Banka Müşteri Risk Profilinde Veri Koruma Önlemleri

1/49

 Expediente N.º: EXP202213634

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 27 de marzo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a ING BANK N.V.,
SUCURSAL EN ESPAÑA (en adelante, ING). Notificado el acuerdo de inicio y tras
analizar las alegaciones presentadas, con fecha 10 de febrero de 2025 se emitió la
propuesta de resolución que a continuación se transcribe:

Expediente N.º: EXP202213634

PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

ANTECEDENTES

PRIMERO:
A.A.A. (en adelante, la parte reclamante) con fecha 3 de noviembre de 2022 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra ING BANK N.V., SUCURSAL EN ESPAÑA (en adelante, ING) con NIF
W0037986G. Los motivos en que basa la reclamación son los siguientes:

La parte reclamante abrió, hace años, una "Cuenta sin Nómina" con la parte
reclamada. Manifiesta que, hace unos meses, dicha entidad le comunicó que su
cuenta pasaría a denominarse "Cuenta no Cuenta" y que si su saldo superaba los
30.000 euros (como era el caso), se le aplicarían comisiones, por lo que
recomendaban que abriese otra "Cuenta no Cuenta" y repartir el saldo entre ambas,
por lo que se trataba de traspasar un saldo cuyo origen se justificó en su día. No
obstante, manifiesta que, como requisito para poder contratar la nueva cuenta, la parte
reclamada exige que preste su consentimiento expreso para que dicha entidad, en su
nombre, solicite a la Tesorería General de la Seguridad Social información de su
actividad económica, realizar una comprobación de la misma y cumplir así con lo
establecido en la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/49

y de la financiación del terrorismo (LPBCFT). Junto a la reclamación aporta pantallazo
(de fecha 3 de noviembre de 2022) relativo a la contratación de la "Cuenta no Cuenta"
en la que se indica que para finalizar la contratación "es necesario que consultes y
descargues la información precontractual y el documento informativo de comisiones",
añadiéndose a continuación, una cláusula en la que se indica que se confirma la
prestación del consentimiento expreso para que ING solicite a la Tesorería de la
Seguridad Social (TGSS) información sobre su actividad económica, figurando el
botón "confirmar". Asimismo, se añade que, "Al pulsar Aceptar confirma y acepta que
ha leído el Contrato de Prestación de Servicios y sus Anexos...".

La parte reclamante afirma que ING recaba de sus clientes de manera indiscriminada
y desproporcionada datos relativos a su situación en la Tesorería General de la
Seguridad Social, en aplicación de una mala interpretación de la LPBCFT, dado que el
R.D. 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010,
de 28 de abril, establece que "los sujetos obligados comprobarán las actividades
declaradas por los clientes en los siguientes supuestos:

a) Cuando el cliente o la relación de negocios presenten riesgos superiores al
promedio, por disposición normativa o porque así se desprenda del análisis de riesgo
del sujeto obligado.
b) Cuando del seguimiento de la relación de negocios resulte que las operaciones
activas o pasivas del cliente no se corresponden con su actividad declarada o con sus
antecedentes operativos".

Dado que la parte reclamante no se encuentra ni en el caso a) ni en el b), considera
que ING usa como excusa la LPBCFT para hacer firmar una autorización, vulnerando
así principios protegidos por la Constitución y la Ley de Protección de Datos.

Por otra parte, en su reclamación considera que ING vulnera derechos fundamentales,
al incluir, para poder finalizar la contratación de las cuentas, una cláusula en la que se
da autorización para que pueda solicitar en nombre de los clientes información a la
Tesorería General de la Seguridad Social:

Cláusula ING: "Confirmo que he sido informado por ING BANK N.V., Sucursal en
España, que la legislación vigente sobre prevención de blanqueo de capitales obliga a
las entidades bancarias a obtener de sus clientes la información de su actividad
económica y a realizar una comprobación de la misma. Con este exclusivo fin de
verificación de la información facilitada, presto mi consentimiento expreso a ING BANK
N.V., Sucursal en España para que en mi nombre pueda solicitar ante la Tesorería
General de la Seguridad Social dicha información. Los datos obtenidos de la Tesorería
General de la Seguridad Social serán utilizados exclusivamente para la gestión
señalada anteriormente. En el caso de incumplimiento de esta obligación por la
entidad financiera y/o del personal que en ella presta servicios, se ejecutarán todas las
acciones previstas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y Garantía de los derechos digitales."

SEGUNDO:
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), se dio traslado de dicha reclamación a ING para que procediese a su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/49

análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a
cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 09/01/2023 como consta en el
acuse de recibo que obra en el expediente.

Con fecha 08/02/2023 se recibe en esta Agencia escrito de respuesta indicando los
siguientes aspectos:

- Su delegado de protección de datos no ha realizado informe específico sobre el
tratamiento consistente en la verificación de los datos laborales de los
clientes/potenciales, sino que se encuentra englobado en otro tratamiento más
amplio denominado Proceso de Identificación y Conocimiento del Cliente
(Customer Due Diligence (CDD) y Know Your Customer (KYC)). Asimismo, afirma
que el sistema utilizado para compartir la información para la verificación laboral de
sus clientes es monitorizado periódicamente por su departamento de seguridad.

- Considera que no es necesario tomar medidas en relación con la reclamación
presentada aludiendo al Convenio firmado entre la TGSS, la Asociación Española
de Banca, la Confederación Española de Cajas de Ahorro y la Unión Nacional de
Cooperativas de Crédito sobre cesión de información, para justificar el
establecimiento de la cláusula en cuestión.

Continúa reconociendo que la cláusula que la parte reclamante copia en su
denuncia, efectivamente, forma parte del proceso de contratación tanto de la
Cuenta Nómina como de la Cuenta no Cuenta (sin nómina), explicando el proceso
que se ha de seguir. Así, detalla que, tras el acceso a la página web www.ing.es,
una vez que el cliente selecciona la contratación de la Cuenta Nómina o de la
Cuenta no Cuenta, lo primero que se le solicita aportar es su email, su número de
DNI y la fecha de nacimiento. Posteriormente, se le solicitan otros datos
personales como nombre y apellidos, nacionalidad y estado civil, y su dirección.

A continuación se da paso a la pantalla de datos laborales donde se le solicita su
estado laboral, actividad profesional, sector laboral, empresa, ingresos mensuales,
propósito de la relación principal y origen de los fondos, y se muestra la cláusula
donde se solicita el consentimiento para la verificación, con la Tesorería General de
la Seguridad Social (TGSS), de los datos laborales aportados, información que
también se encuentra en la Política de Privacidad para clientes y potenciales
clientes que puede consultarse en la página web www.ing.es, apartado "Privacidad
y Cookies" y en el Contrato de Prestación de Servicios para los clientes.

