante 2 presenta reclamación ante la parte reclamada el 4 de octubre de
2021 denunciando los mismos hechos que la reclamante 1.

Indica que,

Cesión de datos por parte de la Caixa a un tercero sin autorización.
Todas las tarjetas vinculadas a la cuenta ***REFERENCIA.1 son vistas por
D.D.D.. Esto lleva ocurriendo más de 9 meses, sin que ustedes den una
solución al problema. Esta señora no tiene nada que ver en mis cuentas y aún
menos en mis tarjetas. Se está vulnerando mi derecho cediendo datos durante
meses y meses.
Por todo ello le solicito que ordene las instrucciones oportunas para que esto
sea subsanado ya. (el subrayado es nuestro).

La parte reclamada le contesta el 27 de octubre se le indica que no es posible admitir
a trámite los hechos puesto que está siendo sustanciada ante el Banco de España.

DÉCIMO SÉPTIMO:
Mediante Informe de ***FECHA.3 del Banco de España resuelve la reclamación
presentada por la reclamante 1, indicando que,

En este caso, entre la fecha (17 de febrero) en que tuvo entrada en la entidad
el escrito de reclamación previa y aquella fecha en que los abogados de la
entidad contactaron por escrito -correo electrónico- con la reclamante (8 de
julio) transcurrieron meses. No consta respuesta del servicio de atención al
cliente a la reclamación distinta de la de acuse de recibo. Y si bien no
disponemos del documento o los datos de la autorización que la reclamante
concedió a su madre, en todo caso la reclamante desde febrero de 2021 puso
de manifiesto ante la entidad su discrepancia con la información de que
disponía o a la que accedía su madre, por ella autorizada, y reiteró una y otra
vez –aportando videos demostrativos- que la incidencia seguía sin resolverse
en esa fecha. (el subrayado es nuestro).

Asimismo, se indica en el informe que tras la presentación de alegaciones de la parte
reclamada 1 en relación con el archivo de la reclamación presentada ante el Banco de
España,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/89

La entidad bancaria presentó nuevo escrito de alegaciones con fecha 19 de
agosto de 2021, en el que solicita de nuevo el archivo del expediente por
allanamiento y manifiesta que ha realizado las regularizaciones oportunas de
sus marcas de control (sustitución de la de “apoderada” por la de “autorizada”),
fuente del error administrativo padecido, con lo que se actualizan y corrigen
automáticamente las facultades de visualización de la madre de la reclamante.
Habla de que en esa fecha la madre de la reclamante podía realizar consultas,
a través del servicio de banca digital por internet CaixaBankNow, únicamente
sobre los productos de los que es autorizada: las cuentas a la vista número …
***REFERENCIA.2 y …***REFERENCIA.3:

La reclamante presentó escrito el 2 de septiembre de 2021 para oponerse de
nuevo al allanamiento y archivo del expediente, manifestando que
efectivamente el 8 y el 13 de agosto un abogado le comunicó indicando que
estaba todo arreglado, pero no era así y su madre podía ver las tarjetas de
crédito además de todos sus datos de hipoteca, seguros de vida etc. Afirma
que, aunque la documentación aportada por CAIXABANK indica que todo está
solucionado, a esa fecha (02/09/2021) es mentira y aporta videos
demostrativos. Aclara que la documentación que aporta CAIXABANK son
pantallazos de los ordenadores de ellos, y desde un inicio su gestor el
comprobó que eso estaba bien y, aunque ellos vieran eso en la pantalla, no era
verdad.

…La entidad, en sus dos escritos de alegaciones, reconoce la incidencia o
error y comunica que lo ha solucionado. Como documentación adjunta a sus
alegaciones, solo aporta el correo electrónico que dirigió a la reclamante el 8
de julio de 2021…La reclamante, no obstante, en sus distintos escritos, el
último de 2 de septiembre de 2021, indica que el problema seguía sin
solucionarse y aporta videos demostrativos. Además, se queja de falta de
respuesta de la entidad a su reclamación, que presentó por primera vez en la
oficina bancaria el 17 de febrero de 2021 y el servicio de atención al cliente le
acusó recibo el 23 de marzo de 2021.

…Llegados a este punto, debemos señalar que el incumplimiento de la
obligación, por parte de las entidades, de atender y resolver en plazo las
quejas y reclamaciones presentadas por sus clientes, que revela una actuación
deficiente en el funcionamiento del servicio de atención al cliente y una
desatención hacia el usuario del servicio financiero, podría ser constitutivo de
un quebrantamiento de la normativa de transparencia (el subrayado es
nuestro).

FUNDAMENTOS DE DERECHO

I Competencia

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/89

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento, la Directora de la Agencia Española de
Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II Cuestiones previas

Ha de comenzarse indicando que, de acuerdo con el art. 4.1 RGPD, se entiende por
«datos personales: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

Sentado lo anterior, recordemos que los movimientos bancarios de una cuenta
bancaria contienen datos concernientes a su titular y que, por lo tanto, han de
considerarse como datos de carácter personal en el sentido señalado en el apartado
precedente. En idéntico sentido, también son datos personales los movimientos de las
tarjetas de crédito o débito.

Por su parte, el artículo 4.2. del RGPD define el tratamiento como “cualquier operación
o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos
personales, ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.

Finalmente, señalar que, según el apartado 7 de dicho precepto se considera como
responsable del tratamiento a la persona física o jurídica, autoridad pública, servicio u
otro organismo que, solo o junto con otros, determine los fines y medios del
tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y
medios del tratamiento, el responsable del tratamiento o los criterios específicos para
su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados
miembros;

En atención a lo señalado, tal y como se ha indicado en los apartados precedentes, la
reclamación se presenta debido al acceso que se produce a las 3 cuentas abiertas en
la parte reclamada de las que en dos de ellas es titular exclusiva la reclamante 1,
(incluyendo todos los productos asociados a las mismas) y en la otra es cotitular con la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/89

parte reclamante 2, por parte de la persona (la madre de la parte reclamante 1) que es
autorizada en sólo dos de las cuentas, en concreto en las finalizadas en
***REFERENCIA.2 y en ***REFERENCIA.3.

Nos encontramos, por lo tanto, ante un tratamiento de datos personales de la parte
reclamante 1 y de la parte reclamante 2 del que es responsable la parte reclamada.

III Respuesta a las alegaciones del acuerdo de inicio

En respuesta al acuerdo de inicio del presente procedimiento sancionador, la entidad
reclamada, ha presentado diferentes manifestaciones (indicadas en apartados
precedentes), afirmando que este procedimiento sancionador debe archivarse por
ausencia de tipicidad, ya que D.D.D. (madre de la reclamante 1) está autorizada por
B.B.B. , (reclamante 1), para visualizar la información relativa a la cuenta
***REFERENCIA.1, cuya titularidad ostentan la reclamante 1 y el reclamante 2, motivo
por el cual considera que su actuación es acorde a derecho, ya que se adecua a la
normativa regulada en el código civil.

A este respecto, debemos recodar, que si bien la parte reclamada reconoce
inicialmente que esta visualización de datos personales de la reclamante 1 por parte
de tercero no autorizado se corresponde con una incidencia- en tal sentido se
pronuncia, por ejemplo, en la respuesta proporcionada al Banco de España en el
marco de la reclamación presentada por la reclamante 1 ante dicho Organismo- en las
alegaciones vertidas al acuerdo por el que se da inicio al presente procedimiento
sancionador, afirma que dicha visualización se corresponde con una decisión
autónoma de la parte reclamante consecuencia de (i) el carácter solidario de la cuenta
que comparte con el reclamante 2 y (ii) su decisión de reconocer como autorizada a su
madre en las cuentas de las que es titular- y, por lo tanto, también de la que comparte
con el reclamante 2-

Es decir, es únicamente cuando se inicia el procedimiento ante esta Agencia de
protección de Datos cuando, a pesar de venir reconociendo desde febrero de 2021
que los hechos por los que se reclama constituyen una incidencia achacable a la
propia entidad reclamada, y en un argumento con el que parece eludir su
responsabilidad la misma, alega que los hechos acontecidos derivan de una decisión
de la propia reclamante. Llama la atención que dicha incidencia o error haya sido
reconocido por la propia reclamada en su respuesta al Banco de España, cuyo
informe, de ***FECHA.3 recordemos, señala lo siguiente La entidad, en sus dos
escritos de alegaciones, reconoce la incidencia o error y comunica que lo ha
solucionado y que sea únicamente cuando se inicia procedimiento sancionador por
una presunta vulneración de la normativa de protección de datos de carácter personal
cuando se intente hacer recaer la responsabilidad en la propia reclamante.