El redactado de la cláusula es un texto de obligatorio uso que facilita la TGSS a las
entidades que desean usar su servicio de verificación y que voluntariamente se
han adherido al Convenio que se menciona a continuación, en cuyo Anexo III se
recoge el modelo de cláusula a usar.

Con fecha 17/01/2008 la Asociación Española de Banca (AEB), la Confederación
Española de Cajas de Ahorros (CECA) y la Unión Nacional de Cooperativas de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/49

Crédito (UNACC), suscriben con la TGSS un Convenio sobre cesión de
información con el fin de facilitar a las entidades de crédito el cumplimiento de la
normativa de prevención del blanqueo de capitales, mediante un procedimiento
informático mecanizado que permite establecer un proceso diario de solicitud de
datos por parte de las entidades financieras y de transmisión de información por
parte de la TGSS. Este Convenio fue nuevamente firmado, en su última versión, en
el mes de marzo de 2021.

Este servicio es denominado el Servicio de Verificación de Fuente de Ingresos
(SVFI), cuyo objetivo fundamental es poder comprobar la veracidad de la
información que las entidades financieras recaban de sus clientes, a fin de conocer
la naturaleza de su actividad profesional o empresarial, y que los clientes aportan
con ocasión del establecimiento de relaciones de negocio. Es un proceso de
periodicidad diaria por el que la entidad financiera remite un fichero con la
identificación de sus clientes personas físicas, para las que solicita información
sobre la naturaleza de la actividad profesional o empresarial que se derive de su
afiliación a la Seguridad Social. La TGSS procesa estos ficheros diariamente
cumplimentando en el mismo la información requerida.

Con el NIF que el cliente ha aportado, ING realiza la consulta a la TGSS y verifica
la información aportada en el campo estado laboral (todos sus clientes) y,
posteriormente, también el pagador (clientes de riesgo medio/alto). ING no solicita
otra información a la TGSS, ni la vida laboral del cliente ni ninguna distinta de la
que ya disponemos porque nos ha sido aportada por éste. Únicamente, verifica
que dicha información aportada por el cliente es verdadera y con el fin de cumplir
con una obligación legal.

Tal y como el propio Convenio indica, el fin propio de este servicio que la TGSS
presta a las entidades adheridas es el siguiente: "La cesión de la información
procedente de las bases de datos de la TGSS a las Entidades miembros de
AEB/CECA/UNACC tiene como finalidad exclusiva comprobar la veracidad de la
información que las Entidades Financieras recaban de sus clientes, a fin de
conocer la naturaleza de su actividad profesional o empresarial y que los clientes
aportan con ocasión del establecimiento de relaciones de negocio".

TERCERO:
Con fecha 3 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO:

Según la información disponible en ING.es ( ing.es/sobre-ing/sala-prensa/ing-impulsa-
su-crecimiento-resultados-anuales), ING España y Portugal cuenta con un volumen de
negocios de 1.091.000.000 euros en el año 2023.

QUINTO:
Con fecha 27 de marzo de 2024, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo
dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/49

6.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en
adelante RGPD), tipificada en el Artículo 83.5 del RGPD.

SEXTO:
Notificado el citado acuerdo de inicio conforme a las normas establecidas en LPACAP,
la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba
que:

1.- SOBRE EL SUPUESTO DE HECHO

- La reclamante es cliente de ING desde el mes de diciembre de 2013 y en octubre
de 2023, solicitó la contratación de otra cuenta corriente, denominada “Cuenta No
Cuenta” y de conformidad con la normativa de Prevención de Blanqueo de
Capitales, ING debe identificar y verificar al cliente.

- ING informa a todos sus clientes, incluido a la Reclamante, de que en virtud de la
Normativa de PBC, deberá facilitar información sobre su actividad económica.

- ING, a través de la Asociación Española de Banca, como entidad firmante del
Convenio con la Tesorería General de la Seguridad Social (“TGSS”), la
Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas
de Crédito sobre cesión de información (en lo sucesivo, se refiere al mismo como,
“el Convenio”) se encuentra facultada para poder utilizar un procedimiento
mecanizado que permite a las entidades financieras verificar la información sobre
la actividad económica de sus potenciales clientes a través de la TGSS, de cara a
ejecutar la verificación de la información que viene exigida por la Normativa de
PBC.

- Por lo anterior, en virtud del referido Convenio y en cumplimiento de la Normativa de
PBC, ING realiza la verificación de la actividad económica de los potenciales clientes,
en el marco de la contratación de una cuenta bancaria mediante la consulta de tales
datos ante la TGSS.

-En el caso concreto, la contratación se realiza a través de medios online (como es
habitual, por ser ING un Banco eminentemente digital). Por ello, a la Reclamante se le
informa de tal tratamiento, su legitimación y alcance en el proceso digital de
contratación, siendo necesario que el cliente pulse el botón “Continuar” como señal de
haber leído la información acerca de dicho tratamiento y su deseo de continuar con el
proceso.

Asimismo, este tratamiento se encuentra informado en la Política de Privacidad para
clientes y potenciales clientes (apartado 3) que puede consultarse, en todo momento,
en la página web www.ing.es, apartado “Privacidad y Cookies” y también se incluye en
el Contrato de Prestación de Servicios para los clientes.

Tal y como se hizo constar en la notificación de la apertura del periodo de práctica de
pruebas, se ha procedido a diligenciar la actual política de privacidad de la entidad que
consta en su página web.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/49

2.- SOBRE EL TRATAMIENTO DE DATOS

De todos los datos obtenidos directamente del interesado para el proceso de
contratación de la cuenta nómina y la cuenta no cuenta, los únicos que son sometidos
a una verificación posterior son los datos de ‘estado laboral’ y ‘pagador’, este último,
únicamente en el caso de que así proceda. ING no verifica ni consulta la vida laboral
del cliente ni ningún dato adicional que pueda tener la TGSS.

Los datos obtenidos no constituyen datos de carácter sensible o especialmente
protegido, en el sentido del artículo 9 del RGPD, sino que constituyen datos de
carácter económico básico.

No se produce un tratamiento o acceso a datos del interesado distintos a los ya
aportados, por lo que el impacto para el interesado no aumenta ni resulta un
tratamiento más invasivo.

Con relación a la finalidad de dicha verificación, ésta se reduce a la comprobación de
que los datos facilitados por el interesado son correctos, exactos y veraces. En ningún
caso esta verificación se realiza o ejecuta con otros fines que no tengan el objetivo de
cumplir con la Normativa de PBC. Así, ING únicamente verifica que la información
aportada por el cliente coincide con la que figura en la base de datos de TGSS.

3.- SOBRE LA NECESIDAD DE VERIFICAR LOS DATOS E INFORMACIÓN
APORTADOS POR LOS CLIENTES ANTE LA TGSS

La obligación encomendada a las entidades bancarias de verificar la información
aportada por los clientes o potenciales clientes, en relación con sus actividades
laborales, se materializa con la firma del Convenio que permite que éstas comprueben
la veracidad de la información recabada, a partir de la cesión de la información
procedente de las bases de datos de la TGSS.

La utilización de un método alternativo a la consulta a la TGSS constituiría la
utilización de un sistema menos fiable, menos seguro y con mayor riesgo de fraude
(por ejemplo, la aportación por el propio interesado de los documentos que,
actualmente, son susceptibles de modificarse o alterarse de forma fraudulenta
mediante tecnologías al alcance de cualquier usuario, métodos que no permitirían
detectar o impedir la comisión de ilícitos tanto en materia de PBC como de fraude).

En definitiva, la verificación de datos ante la TGSS realizada por ING se encuentra
amparada por la propia Normativa de PBC, no resultando posible, por tanto,
considerar tal tratamiento como excesivo o desproporcionado, mucho menos como
una infracción del RGPD. Asimismo, como ya se ha reseñado, no existe, ni para ING ni
para ninguna entidad financiera, un mecanismo o herramienta alternativa que ofrezca
garantías superiores o equivalentes a las que proporciona la Administración Pública, a
través de la TGSS.

4.- SOBRE LA LICITUD DEL TRATAMIENTO DE DATOS EFECTUADO POR ING

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/49

El tratamiento de datos efectuado por ING, consistente en la verificación de los datos
facilitados por los clientes, en el marco del Proceso de Identificación y Conocimiento
del Cliente, constituye un tratamiento lícito en el sentido del artículo 6 del RGPD.

En primer lugar, el mismo viene regulado y habilitado por el Convenio firmado entre la
Tesorería General de la Seguridad Social, la Asociación Española de Banca, la
Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de
Crédito sobre cesión de información, cuya última versión (vigente actualmente) data
del año 2021.

En contra de lo que se indica por la AEPD, la Resolución de 12 de abril de 2021, de la
Secretaría General Técnica, por la que se publica el Convenio entre la Tesorería
General de la Seguridad Social, la Asociación Española de Banca, la Confederación
Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito, sobre
cesión de información no estipula la necesidad de prestar el consentimiento por los
clientes de las entidades financieras en el sentido del Artículo 6.1 a) del RGPD, para
realizar la referida comprobación, sino que alude a una mera autorización, tal y como
se puede comprobar en la Sexta Cláusula del Convenio:

“Sexta. Responsabilidad por el funcionamiento del SVFI.

Las Entidades Financieras Colaboradoras adheridas al presente Convenio deberán
adoptar las medidas técnicas y organizativas necesarias para asegurar la
confidencialidad e integridad de los datos obtenidos por el SVFI y para garantizar su
correcto funcionamiento. Las Entidades Financieras Colaboradoras adheridas al
presente Convenio únicamente serán responsables de los intercambios telemáticos en
los que participen y respecto de las tareas que realicen conforme al procedimiento
descrito en el anexo II. Asimismo, cada Entidad Financiera Colaboradora se obliga a
garantizar, respecto a cada solicitud que realice: a) Que las peticiones se refieren a
personas físicas que inician relaciones de negocio con la Entidad Financiera o a
personas respecto de las que, transcurrido un tiempo razonable, resulta necesario
actualizar su información. b) Que previamente a la solicitud de información por parte
de la Entidad Financiera Colaboradora ésta dispone de la correspondiente autorización
expresa, firmada por el interesado, y acordada entre las partes. (Ver anexo III)”.

El Convenio no sólo establece el término ‘autorización’, término que hace referencia y
habilita a ejecutarse en múltiples formas documentales, sino que alude además al
acuerdo entre las partes. Es decir, somete el eventual protocolo por el que se autorice
la comprobación a las condiciones que se acuerden y acepten entre ING y sus
clientes. El concepto de autorización difiere sustancialmente del consentimiento
expreso y específico que viene exigiendo la AEPD, en el sentido del artículo 6 de la
LOPDGDD. Es cierto que, en determinados contextos, estos términos pueden
utilizarse indistintamente, pero sus requisitos y alcance son claramente diferenciados a
nivel jurídico

En el caso que nos ocupa, ING, como Responsable del Tratamiento, no basa en el
consentimiento del interesado el tratamiento de datos consistente en la verificación de
la información económica facilitada por el mismo ante la TGSS.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/49

El Convenio hace alusión al concepto de “consentimiento” en el sentido del artículo
1262 del Código Civil, que recoge la prestación de consentimiento necesaria para
formalizar una contratación:
“El consentimiento se manifiesta por el concurso de la oferta y de la aceptación sobre
la cosa y la causa que han de constituir el contrato. Hallándose en lugares distintos el
que hizo la oferta y el que la aceptó, hay consentimiento desde que el oferente conoce
la aceptación o desde que, habiéndosela remitido el aceptante, no pueda ignorarla sin
faltar a la buena fe. El contrato, en tal caso, se presume celebrado en el lugar en que
se hizo la oferta.

En los contratos celebrados mediante dispositivos automáticos hay consentimiento
desde que se manifiesta la aceptación”.

No puede obviarse que la prestación de este consentimiento por parte de los clientes
de ING se contextualiza en el marco de una contratación de un producto bancario, de
forma que la autorización que se exige se corresponde con el consentimiento que el
interesado presta a la aceptación del producto a nivel contractual y no en el sentido del
consentimiento que recoge la LOPDGDD. Por lo anterior, la AEPD no puede aludir a la
necesidad de obtener el consentimiento de los clientes, cuando lo que establece el
Convenio es la pertinencia de otorgar una mera autorización.

La responsabilidad sobre el tratamiento se atribuye al Responsable de este, así como
la adopción de medidas que se requieran para el mismo. Por tanto, también le
corresponde al mismo el ejercicio de ponderar, valorar y configurar el mismo. En este
sentido, corresponde a ING realizar la valoración y diseño del proceso de verificación
de datos exigido por la Normativa de PBC.

Consiguientemente, corresponde también al Responsable del Tratamiento, ING en el
presente, establecer su legitimación.