Asimismo, el “error” ha sido reconocido también ante la reclamante 1 en múltiples
ocasiones por la reclamada, tal y como consta en los hechos probados. Así, por
ejemplo, en el correo electrónico ***FECHA.2 remitido a la reclamante 1 remitido por
los letrados de la parte reclamada en relación con un intento de acuerdo derivado de la
reclamación presentada por la reclamante 1 ante el Banco de España le confirman

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/89

expresamente que tal y como hemos hablado, deseamos hacerle llegar la voluntad de
CaixaBank de encontrar una solución amistosa a la situación planteada por usted, en
relación con la posibilidad de un tercero de poder consultar posiciones de sus
productos, a pesar de no estar autorizado en los mismos, sino sólo en dos cuentas a
la vista. Al respecto, y tal y como le hemos indicado, parece ser que existió una
incidencia técnica con los usuarios de usted y de su madre y que debería ser resuelta
con la entrega de nuevas claves con accesos correctos a usted y a su madre. En este
sentido, vamos a contactar con oficina a fin de que inicie los trámites para verificar que
estas claves se emiten de forma correcta, antes de citarlas para hacerle entregas de
las mismas. (el subrayado es nuestro).

En este punto, por su interés, recordemos que el Banco de España, en el informe de
***FECHA.3 antes mencionado y sobre la figura del autorizado en una cuenta bancaria
señala lo siguiente (el subrayado es nuestro):

Los autorizados son personas que, con el consentimiento expreso de los
titulares, pueden disponer con carácter general del saldo existente en la
cuenta. No están facultados para modificar las condiciones del contrato, ni para
cancelar la cuenta, ni para realizar disposiciones contra la cuenta tras el
fallecimiento del titular. La condición de autorizado se obtiene por autorización
expresa del titular o titulares de la cuenta y habitualmente por escrito, siendo
uso y práctica bancaria que se recojan en ese momento tanto las firmas de los
titulares como de las personas autorizadas.

A este respecto, señalemos que la autorización, según indica el propio Banco de
España, viene referida a un poder de disposición respecto de los fondos consignados
en la cuenta bancaria. Cuestión distinta, ha de entenderse, a la visualización de los
movimientos referidos a todos los productos asociados a la misma; circunstancia que
es la que se ha producido en el caso que nos ocupa, tal y como se refleja en los
términos de la reclamación.

Por otro lado, afirma el Banco de España que La condición de autorizado se obtiene
por autorización expresa del titular o titulares de la cuenta. Aplicada esta afirmación al
caso que nos ocupa, y tratándose la cuenta finalizada en ***REFERENCIA.21 una
cuenta compartida entre ambos reclamantes, la condición de autorizado de un tercero
habría de contar con la autorización expresa de ambos cotitulares. Siendo que la parte
reclamada afirma que, una vez que la reclamante 1 designa como autorizada a su
madre, esta adquiere dicha condición respecto de todas las cuentas de titularidad
(incluida la compartida con el reclamante 2), no puede sino entenderse que esta
práctica sería contraria a lo afirmado por el propio Banco de España.

La parte reclamada en relación con la necesidad de consentimiento del reclamante 2
ha afirmado en su escrito de alegaciones lo siguiente:

“la exigencia del consentimiento del C.C.C. para que D.D.D. (en sustitución de
B.B.B.) pudiera acceder a información pierde todo el sentido cuando se
contextualiza con el resto del ordenamiento jurídico y, en particular, con lo
dispuesto en el Código Civil, que contempla las relaciones solidarias, así como
figura del mandato, para el que se permite total libertad de forma. Entender lo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/89

contrario supondría desnaturalizar la dinámica de las relaciones solidarias (que
permiten el ejercicio independiente de los derechos de la forma que se estime
conveniente), así como desnaturalizar el apoderamiento, que permite el
ejercicio independiente de derechos a través de un tercero (que actúa como
una suerte de alter ego en el tráfico jurídico). Tanto es así, que exigir el
consentimiento en los términos pretendidos por la AEPD hubiera supuesto un
incumplimiento del Contrato de Cuenta Corriente, en la medida en que este
Contrato permite a sus cotitulares ejercitar sus derechos de forma
independiente (con independencia de la forma de ejercicio) y sin que sea
precisa la concurrencia del otro titular. “

En este sentido, ha de indicarse que, si la parte reclamada estuviese planteando una
posible colisión entre el Código Civil y la normativa vigente en materia de protección
de datos personales, ha de indicarse que en estos casos es de aplicación el principio
de especialidad, según el cual la norma con una regulación directa y específica de la
materia de la que se trate prevalece sobre cualquier otra.

La interpretación jurisprudencial niega la supletoriedad de la ley general en las
cuestiones reguladas directamente por la ley especial. El principio de especialidad
resuelve el problema del concurso de leyes o de conflicto aparente de las mismas
mediante la aplicación preferente y prioritaria de la norma especial.

Y todo ello sin perjuicio de que la propia parte reclamada en el escrito remitido el 19 de
agosto de 2021 al Banco de España en relación con la reclamación presentada por la
parte reclamante 1 ante dicha entidad indican que,

Así las cosas, el caso que nos ocupa, pretende vislumbrar si el acceso a los datos de
la cuenta corriente, así como de la tarjeta N.º ***REFERENCIA.5, asociada a la cuenta
***REFERENCIA.1, titularidad tanto de la reclamante 1 como del reclamante 2, supone
o no una vulneración de la normativa de protección de datos de carácter personal.

Como el tema a tratar versa sobre la protección de datos de carácter personal, de
conformidad con el principio de especialidad, es de aplicación preferente por su
especialidad en la materia, RGPD, y la LOPDGDD.

Por lo tanto, es totalmente imprescindible, amén de lo que indica el propio Banco de
España en su informe de ***FECHA.3, contar con el consentimiento de ambos
reclamantes para poder acceder a los datos de la tarjeta N.º ***REFERENCIA.5,
asociada a la cuenta ***REFERENCIA.1.

Esto es así, ya que dicha cuenta es titularidad de los dos reclamantes, no sólo de la
reclamante 1, por lo que ambos tienen derecho a que sus datos personales sean
tratados lícitamente, lo cual implica necesariamente que se haya otorgado el
consentimiento de en este caso, los dos titulares, todo ello de conformidad con el
artículo 6.1 a) del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/89

Aclarado este punto indicar que la parte reclamada es considerada por tanto
responsable del tratamiento, dado que es quien determina los fines y medios de tal
actividad, en virtud del artículo 4.7 del RGPD antes mencionado:

El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de
seguridad de los datos personales” (en adelante brecha de seguridad) como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o
alteración accidental o ilícita de datos personales transmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos.”
Así las cosas, ha de hacerse notar que permitir el acceso a un tercero, en este caso a
la madre de la reclamante 1, a los movimientos de la cuenta y de los productos
asociados a la misma en la que no aparece como persona autorizada, supone una
brecha de datos personales, categorizada como una brecha de confidencialidad.

Según el GT29 se produce una “Violación de la confidencialidad” cuando se produce
una revelación no autorizada o accidental de los datos personales, o el acceso a los
mismos.

Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la
integridad y confidencialidad de los datos personales se garantiza en el apartado 1.f)
del artículo 5 del RGPD.

Por otro lado, el artículo 32 del RGPD señala la obligación de adoptar las medidas
organizativas y de seguridad adaptadas al riesgo del tratamiento.

Finalmente, la protección de datos desde el diseño y por defecto, es decir, las medidas
técnicas y organizativas que como mínimo han de ser adoptadas con carácter general
en todo tratamiento de datos personales que se realice, viene regulada en el artículo
25 del RGPD.