A tenor del análisis efectuado por ING, el consentimiento no constituye una
legitimación adecuada para el tratamiento de datos consistente en la verificación de
los datos económicos facilitados por los clientes en la medida en la que viene exigido
por la Normativa de PBC, como se ha justificado exhaustivamente en la Alegación
Tercera y, tampoco el Convenio que regula su ejecución e interacción con la TGSS lo
exige.

En este sentido, el Artículo 6.1 apartado c) del RGPD, cuando regula el tratamiento de
datos legitimado en el cumplimiento de una obligación legal, no exige que la norma en
concreto que provoca su realización estipule una forma específica para obtener los
datos ni determina qué datos deberán solicitarse, sino que permite su tratamiento
cuando este sea necesario para el cumplimiento de una obligación legal, como es, en
el caso que nos ocupa, la Normativa de PBC para ING:

“6.1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones: (...) c) el tratamiento es necesario para el cumplimiento de una obligación
legal aplicable al responsable del tratamiento”.

El CEPD alude tanto a la posibilidad de basar el tratamiento de los datos para la
prevención del fraude en el artículo 6.1.c) relativo al cumplimiento de una obligación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/49

legal, como incluso al interés legítimo (artículo 6.1.f)) del Responsable del Tratamiento.
Así, si bien ambos organismos coinciden en la utilización de la legitimación basada en
el cumplimiento legal, ninguno menciona la posibilidad de basar el tratamiento de
datos con las finalidades de PBC y prevención del fraude en el consentimiento del
interesado.

En la medida en la que tal verificación resulta necesaria en virtud de la LPBCFT, la
única vía conocida por las entidades obligadas es a través de la TGSS, es decir, que
es necesaria para el cumplimiento de una obligación a la que ING está sujeta. De lo
contrario, si bien podría considerarse que la aportación de documentación por el
potencial cliente o el cliente es alternativa para el cumplimiento de la Normativa de
PBC, no cumple con el deber de ING y de todas las entidades financieras de
implementar medidas eficaces para la prevención del fraude, considerando las
tecnologías y contexto actual. Al ser la única medida en la que se asegura la
intervención de una entidad independiente e imparcial, que habilita a realizar el cotejo
de la información aportada por los clientes, consideramos que no existe una vía o
canal de análoga validez y eficiencia para cumplir con la normativa de forma diligente,
incluso cuando este canal no esté reflejado en la Normativa de PBC de forma expresa.
Por otro lado, si bien existe como base de legitimación el cumplimiento de una
obligación legal, debe tenerse en cuenta que, en este supuesto, tanto en el caso de
ING como de otros actores del sistema financiero, no sólo concurre uno de los
supuestos del artículo 6 del RGPD para legitimar el tratamiento, sino que, como se ha
expuesto, existe adicionalmente un interés legítimo de prevenir el fraude y delitos
financieros como el blanqueo de capitales. Por ello, el tratamiento de datos por ING
para esta finalidad no configura una infracción tipificada en el artículo 83.5 del RGPD
dado que existe al menos una de las bases de legitimación aplicable a este
tratamiento, tal como exige el artículo 6.1 del RGPD.

5.- SOBRE LA AUSENCIA DE DAÑO A LOS INTERESADOS

La consulta de datos a la TGSS realizada por ING no es más que una comprobación
que verifica la exactitud y veracidad de la información facilitada por los clientes, como
ya se ha señalado por esta parte, con el objetivo de cumplir con la Normativa de PBC
por lo que en ningún caso supone una consulta adicional de información. Así, dicha
consulta, que versa sobre datos previamente facilitados por el interesado, no eleva el
impacto del tratamiento de datos en la esfera de la privacidad del interesado.

Por ello, en el supuesto que nos ocupa, no se produce ni se genera un impacto en el
bien jurídico protegido. De hecho, el único supuesto donde desencadenaría
consecuencias o dicha comprobación tendría efectos, sería en el caso de que el
interesado haya facilitado a la entidad datos falsos o irreales.

En conclusión, el tratamiento que nos ocupa, consistente en la verificación de datos
ante la TGSS, no genera la producción de perjuicio alguno para los interesados,
resultando además conforme a la normativa de protección de datos.

6.- SOBRE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/49

ING ha demostrado haber actuado con la diligencia debida en la implementación de
medidas en los procesos verificación de la procedencia de los ingresos de los clientes
y potenciales clientes de esta mercantil. Sin perjuicio de lo anterior, y en el hipotético
caso de que la Agencia considerase que existe algún tipo de incumplimiento, la
sanción ya incluida en el Acuerdo de Inicio resulta, en todo caso, desproporcionada,
atendiendo a las circunstancias y contenido de la supuesta infracción, que ING niega
rotundamente.

SÉPTIMO:
Con fecha 14/01/2025, el instructor del procedimiento acordó practicar las siguientes
pruebas:

1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A.
y su documentación, los documentos obtenidos y generados durante la fase de
admisión a trámite de la reclamación.

2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo
de inicio del procedimiento sancionador referenciado, presentadas por ING BANK
N.V. ,SUCURSAL EN ESPAÑA, y la documentación que a ellas acompaña.

3. Se procede a diligenciar la actual política de privacidad de la entidad que consta en
su página web.

4. Se solicita la remisión de la política de privacidad vigente en el momento de la
reclamación.

OCTAVO:

El 06/02/2025, ha tenido entrada escrito de contestación a la notificación de práctica
de pruebas, en el que, dentro del plazo concedido, y dando cumplimiento al trámite
referido, la parte reclamada adjunta la política de privacidad solicitada por la Agencia.

NOVENO:
Se acompaña como anexo relación de documentos obrantes en el procedimiento.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO:
De conformidad con las alegaciones al acuerdo de inicio presentadas por ING el 24 de
abril de 2024, afirman que en el marco del tratamiento de datos personales para la
contratación tanto de la Cuenta Nómina como de la Cuenta no Cuenta, recogen datos
personales como nombre y apellidos, nacionalidad, estado civil, dirección, estado
laboral, actividad profesional, sector laboral, empresa, ingresos mensuales, propósito
de la relación principal u origen de los fondos, entre otros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/49

“Posteriormente, se le solicitan otros datos personales como nombre y
apellidos, nacionalidad y estado civil entre otros y su dirección.

Aportada esa información se da paso a la pantalla de datos laborales (recogida
en el informe aportado en su apartado 4) donde se le solicita sus datos
laborales y es en ese momento donde se le muestra la cláusula. Los datos
obligatorios (marcados con *) solicitados al cliente son los que se indican a
continuación, debiendo el cliente seleccionar una de las opciones del
desplegable:
- Estado laboral
- Actividad profesional
- Sector laboral
- Empresa
- Ingresos mensuales
- Propósito de la relación principal
- Origen de los fondos”.