IV Respuesta a las alegaciones a la propuesta de resolución

En respuesta a la propuesta de resolución del presente procedimiento sancionador, la
entidad reclamada ha presentado alegaciones (transcritas en el antecedente décimo),
referidas, en esencia, a la ausencia del principio de tipicidad, a la ausencia de
culpabilidad y a la falta de proporcionalidad de la cuantía de la sanción propuesta.

En primer lugar, en relación a la ausencia del principio de tipicidad, la entidad
reclamada indica que al ser la cuenta que compartían los reclamantes una cuenta
solidaria, la autorización otorgada por uno de los cotitulares a un tercero permite
visualizar todos los productos que ostente dicho cotitular, incluidos los relativos a la
cuenta solidaria, señalando que en el caso que nos ocupa no es de aplicación la
normativa de protección de datos sino que habría de acudirse a la legislación civil para
lo cual mencionan una Sentencia de la Audiencia Nacional, de octubre de 2023, sobre
autorización mediante poder notarial relativa al consentimiento somo base de
legitimación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/89

En primer lugar, debemos traer a colación las condiciones en las que fue autorizada la
madre de la reclamante 1 y que se reflejan en el hecho probado cuarto en los
siguientes términos:

El 3/02/2021 la reclamante 1 firmó contrato CaixaBank Now (Contrato nº (…)
***REFERENCIA.6) referido a la cuenta ***REFERENCIA.2 y que permite
realizar la operativa relativa a la misma de forma electrónica.

En el apartado 2 de dicho contrato- usuarios autorizados- figura lo siguiente:
Personas que pueden acceder a su CaixaBankNow D.D.D., con ***NIF.1,
Número de usuario ***REFERENCIA.19 y nivel Operativo.

Según la página 9 del mencionado contrato, apartado 1.2:

Adicionalmente, usted puede nombrar a otras personas para que puedan usar
su CaixaBankNow:

> Usuarios autorizados: usted autoriza a estas personas para que
puedan acceder a su CaixaBankNow en los niveles de Acceso básico,
Consulta o Consulta y preparación (vea el punto siguiente), excepto que
usted nos indique lo contrario.
Esta autorización queda sin efecto cuando termina el plazo de tiempo
por el que usted la ha autorizado, o si nos comunica que ya no quiere
que la persona sea autorizada.

> Usuarios personalizados: usted puede decidir el grado de acceso que otorga
a estas personas, de acuerdo con los siguientes niveles:
> Básico: permite al usuario presentar documentos para realizar
distintas operaciones, como domiciliaciones, transferencias, etc., que requieren
la firma del titular o de un usuario con plenas facultades. La finalidad es que el
usuario prepare las operaciones para que usted, como titular, las consienta con
posterioridad.
> Consulta: permite al usuario consultar los servicios contratados así
como su operativa concreta.
> Consulta y preparación: es la suma de los dos niveles anteriores. >
Todo permitido: el usuario puede acceder a todos los servicios que ofrece
CaixaBankNow.
> Detallado: el usuario puede tener distintos niveles de acceso, según el
tipo de servicio: cuenta corriente, fondo de inversión, seguro, etc.

No figura definición alguna sobre lo que ha de entenderse como usuario
autorizado de nivel operativo. (…)

En este sentido, debemos insistir en que, contrariamente a lo alegado por la
reclamada, el nivel de autorización de usuaria de su madre para el que la reclamante 1
dio su consentimiento, no se corresponde siquiera con las opciones que planteaba el
propio contrato que la parte reclamada puso a la firma de la reclamante 1. Por ello, el
consentimiento presuntamente otorgado y en el que la parte reclamada centra sus
alegaciones no es tal, al no constar siquiera en el documento firmado por la
reclamante 1 qué debe entenderse por autorizado “nivel operativo”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/89

Además, aun cuando se hubiera considerado válido ese consentimiento, desde el
momento en que la reclamante manifiesta por activa y por pasiva, de modo
ininterrumpido (hasta el punto que presenta reclamaciones ante la entidad, ante su
delegado de protección de datos, ante el Banco de España y ante la AEPD) su
oposición al acceso por la persona presuntamente autorizada por ella a la cuenta
compartida con el reclamante 2 y los productos asociados a la misma, a efectos de la
protección de datos, e incluso en el ámbito civil, puede entenderse que revocó el
consentimiento. Por ello, a partir de ese momento ese tratamiento de datos personales
no tendría cobertura legal y la parte reclamada tendría que haber solucionado el
problema planteado por la reclamante 1 de forma inmediata. Por el contrario, la
voluntad clara de la reclamante 1, manifestada, como decimos, de forma reiterada, no
fue atendida por la parte reclamada en una actitud que no puede dejar de calificarse
como altamente negligente. Como botón de muestra, recordemos que las
comunicaciones de la parte reclamante 1 de 19 y 21 de febrero de 2021, dirigidas al
Delegado de Protección de Datos de la parte reclamada fueron respondidas el 9 de
febrero de 2023, dos años después y sólo un día antes de que la reclamada
contestara el 10 de febrero de 2023 la solicitud de información solicitada por la AEPD,
una vez presentada reclamación ante esta Autoridad.

Estas circunstancias demostrarían una indebida atención por la parte reclamada a las
reiteradas manifestaciones por la parte reclamada de su voluntad contraria al acceso a
su información personal que se estaba produciendo.

Trae a colación la parte reclamada la sentencia dictada por la Audiencia Nacional, Sala
de lo Contencioso-administrativo, Sección 1ª, Sentencia de 3 Oct. 2024, Rec.
990/2022 en el que, como bien se indica en el escrito de alegaciones, se plantea se
plantea un supuesto relativo a la apertura de una cuenta bancaria por un tercero sin
tener poder de representación que le habilitara para ello. Como bien indica la
reclamada, la Audiencia Nacional concluye que el contrato de apertura de cuenta
bancaria formalizado excedía de los límites del poder notarial conferido al tercero.
Pero obvia la reclamada señalar que, precisamente, lo que se dilucida en esta
sentencia es la necesidad de acreditar el consentimiento para el tratamiento de los
datos personales de un interesado- en el caso de autos, la hija a cuyo nombre se abre
una cuenta bancaria con base a un poder notarial otorgado a su padre, excediéndose
de los límites del mismo y , en el caso del presente procedimiento sancionador,
permitiendo la visualización de la cuenta compartida por los reclamantes 1 y 2 por
parte de la madre de la primera, sin la debida autorización- y que, en el presente caso,
dicho consentimiento, informado, libre e inequívoco según exige la normativa de
protección de datos, no se ha producido.

Resulta interesante traer a colación parte del argumentario contenido en la
mencionada sentencia para, de nuevo, reiterar que la reclamada no actuó con la
debida diligencia ya que, al igual que en el caso de autos

(...) Ahí la entidad bancaria no obró con la diligencia que como tal entidad se le
debe exigir puesto que incluyó en la cuenta corriente a una persona que no estaba
suficientemente representada en el poder empleado por Carlos Francisco para la
apertura de la misma y su inclusión obedeció tan solo a esa posición genérica de
comunera o miembro de una comunidad de bienes.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/89

En los hechos de los que trae causa el presente procedimiento sancionador y ante las
insistentes manifestaciones realizadas por los reclamantes, no se actuó con la debida
diligencia para poner fin a la visualización por la madre de la reclamante 1 de la cuenta
compartida y los productos asociados a la misma tal y como de forma indubitada
deseaba la reclamada.

Resulta de nuevo interesante recordar la literalidad del pronunciamiento judicial traído
a colación por la reclamada, en el que se recuerda que el ámbito competencia de la
Agencia de Protección de Datos respecto de cuestiones del ámbito civil- como los
supuestos de contratación-. A este respecto, la Audiencia Nacional recuerda que:

Tal y como reconocen las partes, esta cuestión ha sido resuelta por la sala, e
indicamos la sentencia de 8 de mayo de 2014 (recurso nº1/142/2013): "...se va a
analizar en primer lugar, la invocada incompetencia de la Agencia Española de
Protección de Datos, por cuanto en el caso de autos se plantea la existencia de
contratación que es una cuestión civil, no de protección de datos de carácter
personal. Se trata de una cuestión que [...] ha sido desestimada por la Sala de
manera reiterada de la manera siguiente. Corresponde a la Agencia Española de
Protección de Datos a tenor del art.37.a) de la LOPD, velar por el cumplimiento de
la legislación sobre protección de datos y controlar su aplicación, así como ejercer
la potestad sancionadora en los términos previstos en el Título VII de la citada Ley
(art. 37.g). Tiene por tanto competencia para la represión de conductas que afectan
al ámbito de protección de datos, entre las que se encuentran las vulneraciones de
los principios del consentimiento y calidad de datos apreciados por la resolución
administrativa impugnada y establecidos en los arts. 6.1 y 6.3 de la LOPD. Y si
dichos principios exigen que los datos de una persona tratados por un tercero, se
realicen con su consentimiento y sean veraces y exactos, la Agencia Española de
Protección de Datos, a los solos efectos de determinar si se ha producido o no la
vulneración de los citados principios, puede realizar una valoración sobre si el
consentimiento para el tratamiento de los datos del afectado en relación con unos
determinados servicios, cuenta o no con la cobertura de la contratación de dichos
servicios y sobre la exactitud y veracidad de un determinado dato, como puede ser
la existencia de una deuda informada a un fichero de solvencia patrimonial.

En el caso que nos ocupa, esta Agencia de Protección de Datos realiza precisamente
eso, vela por el cumplimiento de la normativa de protección de datos y, en este
supuesto, considera que la conducta de la que es responsable la parte reclamada no
ha respetado los principios contenidos en la misma, lo que ha supuesto una
vulneración del derecho a la protección de datos de los reclamantes.

A mayor abundamiento señalar que el ordenamiento jurídico no está conformado por
apartados normativos estancos y que la normativa de protección de datos es de
aplicación trasversal, y que la supuesta aplicación de la legislación civil alegada por la
reclamada no excluye de plano la aplicación del RGPD.

Por otro lado, la entidad reclamada en sus alegaciones a la propuesta de resolución,
califica como “de irrelevantes” las consideraciones realizadas por el Banco de España
en el informe tras la reclamación ante dicha Autoridad presentada por los reclamantes.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/89

En este sentido ha de indicarse que el Banco de España, es una autoridad de
supervisión y control, reconocida en la ley 13/1994, de 1 de junio, de Autonomía del
Banco de España, en cuyo artículo 7.6 establece entre sus funciones la siguiente:

“El Banco de España deberá supervisar, conforme a las disposiciones vigentes, la
solvencia, actuación y cumplimiento de la normativa específica de las entidades de
crédito.”

Es en el marco de sus funciones que los reclamantes acudieron al Banco de España,
en distintas fechas, tal y como consta en los hechos probados y que, a resultas del
procedimiento llevado a cabo por dicha Autoridad de Supervisión, en su informe de
diciembre de 2021 realiza las manifestaciones reflejadas en el hecho probado décimo
séptimo, entre las que destacan las siguiente:

(…) en todo caso la reclamante desde febrero de 2021 puso de manifiesto ante
la entidad su discrepancia con la información de que disponía o a la que
accedía su madre, por ella autorizada, y reiteró una y otra vez –aportando
videos demostrativos- que la incidencia seguía sin resolverse en esa fecha. (el
subrayado es nuestro).

(…)
La entidad bancaria presentó nuevo escrito de alegaciones con fecha 19 de
agosto de 2021, en el que solicita de nuevo el archivo del expediente por
allanamiento y manifiesta que ha realizado las regularizaciones oportunas de
sus marcas de control (sustitución de la de “apoderada” por la de “autorizada”),
fuente del error administrativo padecido, con lo que se actualizan y corrigen
automáticamente las facultades de visualización de la madre de la reclamante.
(…)

Estos extractos, además de reflejar la insistencia y contundencia con la que la
reclamante expresaba su voluntad de que su madre dejara de visualizar información

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/89

para la que no deseaba autorizarla, indica también cómo la parte reclamada actuó
respecto a lo manifestado- reiterada y contundentemente, insistimos- por la
reclamante, calificando la situación como incidencia o error.

No cabe por menos que cuestionarse, ante lo alegado ahora por la reclamada, que, si
lo planteado por la reclamante 1 fue calificado en el marco de la investigación
desarrollada por el Banco de España como “incidencia o error”, pretenda ahora
cuestionar la relevancia de dichas alegaciones para argumentar su falta de
culpabilidad en la conducta objeto del presente procedimiento sancionador. Así, dicha
inconsistencia en cuanto a la calificación misma de los hechos (ante la autoridad de
supervisión bancaria, una incidencia o error y, ante esta AEPD, como una operativa
derivada de la propia autorización otorgada por la reclamante 1) no viene sino
demostrar, a nuestro juicio, precisamente, la responsabilidad de la reclamada en los
hechos acontecidos.

Y ello, por supuesto, sin perjuicio de que la propia reclamada había considerado de
forma sostenida que los hechos reclamados eran producto de una incidencia. Postura
que, como ha quedado acreditada, sólo fue modificada cuando por parte de esta
AEPD se inició procedimiento sancionador por vulneración de la normativa de
protección de datos.

A mayor abundamiento, la AEPD debe reiterar que el Banco de España, en el informe
de ***FECHA.3 sobre la figura del autorizado en una cuenta bancaria señala que La
condición de autorizado se obtiene por autorización expresa del titular o titulares de la
cuenta.

Aplicada esta afirmación al caso que nos ocupa, y tratándose la cuenta finalizada en
***REFERENCIA.21 una cuenta compartida entre ambos reclamantes, la condición de
autorizado de un tercero habría de contar con la autorización expresa de ambos
cotitulares. Siendo que la parte reclamada afirma que, una vez que la reclamante 1
designa como autorizada a su madre, esta adquiere dicha condición respecto de todas
las cuentas de titularidad (incluida la compartida con el reclamante 2), no puede sino
entenderse que esta práctica sería contraria a lo afirmado por el propio Banco de
España que, recordemos, es la autoridad de supervisión y control de las entidades de
crédito y a cuyo criterio éstas han de ajustarse.

La entidad reclamada señala además en sus alegaciones a la propuesta de resolución
que las infracciones de los artículos 32 y 25 del RGPD - que responden a la supuesta
ausencia de medidas adecuadas y a las supuestas deficiencias en el diseño han
prescrito por haber acaecido los hechos en 2021. En respuesta a tal afirmación, la
AEPD ha de indicar que ambas infracciones no están prescritas, pues al no haberse
adoptado medidas por parte de la entidad reclamada para evitar la comisión de ambas
infracciones, su incumplimiento se sigue produciendo. Así, la obligación de adoptar
medidas de carácter técnico y organizativo de seguridad apropiadas para garantizar un
nivel de seguridad adecuado al riesgo derivado del tratamiento de datos personales
(art. 32 RGPD) y de establecer procedimientos en los que se tenga en cuenta la
privacidad por defecto y desde el diseño nace con la entrada en vigor del RGPD en
mayo de 2018 y su incumplimiento permanece hasta que no se adopten medidas al
respecto. Los hechos de 2021 tan sólo demuestran el nivel de cumplimiento de dichas
obligaciones.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/89

Cabe recordar que se considera que existe una infracción permanente, tal y como
afirma el TS en su sentencia de 20 de noviembre de 2007, (Rec. 170/2003), a
“aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un
sólo acto, determinando el mantenimiento de la situación antijurídica a voluntad del
autor, caso del desarrollo en el tiempo de actividades sin las preceptivas
autorizaciones y otros supuestos semejantes”.

Con relación a las alegaciones referidas a la ausencia de culpabilidad, la entidad
reclamada insiste en el consentimiento dado por la reclamante, cotitular en la cuenta
compartida, y que permitió a la autorizada (su madre) visualizar todos los productos.

La AEPD ha de incidir nuevamente en que es totalmente imprescindible, y así lo indica
el propio Banco de España en su informe de ***FECHA.3, contar con el
consentimiento de ambos reclamantes para poder acceder a la cuenta compartida y
los productos asociados a la misma.

En este sentido ha de incidirse por parte de la AEPD en la ausencia de información
sobre las condiciones de usuario autorizado de nivel operativo y las deficiencias del
consentimiento, ya que el mero hecho de que alguien consienta no implica que el
tratamiento sea lícito, si dicho tratamiento es contrario a la normativa de protección de
datos personales. Además, ha de tenerse en cuenta que, en la eventualidad de que
pudiera considerarse que se prestó un consentimiento inicial, este ha sido revocado
de forma clara e insistente tal y como se observa de las diversas manifestaciones
realizadas por la reclamante 1 a la reclamada por un período de casi dos años .