SEGUNDO:
En el escrito de alegaciones al acuerdo de inicio presentadas por ING el 24 de abril de
2024 indican, respecto de la reclamante que,

“1º.- La reclamante, A.A.A. (en adelante, la “Reclamante”), es cliente de ING
desde el mes de diciembre de 2013, cuando contrató una cuenta bancaria,
denominada en dicho momento “Cuenta sin Nómina”. En octubre de 2023, la
Reclamante solicitó la contratación de otra cuenta corriente, denominada
“Cuenta NoCuenta””.

Asimismo, en el escrito presentado por ING el 8 de febrero de 2023 consecuencia de
la petición de traslado de información, ING asevera que, a la fecha de la contestación
del traslado, la reclamante tiene los siguientes productos contratados:

“2.-PRODUCTOS CONTRATADOS
Operativos: Dispone de una Cuenta Nómina activa en la actualidad acabada en
6532, contratada en diciembre de 2013.
Cancelados: Cuenta Nómina acabada en 7663, contratada y cancelada en el
mes de octubre de 2022”.

TERCERO:
En escrito de 8 de febrero de 2023 consecuencia de la petición de traslado de
información, ING afirma que,

“La cláusula que la A.A.A. copia en su denuncia, efectivamente, forma parte de
nuestro proceso de contratación tanto de la Cuenta Nómina como de la Cuenta
no Cuenta (sin nómina) que en otros expedientes ya ha sido explicado a la
AEPD. En el informe que se adjunta como Documento número 2, en su
apartado 4, se recogen las dos pantallas dentro del proceso digital de
contratación de la Cuenta Nómina (y de la Cuenta no Cuenta) en las que se
incluye esta cláusula, con el fin de ubicar el momento y el contexto por el cual
se muestra esta cláusula a la persona que quiere contratar este producto con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/49

ING. En el caso de ING, ya que las contrataciones se realizan principalmente a
través de medios online (por ser un Banco eminentemente digital), se ha
incluido esta cláusula en el proceso digital de contratación, siendo necesario
que el cliente pulse el botón “Continuar” como señal de haber leído la
información acerca de dicho tratamiento y su deseo de continuar con el
proceso”. (el subrayado es nuestro)

CUARTO:
En escrito de 8 de febrero de 2023 consecuencia de la petición de traslado de
información, ING aporta un documento denominado DOC_2_Informe.pdf, en el que
incluyen pantallazos sobre “el proceso de contratación de la cuenta nómina (cláusula
de verificación de datos laborales con la TGSS)”, de tal forma que explican, partiendo
del supuesto de la reclamante, que cuando un interesado inicia los trámites para
contratar una nueva cuenta, la parte reclamada exige que preste su consentimiento
expreso para que dicha entidad, en su nombre, solicite a la Tesorería General de la
Seguridad Social información de su actividad económica, realizar una comprobación
de la misma y cumplir así con lo establecido en la LPBCFT.

Así el literal de la cláusula indica,

“Además, confirmo que he sido informado por ING BANK NV, Sucursal en
España, de que la legislación vigente sobre prevención de blanqueo de
capitales obliga a las entidades bancarias a obtener de sus clientes la
información de su actividad económica y a realizar una comprobación de la
misma. Con este exclusivo fin de verificación de la información facilitada,
presto mi consentimiento expreso a ING BANK NV, Sucursal en España, para
que en mi nombre pueda solicitar ante la Tesorería General de la Seguridad
Social dicha información. Los datos obtenidos de la Tesorería General de la
Seguridad Social serán utilizados exclusivamente para la gestión señalada
anteriormente. En el caso de incumplimiento de esta obligación por parte de la
Entidad Financiera y/o del personal que en ella presta servicios, se ejecutarán
todas las acciones previstas en la LO 3/2018, de 5 de diciembre, de Protección
de datos personales y garantía de derechos digitales”. (el subrayado es
nuestro)

Conforme al pantallazo aportado tras la cláusula citada hay opción de “volver” o
“continuar” sin que exista una casilla específica para prestar o no prestar
expresamente el consentimiento que se exige.

En dicha cláusula no se menciona mecanismo alguno alternativo para poder verificar
la información sin tener que prestar el consentimiento expreso que se exige.

Asimismo, en el mismo escrito indican que,

“Posteriormente, antes de formalizar la contratación de la cuenta e ir pasando
por las distintas pantallas y fases (identificación, etc.) de nuevo se le vuelve a
mostrar al cliente la pantalla con el contrato y la cláusula, que debe leer antes
de cerrar dicha contratación:”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/49

Aportan un pantallazo del momento anterior a cerrar dicha contratación en el que
indica literalmente que,

“Al introducir el código, ratificas tu voluntad de contratar con ING, confirmas
que has consultado la Información Precontractual y el Documento Informativo
de Comisiones, y que has leído y aceptas la Política de Privacidad y el
Contrato de Prestación de Servicios y sus Anexos, que no desplegará sus
efectos hasta que no finalices con tu identificación. Además, ratificas tu
consentimiento a identificarte mediante grabación con la cámara de tu
dispositivo, que puede ser conservada y revisada. Por último, ratificas tu
consentimiento a que verifiquemos tus datos laborales a través de la Tesorería
General de la Seguridad Social”. (el subrayado es nuestro)

Conforme al pantallazo aportado tras la cláusula citada hay una única opción
“continuar”.

QUINTO:
ING se encuentra adherida al “Convenio entre la Tesorería General de la Seguridad
Social, la Asociación Española de Banca y la Confederación Española de Cajas de
Ahorros y la Unión Nacional de Cooperativas de Crédito sobre cesión de información”,
suscrito el 18 de marzo de 2021 y publicado el 12 de abril de 2021 en el BOE.

Así, en el escrito de 8 de febrero de 2023 presentado por la parte reclamada
consecuencia de la petición de traslado de información, ING afirma que,

“ING es una de las entidades financieras que se encuentran en la actualidad
adheridas al mencionado Convenio. Se adjunta como Documento número 1,
copia del citado Convenio”.

SEXTO:

“En este mismo sentido, y con mayor concreción sobre el objeto del presente
Convenio, los artículos 5 y 6 de la Ley 10/2010, de 28 de abril, de prevención
del blanqueo de capitales y de la financiación del terrorismo, establecen lo
siguiente:

Artículo 5. Propósito e índole de la relación de negocios.