La reclamada alega, asimismo, la existencia de non bis in idem y concurso medial
previsto en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico
del Sector Público que, limita la imposición de una única sanción en caso de cometer
infracciones que deriven necesariamente de otras. Todo ello al entender que la
presunta comisión de ambas infracciones, del artículo 5.1 f) y del articulo 32 RGPD,
provienen de un único hecho.

Frente a este argumento, debemos señalar que el artículo 29 de la LRJSP no resulta
de aplicación al régimen sancionador impuesto por el RGPD, dado que el RGPD
regula por sí mismo el principio de proporcionalidad.

El RGPD es una norma europea directamente aplicable en los Estados miembros, que
contiene un sistema nuevo, completo y global destinado a garantizar la protección de
datos de carácter personal de manera uniforme en toda la Unión Europea, lo que no
se conseguiría si cada autoridad de control aplicase de manera que pudiera ser
contraria a dicho principio armonizador sus preceptos nacionales. Y ello también en
relación con el régimen sancionador dispuesto en el RGPD, resultan de aplicación sus
disposiciones que han de entenderse, interpretarse e integrarse de forma completa,
íntegra, dejando así indemne su finalidad última que es la garantía efectiva y real del
derecho fundamental a la Protección de Datos de Carácter Personal.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/89

De hecho, una muestra específica de la inexistencia de lagunas en el sistema del
RGPD es el artículo 83 del RGPD, que determina las circunstancias que pueden
operar como agravantes o atenuantes respecto de una infracción (art. 83.2 del RGDP)
o que especifica la regla existente relativa a un posible concurso medial (art. 83.3 del
RGPD), que a diferencia del art. 29.5 de la ley 40/2015, no considera que haya que
imponer “únicamente” la sanción correspondiente a la infracción más grave cometida,
sino que en caso de infracción de varios preceptos del RGPD “la cuantía total de la
multa no será superior a la cuantía prevista para las infracciones más graves.” (esto
es, se castigan todas las infracciones, pero el importe total no podrá ser superior a la
prevista en el RGPD para las infracciones más graves).

El art. 63.2 LOPDGDD consagra no ya el carácter supletorio (que serviría para colmar
lagunas, que no existen, como hemos visto) sino el carácter subsidiario (que no
supletorio) de la normativa general de los procedimientos administrativos respecto de
las normas que rigen los procedimientos de la AEPD en materia de protección de
datos.

Dice así el art. 63.2 LOPDGDD:

2. Los procedimientos tramitados por la Agencia Española de Protección de
Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la
presente ley orgánica, por las disposiciones reglamentarias dictadas en su
desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las
normas generales sobre los procedimientos administrativos.

El legislador español ha optado pues por el principio de subsidiariedad, que no de
supletoriedad, de las normas generales de procedimiento administrativo frente a las
específicas del RGPD y LOPDGDD. Dicha relación entre supletoriedad y
subsidiariedad hay que entenderla, la sentencia de la Audiencia Nacional de 23 de
octubre de 2001 (Rec. 390/1999), cuando recordaba que “el recurso a la
subsidiariedad es una fórmula de colaboración normativa para los casos de concurso
de normas, esto es, para los casos en los que resulten aplicables dos o más de ellas
al mismo supuesto de hecho, de manera que la subsidiaria cede en beneficio de la
primaria a la que, en su caso, complementa”, a diferencia de la supletoriedad, que
tiene por objeto colmar una laguna “de tal manera que cuando un determinado
supuesto no es objeto de regulación por la norma inicialmente aplicable se da paso a
la supletoria, siempre, eso sí, que semejante operación no resulte, .por otras
circunstancias, disconforme al ordenamiento jurídico”

En el presente caso, la norma primaria sería el RGPD, que regula expresamente en su
art. 83.3 la posible existencia de más de una infracción del RGPD en las mismas
operaciones de tratamiento u operaciones vinculadas (regulación expresa de un
posible concurso medial), no siendo de aplicación la regulación del concurso medial
prevista en el art. 29.5 ley 40/2015 precisamente por su carácter subsidiario.

Dice así el art. 83.3 RGPD:

3. Si un responsable o un encargado del tratamiento incumpliera de forma
intencionada o negligente, para las mismas operaciones de tratamiento u
operaciones vinculadas, diversas disposiciones del presente Reglamento, la
cuantía total de la multa administrativa no será superior a la cuantía prevista
para las infracciones más graves.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/89

En consecuencia, no es posible aplicar la regulación subsidiaria que contiene una
regulación diferente a la regulación principal.

A lo anterior hemos de sumar que el RGPD no permite el desarrollo o la concreción de
sus previsiones por los legisladores de los Estados miembros, a salvo de aquello que
el propio legislador europeo ha previsto específicamente, delimitándolo de forma muy
concreta (por ejemplo, la previsión del art. 83.7 del RGPD). La LOPDGDD sólo
desarrolla o concreta algunos aspectos del RGPD en lo que éste le permite y con el
alcance que éste le permite.

Ello es así porque la finalidad pretendida por el legislador europeo es implantar un
sistema uniforme en toda la Unión Europea que garantice los derechos y libertades de
las personas físicas, que corrija comportamientos contrarios al RGPD, que fomente el
cumplimiento, que posibilite la libre circulación de estos datos. En este sentido citar,
por todos, el considerando 2 y 13 del RGPD.

Las multas han de ser efectivas, proporcionadas y disuasorias para la consecución de
la finalidad pretendida por el RGPD.

Para que dicho sistema funcione con todas sus garantías en necesario que varios
elementos se desplieguen de forma íntegra y completa.

La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en
cada uno de los Estados miembros aplicando su derecho nacional, ya sea por
circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD
en el caso español al permitirlo el propio RGPD-, ya sea por la aplicación de un
concurso medial con una consecuencia distinta de la prevista en el RGPD,
restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, la
voluntad del legislador, resultando que las multas impuestas por distintas infracciones
dejarían de ser efectivas, proporcionadas y disuasorias, y en cualquier caso se
perdería su voluntad de dotar de uniformidad al sistema en toda la Unión Europea. Y
de esta forma también se hurtaría a los interesados de la garantía efectiva de sus
derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los
mecanismos de protección de los derechos y las libertades de los ciudadanos y sería
contrario con el espíritu del RGPD.

El RGPD está dotado de su propio principio de proporcionalidad que ha de ser
aplicado en sus estrictos términos. De igual forma que la AEPD no está aplicando los
agravantes y atenuantes dispuestos en el art. 29 de la LRJSP, puesto que el RGPD
establece los suyos propios, por ende, no hay laguna legal ni aplicación subsidiaria del
mismo, tampoco cabe la aplicación de la regulación pretendida del concurso medial
por idénticas razones.

Finalmente, la entidad reclamada realiza una serie de alegaciones relacionadas con la
falta de proporcionalidad de la sanción impuesta.

En primer lugar, de acuerdo con las condiciones generales para el cálculo de las
multas administrativas previstas en el artículo 83, apartados 5 a)- en lo relativo a la
infracción del artículo 5.1 f) del RGPD- y 4 a) en lo relativo a las infracciones del
artículo 32 y 25 del RGPD, las multas administrativas contempladas en el presente
caso se encuentran en el tramo inferior de las sanciones posibles. Se da cumplimiento,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/89

por lo tanto, a lo dispuesto en el artículo 83.1 del RGPD: “Cada autoridad de control
garantizará que la imposición de las multas administrativas con arreglo al presente
artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y
6 sean en cada caso individual, efectivas, proporcionadas y disuasorias.”

Por otro lado, alega también la parte reclamada que la sanción propuesta no está
debidamente motivada porque “procedía que hubiera indicado el importe de la sanción
propuesta sin tales agravantes, así como el impacto en ella de cada una de ellas”.