Los sujetos obligados obtendrán información sobre el propósito e índole
prevista de la relación de negocios. En particular, los sujetos obligados
recabarán de sus clientes información a fin de conocer la naturaleza de su
actividad profesional o empresarial y adoptarán medidas dirigidas a comprobar
razonablemente la veracidad de dicha información.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/49

Tales medidas consistirán en el establecimiento y aplicación de procedimientos
de verificación de las actividades declaradas por los clientes. Dichos
procedimientos tendrán en cuenta el diferente nivel de riesgo y se basarán en
la obtención de los clientes de documentos que guarden relación con la
actividad declarada o en la obtención de información sobre ella ajena al propio
cliente.

Artículo 6. Seguimiento continuo de la relación de negocios.

Los sujetos obligados aplicarán medidas de seguimiento continuo a la relación
de negocios, incluido el escrutinio de las operaciones efectuadas a lo largo de
dicha relación a fin de garantizar que coincidan con el conocimiento que tenga
el sujeto obligado del cliente y de su perfil empresarial y de riesgo, incluido el
origen de los fondos y garantizar que los documentos, datos e información de
que se disponga estén actualizados.

Las Anteriores previsiones legales obligan a las entidades y les facultan para lo
siguiente:

- Adoptar medidas dirigidas a comprobar razonablemente la veracidad de la
actividad declarada por los clientes, pudiendo obtener información de fuentes
ajenas al cliente.

- Garantizar que los documentos, datos e información de que se disponga
estén actualizados.

- Establecer «procedimientos de verificación de las actividades declaradas por
los clientes»”. (el subrayado es nuestro)

Así, dispone que,

“PRIMERA.- Objeto del Convenio. El presente Convenio tiene por objeto
establecer los términos y condiciones en los que la TGSS y las Asociaciones
AEB/CECA/UNACC instrumentarán su colaboración para el buen
funcionamiento del SVFI, así como definir sus respectivas responsabilidades.
La cesión de la información procedente de las bases de datos de la TGSS a las
Entidades miembros de AEB/CECA/UNACC tiene como finalidad exclusiva
comprobar la veracidad de la información que las Entidades Financieras
recaban de sus clientes, a fin de conocer la naturaleza de su actividad
profesional o empresarial y que los clientes aportan con ocasión del
establecimiento de relaciones de negocio”.

Se describe asimismo el Servicio de Verificación de Fuente de Ingresos (en adelante
SVFI), cuyo objetivo fundamental es poder comprobar la veracidad de la información
que las entidades financieras recaban de sus clientes, a fin de conocer la naturaleza
de su actividad profesional o empresarial, y que los clientes aportan con ocasión del
establecimiento de relaciones de negocio.

“QUINTA.- Descripción del SVFI

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/49

El procedimiento del SVFI consiste en un proceso de periodicidad diaria por el
que la Entidad Financiera Colaboradora previamente adherida al Convenio
remite vía EDITRAN un fichero con la identificación de las personas físicas,
clientes con los que establecen una relación de negocio con la Entidad, para
las que solicita información sobre la naturaleza de la actividad profesional o
empresarial que se derive de su afiliación a la Seguridad Social.

La TGSS procesa estos ficheros con periodicidad diaria cumplimentando en el
mismo fichero la información requerida.

Las partes acordarán en el seno de la Comisión de Seguimiento algunos
detalles relativos a la ejecución del contenido del convenio (como pueden ser
las vías de emisión, los detalles de los diseños y los datos de intercambio) y, en
ese caso, no se requerirá una modificación del convenio sino el simple acuerdo
entre partes, siempre que no afecte al contenido mínimo y esencial del
convenio, el cual no puede ser objeto de modificación en la Comisión de
seguimiento.

En el Anexo II figura el intercambio de información y la periodicidad del
mismo”.

SÉPTIMO:

“CUARTA.- Obligaciones de la AEB, CECA Y UNACC

La AEB, CECA, Y UNACC se comprometen respecto a las Entidades
Financieras asociadas a las mismas:

(…)

c) Informarles que las peticiones que realicen a la TGSS que, en todo caso
necesitarán siempre la autorización firmada de interesado, se referirán,
exclusivamente, a personas físicas que inician relaciones de negocio con la
Entidad Financiera Colaboradora o a personas, respecto de las cuales,
transcurrido un tiempo razonable, resulta necesario actualizar su información.

Las autorizaciones firmadas por el interesado deberán ser custodiadas por las
Entidades Financieras Colaboradoras y entregadas a la TGSS o la Agencia de
Protección de Datos, cuando lo requieran, en un plazo de diez días a contar
desde su solicitud.

SEXTA. Responsabilidad por el funcionamiento del SVFI

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/49

Las Entidades Financieras Colaboradoras adheridas al presente Convenio
únicamente serán responsables de los intercambios telemáticos en los que
participen y respecto de las tareas que realicen conforme al procedimiento
descrito en el Anexo II.

Asimismo, cada Entidad Financiera Colaboradora se obliga a garantizar,
respecto a cada solicitud que realice:

a) Que las peticiones se refieren a personas físicas que inician relaciones de
negocio con la Entidad Financiera o a personas respecto de las que,
transcurrido un tiempo razonable, resulta necesario actualizar su información.

b) Que previamente a la solicitud de información por parte de la Entidad
Financiera Colaboradora ésta dispone de la correspondiente autorización
expresa, firmada por el interesado, y acordada entre las partes. (Ver Anexo III).

c) Que se compromete a custodiar las autorizaciones por los clientes. Con
motivo de acciones de control o auditorias llevadas a cabo por la TGSS como
titular de datos cedidos, las Entidades Financieras están obligadas a facilitar la
documentación que obra en su poder en un plazo que no podrá superar los
diez días naturales desde su solicitud. Este mismo plazo también se aplicará a
las peticiones que, en su caso, pudiera realizar la Agencia de Protección de
Datos.

d) Que cumple con todas las características señaladas en el documento de
seguridad (Anexo I).

SÉPTIMA.- Adhesión al Convenio de las Entidades Financieras Colaboradoras

Las Entidades Financieras que estén interesadas podrán participar en el
procedimiento SVFI previsto en el presente Convenio de colaboración,
asumiendo los derechos y obligaciones que les corresponden en los términos y
condiciones recogidos en el mismo, mediante la suscripción del Acto de
adhesión incluido en el Anexo IV del presente Convenio.

La suscripción del Acto de adhesión supondrá la aceptación expresa por parte
de las Entidades Financieras de las condiciones y términos del presente
Convenio.