El artículo 83.2 del RGPD señala que “las multas administrativas se impondrán, en
función de las circunstancias de cada caso individual, a título adicional o sustitutivo de
las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se tendrá
debidamente en cuenta:” (el subrayado es nuestro). Esto es, prevé la valoración de la
sanción en su conjunto atendiendo a todas y cada una de las circunstancias
concurrentes en el caso concreto y que se encuentran previstas en el precitado
precepto.

En esta misma línea se pronuncia la jurisprudencia cuando se refiere al principio de
proporcionalidad, principio “fundamental que late y preside el proceso de graduación
de las sanciones e implica, en términos legales, "su adecuación a la gravedad del
hecho constitutivo de la infracción" como dispone el artículo 29.3 de la Ley 40/2015,
de Régimen Jurídico del Sector Público, dado que toda sanción debe determinarse en
congruencia con la entidad de la infracción cometida y según un criterio de
proporcionalidad en relación con las circunstancias del hecho.” (Sentencias del
Tribunal Supremo de 3 de diciembre de 2008 (rec. 6602/2004) y 12 de abril de 2012
(rec. 5149/2009) y Sentencia de la Audiencia Nacional de 5 de mayo de 2021 (rec.
1437/2020), entre otras).

Así, la Sentencia de la Sala Tercera del Tribunal Supremo, de fecha 27 de mayo de
2003 (rec. 3725/1999), indica que “La proporcionalidad, perteneciente específicamente
al ámbito de la sanción, constituye uno de los principios que rigen en el Derecho
Administrativo sancionador, y representa un instrumento de control del ejercicio de la
potestad sancionadora por la Administración dentro, incluso, de los márgenes que, en
principio, señala la norma aplicable para tal ejercicio. Supone ciertamente un concepto
difícilmente determinable a priori, pero que tiende a adecuar la sanción, al establecer
su graduación concreta dentro de los indicados márgenes posibles, a la gravedad del
hecho constitutivo de la infracción, tanto en su vertiente de la antijuridicidad como de
la culpabilidad, ponderando en su conjunto las circunstancias objetivas y subjetivas
que integran el presupuesto de hecho sancionable (…)”

También podemos citar al efecto la Sentencia del Tribunal Supremo 713/2019, de 29
de mayo (rec. 1857/2018): “Comenzaremos señalando que la proporcionalidad de las
sanciones implica que las mismas vengan atemperadas a la particularizada gravedad
del hecho en la conjunción de las circunstancias de índole subjetivo (que remiten al
infractor) y objetivo (que remiten al hecho típico) siendo que en el campo del derecho
administrativo sancionador en general y en el ámbito del mercado de valores en
particular, no existe unos criterios de dosimetría similares a los recogidos en el artículo
66 del CP y que las circunstancias modificativas difieren de las propias del ámbito
penal. Recordemos que no cabe la aplicación automática, sin matización alguna de los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

74/89

principios informadores del derecho penal al procedimiento administrativo sancionador
(S.TS 6-10-2003 Rec.772/1998).”

Por ello las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el
cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de
mayo de 2022, sometidas a consulta pública, indican que “Por lo que se refiere a la
evaluación de estos elementos, los aumentos o disminuciones de una multa no
pueden determinarse previamente a través de cuadros o porcentajes. Se reitera que la
cuantificación real de la multa dependerá de todos los elementos recogidos durante la
investigación y de otras consideraciones relacionadas también con las experiencias
anteriores de la autoridad de control en materia de multas.”

En definitiva, toda vez que en el presente procedimiento sancionador se indicaron y
explicitaron debidamente las circunstancias que se tuvieron en cuenta para la
cuantificación provisional de la sanción en su conjunto, ésta está debidamente
motivada.

En lo referido a que tan sólo ha sido presentada una reclamación- argumento que
parece que la reclamada considera el impacto limitado en la infracción cometida- ha de
traerse a colación la Sentencia núm. 1792/2024, de la Sala de lo Contencioso
-Administrativo Sección Tercera del Tribunal Supremo, dictada el 11 de noviembre de
2024, en la que se señala lo siguiente:

La Agencia Española de Protección de Datos, en la incoación, tramitación y
resolución de un procedimiento sancionador, puede abordar cuestiones
fácticas y jurídicas conexas o relacionadas con los hechos y argumentos
recogidos en la reclamación que da origen al procedimiento. Y, más
específicamente, en el curso de un procedimiento sancionador iniciado a raíz
de una o varias reclamaciones en materia de protección de datos personales,
cuando se aprecie que las infracciones singulares denunciadas tienen sus
origen común en un documento o instrumento de alcance general que define la
política de la entidad en materia de protección de datos, la AEPD puede, y aun
debe, hacer objeto del procedimiento sancionador a ese mismo documento que
alberga la política de privacidad de la entidad responsable, a fin de examinarlo,
detectar sus posibles carencias o deficiencias, y adoptar, en consecuencia, las
medidas que resulten necesarias en el seno del propio procedimiento
sancionador; (…)

En este sentido, el Tribunal Supremo considera que las competencias de la Agencia de
Protección de Datos se extiende al examen de la actuación que, con carácter general,
pueda llevar a cabo una entidad sujeta a la normativa de protección de datos y que
sea contraria a ésta, con independencia del número de reclamaciones presentadas y
que hayan permitido a la AEPD conocer tales circunstancias.

V Artículo 5.1.f) del RGPD

Establece el artículo 5.1.f) del RGPD lo siguiente:

“Artículo 5 Principios relativos al tratamiento:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

75/89

1. Los datos personales serán:

(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).”

En relación con este principio, el Considerando 39 del referido RGPD señala que:

“[…]Los datos personales deben tratarse de un modo que garantice una seguridad y
confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso
o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”.

La documentación obrante en el expediente ofrece indicios evidentes de que el
reclamado vulneró el artículo 5.1 f) del RGPD, principios relativos al tratamiento.

En el presente caso los reclamantes denuncian el acceso de la madre de la
reclamante 1, a los movimientos de los productos asociados a la cuenta
***REFERENCIA.1, cuya titularidad ostentan los reclamantes, incluidos los de la
tarjeta N.º ***REFERENCIA.5,.

Pero, si bien la madre de la reclamante 1, está autorizada para acceder a las cuentas
***REFERENCIA.2 y ***REFERENCIA.3, de las cuales es titular única su hija, la
reclamante 1, no cuenta con la autorización de los dos titulares de la cuenta
***REFERENCIA.1, por lo que no debería haber podido tener acceso a los
movimientos de los productos asociados a la misma, incluida la tarjeta nº
***REFERENCIA.22..

Pese a ello, se ha constatado por la reclamante 1 y la propia entidad reclamada que la
madre de la reclamante 1 tuvo acceso a los movimientos de la tarjeta N.º
***REFERENCIA.5, asociada a la cuenta ***REFERENCIA.1, es decir, tuvo acceso a
los movimientos de una cuenta cuyo titular es su hija, la reclamante 1, pero también el
reclamante 2, el cual no ha dado autorización a D.D.D. madre de la reclamante 1,
para acceder a los movimientos de la tarjeta N.º ***REFERENCIA.5, asociada a la
cuenta ***REFERENCIA.1, cuya titularidad ostentan los dos reclamantes, no solo la
reclamante 1.

Hemos de destacar, que el reclamante 2 no ha dado autorización a la madre de la
reclamante 1 ni para que acceda a los datos de la cuenta ni para que acceda a los
datos de la tarjeta asociada a la cuenta de la que los dos reclamantes son titulares.

El artículo 5.1 f) del RGPD, determina el cauce a través del cual ha de lograrse el
mantenimiento de la confidencialidad e integridad cuando explicita “mediante la
aplicación de medidas técnicas y organizativas apropiadas” de todo tipo, que no son
estrictamente de seguridad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

76/89

En el presente caso, la reclamada no ha adoptado las medidas necesarias para
cumplir con la voluntad de los reclamantes que son sus clientes. Y es que, desde el 17
de febrero de 2021, la parte reclamante 1 manifiesta su voluntad irrevocable y diáfana
de que su madre no tenga acceso a la cuenta y a los productos ligados a esta de la
que es cotitular junto con el reclamante 2. Reclamante 2 que también muestra idéntica
voluntad inequívoca a través de la reclamación de 4 de octubre de 2021 que formula a
la parte reclamada. El acceso a los datos personales de la reclamante 1 y del
reclamante 2 se está produciendo por parte de madre de la parte reclamante 1 sin
solución de continuidad por la falta de medidas del responsable del tratamiento para
impedir el acceso no consentido por los reclamantes.