La Entidad Financiera remitirá el Acto de Adhesión y los datos de la persona
responsable del procedimiento SVFI en la Entidad Financiera a la TGSS en el
plazo de cinco días a contar desde la fecha de adhesión. La TGSS se pondrá
en contacto con la Entidad Financiera a fin de determinar un plan de pruebas y
puesta en producción.” (el subrayado es nuestro)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/49

OCTAVO:

El Convenio entre la Tesorería General de la Seguridad Social, la Asociación Española
de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de
Cooperativas de Crédito sobre Cesión de Información, al que ING se encuentra
adherida, establece en su ANEXO II y ANEXO III, la exigencia, al igual que en el texto
del convenio, de una autorización o consentimiento expreso para que la entidad
financiera colaboradora pueda comprobar si la persona física para la que se dispone
de la debida autorización se encuentra en situación de alta laboral.

“ANEXO II

Descripción: Intercambio de información entre la TGSS y las Entidades
Financieras colaboradoras, para comprobar si la persona para la que se
dispone de la debida autorización se encuentra en situación de alta laboral.

Por cada registro enviado por las Entidades Financieras adheridas miembros
de AEB/CECA/UNACC, la TGSS informará, a la fecha de la solicitud, sobre su
situación de alta laboral. Pudiendo devolver uno o varios registros en función
del número de situaciones de alta laboral del trabajador, bien como trabajador
por cuenta propia o como trabajador por cuenta ajena en cuentas de cotización
reales.

Periodicidad: Diaria - Intercambio telemático de ficheros.

Tanto la vía o vías de remisión como el diseño del fichero enviado por las
Entidades Financieras colaboradoras, así como el de respuesta enviado por la
TGSS se determinará en cada momento por la Comisión Mixta Coordinación y
Seguimiento regulada en la Cláusula Décima del presente Convenio.

ANEXO III

D. ..............................................................................., con D.N.I. .....................
y
domicilio ................................................................................................................
.....

Ha sido informado por la entidad financiera ...............................,
sucursal ................................... que la legislación vigente sobre prevención de
blanqueo de capitales obliga a estas entidades bancarias a obtener de sus
clientes la información de su actividad económica y a realizar una
comprobación de la misma.

Con este exclusivo fin de verificación de la información facilitada, presto mi
consentimiento expreso a ................................................ (entidad financiera)
para que en mi nombre pueda solicitar ante la Tesorería General de la
Seguridad Social dicha información.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/49

Los datos obtenidos de la Tesorería General de la Seguridad Social serán
utilizados exclusivamente para la gestión señalada anteriormente. En el caso
de incumplimiento de esta obligación por parte de la entidad financiera y/o del
personal que en ella presta servicios, se ejecutarán todas las actuaciones
previstas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y garantía de los derechos digitales.

En ...................... a ........ de .............................. de ...............

Firma del autorizante”. (el subrayado es nuestro)

NOVENO:

Mediante la política de privacidad que podía consultarse en la página web en el
momento de la reclamación, ING informaba a sus clientes o potenciales clientes que la
base jurídica para realizar la consulta del Fichero de la Tesorería de la Seguridad
Social para realizar la verificación de la información laboral que aporte un interesado
era el cumplimiento de una obligación legal como la de prevención del blanqueo de
capitales y la financiación el terrorismo.

“3.1 Finalidades y bases jurídicas de tratamiento

Línea 2 de la tabla en la que se recogen:

Descripción de la Finalidad: Cumplir con las obligaciones regulatorias a las
que ING esté obligado, Por ser una entidad bancaria debemos cumplir con
normativa aplicable, como la de prevención del blanqueo de capitales y la
financiación del terrorismo o la de fraude fiscal, entre otras. También tenemos
la obligación de consultar los registros y sistemas de alerta de fraude
disponibles y las listas de sanciones nacionales e internacionales, cuando
contratas con nosotros; o verificar tu identidad, que podemos hacerlo en base a
las verificaciones realizadas por otras instituciones financieras a través de
Iberpay, consultando tu DNI o documento de identidad con la Agencia Tributaria
o por otros métodos para verificar tu identidad de forma no presencial como,
por ejemplo, videoselfie.

Base jurídica: Trataremos tus datos para cumplir con la normativa vigente
Categorías de datos: Datos de identificación, transacciones, financieros,
sociodemográficos, de localización, datos sensibles (datos de condenas e
infracciones). Además, datos relativos al conocimiento de nuestros clientes
(KYC) como parte de nuestra diligencia debida. Para los tratamientos de
identificación a través de selfie y videoselfie, no se tratan datos biométricos

Elaboración de perfiles: Evaluamos ciertos aspectos personales para esta
finalidad.

Categorías de destinatarios (Cesionarios) Los datos serán comunicados al
Consejo General del Poder Judicial, Cuerpos y Fuerzas de seguridad del
Estado, Banco de España, Comisión Nacional del Mercado de Valores, Agencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/49

Tributaria y Tesorería General de la Seguridad Social, entre otros organismos
públicos

Línea 4 de la tabla en la que se recogen:

Descripción de la Finalidad: Realizar evaluación de solvencia cuando solicites
productos de riesgo.Permite asegurarnos de que el producto de crédito que
solicitas (por ejemplo, al solicitar tarjetas de crédito, préstamos personales o
hipotecarios), es el adecuado de acuerdo con los requisitos fijados por ING y
que dispones de la capacidad de pago necesaria para afrontarlo

Base jurídica: Trataremos tus datos para cumplir con la normativa vigente, que
exige evaluar la solvencia de los solicitantes como la Ley 16/2011, de 24 de
junio, de Contratos de Crédito al Consumo u otras normas equivalentes en
materia de concesión de crédito hipotecario y, en general, en materia de
responsabilidad en la concesión de préstamos. Además, trataremos tus datos
con base a nuestro interés legítimo consistente en la prevención del riesgo de
insolvencia y de fraude, a la vez que garantizamos la estabilidad financiera
para entidad, evitando pérdidas económicas, cumpliendo con nuestra
normativa interna. En el caso de que no seas cliente de ING y solicites un
préstamo personal, pediremos tu consentimiento para hacer las verificaciones
necesarias de tu información en otras entidades bancarias a las que nos
autorices.

Categorías de datos: Datos identificativos, transaccionales y financieros
(capacidad crediticia).

Consultamos ficheros de solvencia públicos o privados (Fichero Asnef de
AsnefEquifax, Servicios de Información sobre Solvencia y Crédito, S.L. y
Fichero Badex de Experian Bureau de Crédito, S.A.) a los que estemos
adheridos en cada momento. Además, consultamos el fichero de la Central de
Información de Riesgos del Banco de España (CIRBE).

Por último, consultamos el fichero de la Tesorería de la Seguridad Social para
realizar la verificación de la información laboral que nos aportes

Elaboración de perfiles: Elaboramos perfiles, realizamos modelos y
procedimientos de valoración o scoring para obtener una puntuación orientativa
de la probabilidad de que puedas cumplir las obligaciones de pago contraídas.