Por lo tanto, se considera que los hechos conocidos son constitutivos de una
infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.f) del
RGPD.

VI Tipificación de la infracción del artículo 5.1.f) del RGPD

De confirmarse, la citada infracción del artículo 5.1.f) del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

77/89

VII Sanción por infracción del artículo 5.1 f) del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

78/89

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de cada sanción
por cada infracción, se procede a graduar cada multa teniendo en cuenta las
siguientes circunstancias:

Artículo 83.2.b) RGPD: “negligencia en el tratamiento de los datos” ya que, pese a
tener conocimiento de los hechos denunciados al ser informado por la reclamante 1 en
enero de 2021, no ha adoptado las medidas necesarias para evitar que continue la
infracción, por lo que se considera que la parte reclamada incide todavía más en la
culpabilidad y antijuridicidad de su conducta, ya que el Informe del Banco de España
constata que la parte reclamada no “demuestra haber corregido con diligencia la
incidencia o error”. Recordemos que el Informe del Banco de España es de
***FECHA.3 y, de hecho, no hay constancia a día de hoy, que se haya solucionado la
incidencia reclamada por los reclamantes.

Artículo 83. 2 e) toda infracción anterior cometida por el responsable o el encargado
del tratamiento; Ha de tenerse en cuenta, además, que la entidad reclamada ha sido
sancionada por la AEPD anteriormente mediante la resolución de 09/09/2022 del
PS/00183/2022, por un mal funcionamiento de la banca online de CAIXABANK, al no

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

79/89

realizar adecuadamente el derecho de rectificación ejercido a través de la banca online
de la entidad reclamada.

Mediante las resoluciones de fecha 30/01/2023 y 19/11/2023 correspondientes a los
procedimientos sancionadores, PS/00482/2022 y PS/000254/2023 se sancionó a
CAIXABANK por tratamiento de datos sin legitimación, reconociéndose en el segundo
de ellos la infracción cometida y procediendo al pronto pago de la sanción impuesta de
conformidad con el artículo 85 de la LPAC.

CAIXABANK ha sido sancionada mediante la resolución del PS/00388/2022, por el
artículo 32 del RGPD, al producirse un incidente de seguridad al aportarse los datos
de la cuenta de un tercero (hija de la reclamante), telefónicamente sin haber
comprobado antes la identidad de la persona a la que se facilitaban los datos, motivo
por el cual, la entidad reclamada fue sancionada por una infracción del artículo 32.1
del RGPD tipificada en el artículo 83.4.a) del RGPD, mediante resolución dictada el 22
de mayo de 2023.

Recientemente, mediante resolución de fecha 26/10/2023 del PS/00020/2023, se ha
sancionado a CAIXABANK por varias infracciones, una de ellas por la infracción del
artículo 25 del RGPD, ordenándose, además, que en virtud del artículo 58.2.d) del
RGPD, en el plazo de nueve meses, notifique a la Agencia la adopción de las medidas
necesarias para subsanar las deficiencias advertidas.

Artículo 76.2 b) LOPDGDD: “La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”. La actividad de la entidad reclamada
exige un continuo tratamiento de datos de carácter personal. Asimismo, la entidad
reclamada realiza para el desarrollo de su actividad, un elevado volumen de
tratamiento de datos personales.

La consideración de las circunstancias expuestas, permiten que la valoración inicial de
la cuantía de la multa sea de 500.000 € por vulnerar el principio de confidencialidad de
los datos personales tratados en este caso concreto.

VIII Artículo 32 del RGPD

Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente:

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;

b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

80/89

c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;

d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.

Los hechos puestos de manifiesto suponen la falta de medidas técnicas y
organizativas de seguridad que, en el concreto caso que nos ocupa, han posibilitado
de forma directa el acceso a información de carácter personal de los reclamantes por
parte de un tercero no autorizado. En este caso concreto, por lo tanto, analizada la
documentación contenida en el expediente y las alegaciones realizadas por la parte
reclamada, las medidas técnicas y organizativas de seguridad adecuadas al riesgo del
tratamiento y cuya falta se ha constatado han tenido una incidencia directa en la
pérdida de confidencialidad de datos personales acaecida, sin que se haya producido
una conculcación, en el caso concreto, del artículo 32 del RGPD a no haberse
acreditado la ausencia de otras medidas técnicas y organizativas de seguridad
independientes de la brecha de datos personales, lo que ha de determinar el archivo
del mismo.

XI Artículo 25 del RGPD

El artículo 25 del RGPD, en relación con la protección de datos desde el diseño y por
defecto, establece lo siguiente:

“1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la
naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa
probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de
las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de
determinar los medios de tratamiento como en el momento del propio tratamiento,
medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

81/89

para aplicar de forma efectiva los principios de protección de datos, como la
minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de
cumplir los requisitos del presente Reglamento y proteger los derechos de los
interesados.

2. El responsable del tratamiento aplicará las medidas técnicas y organizativas
apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento
los datos personales que sean necesarios para cada uno de los fines específicos del
tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a
la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales
medidas garantizarán en particular que, por defecto, los datos personales no sean
accesibles, sin la intervención de la persona, a un número indeterminado de personas
físicas.

3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42
como elemento que acredite el cumplimiento de las obligaciones establecidas en los
apartados 1 y 2 del presente artículo.”

La entidad reclamada manifiesta a la AEPD en respuesta al requerimiento efectuado
por esta, que, en el caso concreto, la reclamante 1 ha configurado su cuenta de tal
manera que su madre pueda ver los datos en todas las cuentas. No obstante, más allá
de esas declaraciones y tal y como se indica en las actuaciones previas de
investigación de esta AEPD, la reclamada no ha conseguido probar que ello haya sido
así.

Más allá de lo anterior de tal afirmación, se desprende que se ha vulnerado la debida
protección de datos personales desde el diseño de la aplicación informática de la
entidad financiera, ya que, según afirman, podría permitir que sus clientes, cualquier
cliente, puedan en la aplicación online dar acceso a sus cuentas a terceras personas
sin que den su autorización expresa todos los titulares de la misma en los supuestos
de cuentas corrientes con cotitularidad.

Ha de tenerse en cuenta, en relación con las infracciones antedichas, que por esta
razón la madre de la reclamante 1 no debe ver los datos personales de la cuenta
conjunta de los reclamantes al no ser ni titular ni autorizada por ninguno de ellos.

En concreto, esto se pone de manifiesto para el caso concreto, que sirve de ejemplo
respecto de la privacidad desde el diseño, que en la respuesta de la entidad
reclamada se dice: “En fecha 4 de agosto de 2021, a petición de la Reclamante (1), se
realizó una modificación sobre las opciones descritas en el punto anterior respecto a la
visualización y gestión establecidas en el alta para D.D.D., modificando el nivel de
visualización de “Todo permitido” a “Personalizada”. y ampliando la visibilidad sobre
las cuentas de la Reclamante. En concreto, se permitió la visibilidad de las cuentas
terminadas en: ***REFERENCIA.2, ***REFERENCIA.4, ***REFERENCIA.3,
***REFERENCIA.1”.

Estas circunstancias son ejemplificativas de un mal diseño establecido por la parte
reclamada en su aplicación y para todos los clientes y ello por cuanto, a través de la
banca online, no se debería poder nunca permitir que una persona accediese a datos
personales obrantes en cuentas en las que no se es titular ni persona autorizada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

82/89

Más adelante, la entidad financiera continúa diciendo lo siguiente: “y las
reclamaciones sobre las funcionalidades de la banca online de la Reclamante (1) se
deben a sus propias elecciones en la configuración de las visualizaciones”.

Por lo tanto, la AEPD considera que aunque un cliente hubiese eventualmente
modificado su configuración, una correcta aplicación de banca online, no debería
permitir, en ningún caso, a nadie, la visualización de una cuenta de la que no es titular
ni autorizada.

Además de lo anteriormente indicado, se considera que también existen evidencias
suficientes de un defecto en el diseño de la aplicación informática que da acceso a la
banca online de la entidad reclamada.

Esto es así, ya que se ha constatado que la aplicación informática que da acceso a la
banca online no contempla la posibilidad de la variable de cuentas con más de un
titular, porque parece que no tiene en consideración el requisito de exigir el
consentimiento de todos los titulares en las cuentas que cuenten con más de un titular.

Es lógico considerar la necesidad de contar con el consentimiento de todos los
titulares, y no sólo el de uno de ellos, para que terceros autorizados puedan acceder a
los movimientos de esas cuentas que cuentan con una pluralidad de titulares.

Sin embargo, de conformidad con los hechos constatados, parece que la banca online
de la entidad reclamada no exige el consentimiento- manifestado a través de
autorización expresa- de todos los titulares, sino que le basta con tener el
consentimiento de uno de los titulares para permitir el acceso a terceros, lo cual
vulnera la protección de datos de los titulares que, formando parte de una cuenta de
titularidad conjunta, no hayan dado su consentimiento o autorización.

Por ese motivo, se considera que la aplicación de la banca online de la entidad
reclamada no ha establecido un procedimiento especial y adecuado para aquellas
cuentas con más de un titular, ya que no exige la necesidad de contar con el
consentimiento de todos los titulares de las cuentas con carácter previo a otorgar en
su caso la posibilidad de acceso a los movimientos de dichas cuentas por terceros no
titulares pero autorizados por alguno de los titulares.

A mayor abundamiento, consta una falta de procedimiento de gestión de
reclamaciones de los interesados en materia de protección de datos.

Y ello queda evidenciado en el caso concreto en atención a la falta absoluta de
contestación del delegado de protección, que responde a la reclamante 1 a los dos
años de reclamar ante el mismo los hechos denunciados (de febrero de 2021 a febrero
de 2023), y justo el día antes de que la reclamada suministrara a la AEPD la
información solicitada en el traslado por la reclamación presentada.

Igualmente, desde el 17 de febrero de 2021 hasta el 8 de julio de 2021 no se dio ni
contestación ni solución alguna a la reclamación presentada por la parte reclamante 1.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

83/89

Ni se contestó de fondo a la reclamación del reclamante 2 so pretexto de que se
estaba dilucidando en el Banco de España la reclamación formulada por la reclamante
1.

No se puede dejar de indicar, asimismo, que hasta que los reclamantes acuden a la
AEPD se les indica de manera reiterada por la parte reclamada, igual que al Banco de
España, que se trata de una incidencia técnica. Es a todo punto sorprendente que ante
la AEPD se indique que no ha existido incidencia o error alguno sino que ha sido una
actuación derivada de la decisión de la reclamante de conceder determinado perfil,
responsabilizándola de la situación acaecida.

Si hubiera un procedimiento se habría contestado adecuadamente y solventado la
problemática sufrida por los reclamantes.

De conformidad con las evidencias de las que se dispone, se considera que existiría
un defecto en el diseño de la aplicación informática que da acceso a la banca online
de la entidad reclamada, y, por lo tanto, los hechos conocidos son constitutivos de una
infracción, imputable a la parte reclamada, por vulneración del artículo 25 RGPD.

XII Tipificación de la infracción del artículo 25 del RGPD

De confirmarse, la citada infracción del artículo 25 del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25
a 39, 42 y 43; (…)”

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

d)La falta de adopción de aquellas medidas técnicas y organizativas que resulten
apropiadas para garantizar de forma efectiva los principios de protección de datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

84/89

desde el diseño, así como la no integración de las garantías necesarias en el
tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE)
2016/679.”

XIII Sanción del artículo 25 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

85/89

certificación aprobados con arreglo al artículo 42,

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de cada sanción
por cada infracción, se procede a graduar cada multa teniendo en cuenta las
siguientes circunstancias:

Artículo 83.2.b) RGPD: “negligencia en el tratamiento de los datos” ya que el
responsable del tratamiento se dedica a la actividad bancaria, debiendo tratar a tales
efectos los datos personales de sus clientes y de terceros. La falta de solicitud de los
consentimientos en materia de protección de datos a sus clientes cuando estos son
precisos, por quien es un agente especializado en actividades financieras y bancarias
constituye una falta de diligencia gravísima. Así, en la aplicación diseñada por la parte
reclamada parece que la banca online de la entidad no exige el consentimiento-
manifestado a través de autorización expresa- de todos los titulares, sino que le basta

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

86/89

con tener el consentimiento de uno de los titulares para permitir el acceso a terceros,
lo cual vulnera la protección de datos de los titulares que, formando parte de una
cuenta de titularidad conjunta, no hayan dado su consentimiento o autorización.

Artículo 76.2 b) LOPDGDD:” La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”. La actividad de la entidad reclamada
exige un continuo tratamiento de datos de carácter personal. Asimismo, la entidad
reclamada realiza para el desarrollo de su actividad, un elevado volumen de
tratamiento de datos personales.

La consideración de las circunstancias expuestas, permiten que la valoración inicial de
la cuantía de la multa sea de 3.000.000 € por la infracción del artículo 25 del citado
RGPD, por vulnerar la protección de datos personales desde el diseño con carácter
general, para todos los clientes de la entidad reclamada que sean usuarios de la
banca online de dicha entidad.

XIV Responsabilidad

Establece la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en
el Capítulo III relativo a los “Principios de la Potestad sancionadora”, en el artículo 28
la bajo la rúbrica “Responsabilidad”, lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

87/89

“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa
las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”

Es clara la falta de diligencia de la parte reclamada, tal y como se ha puesto de
manifiesto motivadamente a lo largo del procedimiento.

XV Medidas

Como consecuencia de cada una de las infracciones indicadas, podría acordarse
imponer al responsable la adopción de medidas adecuadas para ajustar su actuación
a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado
artículo 58.2 d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”. La imposición de esta
medida es compatible con la sanción consistente en multa administrativa, según lo
dispuesto en el art. 83.2 del RGPD.

En concreto en este caso, las medidas consisten en informar, en el plazo de tres
meses desde la ejecutividad de la resolución que sea dictada, de las medidas
adoptadas por la entidad responsable para garantizar que el tratamiento de datos
personales que realiza se ajusta a las disposiciones del RGPD, en concreto, en lo
relativo a las garantías de confidencialidad de los datos que se traten y de la adopción
de las medidas técnicas y organizativas de todo tipo que sean adecuadas.

En relación con la infracción del artículo 25 del RGPD, las medidas consisten en
notificar, en el plazo de nueve meses desde que la resolución que ponga fin al
presente procedimiento sancionador sea ejecutiva, la adopción de medidas técnicas y
organizativas de seguridad desde el diseño y por defecto, que garanticen que la
aplicación de la banca online de la entidad reclamada proteja los datos de carácter
personal con carácter general a todos los clientes de la entidad reclamada.

Se advierte que no atender a los requerimientos de este organismo puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos,

RESUELVE:

PRIMERO: IMPONER a CAIXABANK, S.A., con NIF A08663619, por las siguientes
infracciones:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

88/89

 Del artículo 5.1. f), RGPD, tipificada en el art. 83.5 a) calificada como muy
grave a efectos de prescripción en el artículo 72.1 a) de la LOPDGDD, una
multa de 500.000 euros (quinientos mil euros)
 Del artículo 25 del RGPD, tipificada en el art. 83. 4 a) del RGPD y calificada
como grave a efectos de prescripción en el artículo 73 d) de la LOPDGDD, una
multa de 3.000.000 (tres millones de euros).

La suma de las multas propuestas hace un total de 3.500.000 millones de
euros.

SEGUNDO: ARCHIVAR la infracción del artículo 32 del RGPD.

TERCERO: ORDENAR a CAIXABANK, S.A., con NIF A08663619, que en virtud del
artículo 58.2.d) del RGPD, en el plazo de tres meses desde la ejecutividad de la
resolución que sea dictada, la adopción de las medidas adoptadas por la entidad
responsable para garantizar que el tratamiento de datos personales que realiza se
ajusta a las disposiciones del RGPD, en concreto, en lo relativo a las garantías de
confidencialidad de los datos que se traten y de la adopción de las medidas técnicas y
organizativas de todo tipo que sean adecuadas.

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

89/89

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

AEPD (Spain) - EXP202213437

Karar metni