Categorías de destinatarios (Cesionarios) No. (el subrayado es nuestro)

DÉCIMO:

La política de privacidad que puede consultarse en la página web en la actualidad y
cuya fecha de actualización es el 31/05/2024, informan a sus clientes o potenciales
clientes que para cumplir con su obligación legal referida a la prevención del blanqueo
de capitales y la financiación del terrorismo o de fraude fiscal, entre otras, podrán
verificar con la Tesorería General de la Seguridad Social o utilizar otros medios como
solicitar al interesado o a su empleador otra documentación. Informan que la base
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/49

jurídica es el cumplimiento de una obligación legal y subsidiariamente la base jurídica
del interés legítimo.

3. Para cumplir la normativa

Descripción de la Finalidad: Cumplir con las obligaciones regulatorias, como
las relativas a:

- La prevención del blanqueo de capitales y la financiación del
terrorismo o de fraude fiscal, entre otras. Por ejemplo, te solicitaremos
información para verificar el origen de los fondos de tus cuentas o verificar
con la Tesorería General de la Seguridad Social tu actividad laboral,
profesional o empresarial que nos hayas indicado. En este caso no
solicitaremos información adicional sobre tu vida laboral, únicamente
verificamos la información que nos hayas aportado en el proceso de
contratación. Podremos usar otros medios para cumplir con esta finalidad
cómo solicitarte la aportación de otra documentación o requerirla a tu
empleador.
- La confección de reportes regulatorios a los que estamos obligados
por la ley, como, por ejemplo, reportes fiscales impuestos por la ley de
cumplimiento fiscal de cuentas extranjeras hoy la normativa es tarda
estándar común de reporte en relación a la obligación de intercambio
automático de la información.
- La evaluación de tu conocimiento y experiencia en los mercados
financieros situación financiera y objetivos de inversión por la normativa
MiFID y que también comprenden la grabación de cualquier conversación
telefónica que mantengamos contigo relacionada con una operación de
servicios de inversión.
- Otras obligaciones impuestas por normativa mercantil fiscal,
societaria y de cualquier otro tipo que puedan ser impuestas por
autoridades competentes como el Banco de España, Banco Central
Europeo, Banco de España, Comisión Nacional de los mercados y la
competencia y la Comisión Nacional del Mercado de Valores entre otros.

Base jurídica: Cumplimiento de obligaciones legales. Asimismo, para la
verificación de los datos laborales con la Tesorería General de la Seguridad
Social como base jurídica subsidiaria nuestro el interés legítimo de prevenir el
fraude en la aportación de la documentación requerida.

Categorías de datos: Identificativos, transaccionales, financieros,
sociodemográficos, de localización y datos sensibles (datos de condenas e
infracciones).
Datos relativos al conocimiento de nuestros clientes (KYC) como parte de
nuestra diligencia debida.
Datos verificados con la Tesorería General de la Seguridad Social o del
empleador para la verificación de tu actividad laboral profesional o empresarial.
Para los tratamientos de identificación a través de vídeoselfie, no se tratan
datos biométricos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/49

Elaboración de perfiles: Con perfilado. La elaboración de perfiles en esta
actividad de tratamiento está relacionada con el cumplimiento de obligaciones
de prevención del fraude, blanqueo de capitales y financiación del terrorismo.

Categorías de destinatarios (Cesionarios): Consejo General del Poder,
Cuerpos y Fuerzas de Seguridad del Estado, Banco de España (CIRBE,
SEPBLAC), Comisión Nacional del Mercado de Valores, Agencia Tributaria,
entre otros organismos públicos

4. Para evaluar tu solvencia económica y riesgo crediticio.

Descripción de la finalidad. Realizar una evaluación de tu solvencia cuando
solicites productos de riesgo.
Esto permite asegurarnos de que cumples con los requisitos fijados por ING y
que dispones de la capacidad de pago necesaria para contratar el producto de
crédito que solicitas.
Realizaremos un seguimiento continuo del riesgo de crédito de nuestros
clientes con productos de riesgo contratados para detectar situaciones que
alerten del deterioro de su capacidad crediticia de forma temprana y para poder
adoptar medidas mitigatorias

Base jurídica: ejecución del contrato o medidas precontractuales y
cumplimiento de obligaciones legales, cómo la ley 16/2011, de 24 de junio, de
Contratos de Crédito al Consumo entre otras además interés legítimo de
cumplir con las directrices sobre la concesión y seguimiento de préstamos de
la autoridad bancaria europea que recomienda la realización de un seguimiento
continuo del riesgo de nuestros clientes.

Categorías de datos: Identificativos, transaccionales y financieros (capacidad
crediticia).
Cuando solicitas contratar un producto de riesgo consultamos ficheros de
solvencia públicos o privados a los que estemos adheridos en cada momento
(Fichero Asnef de Asnef-Equifax, Servicios de Información sobre Solvencia y
Crédito, S.L. y Fichero Badex de Experian Bureau de Crédito, S.A.). Además,
consultamos el fichero de la central de información de riesgos del Banco de
España (CIRBE).

Elaboración de perfiles: Con perfilado. La elaboración de perfiles en esta
actividad de tratamiento está relacionada con la evaluación de tu capacidad de
pago, solvencia y riesgo crediticio.

Categorías de destinatarios (Cesionarios) No hay cesión de datos”. (el
subrayado es nuestro)

FUNDAMENTOS DE DERECHO

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/49

I Competencia

De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia
Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II Infracción del Artículo 6.1 del RGPD

Según el artículo 6 del RGPD “Licitud del tratamiento:

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.

En este caso, ING afirma que la verificación de los datos personales de la reclamante
(que ha contratado con ING superando el proceso de contratación y, por ende,
“autorizando” que ING verifique sus datos personales ante la TGSS), así como del
resto de sus clientes ante la TGSS, obtenidos en cumplimiento de las obligaciones
impuestas por LPBCFT, es consecuencia de la obligación legal impuesta por la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/49

LPBCFT, que recoge en su artículo 2, los sujetos obligados en la Prevención del
Blanqueo de Capitales: Entidades Financieras (bancos, cajas de ahorro, cooperativas
de crédito, etc.), Compañías de Seguros, Entidades de Crédito, etc. Obligación legal
que es la base jurídica que, según ING, sustenta la autorización incluida en el proceso
de contratación para verificar determinados datos de sus clientes ante la TGSS.

En este sentido, en relación con la obligación legal impuesta a las entidades
financieras (que no a los clientes), esta misma ley regula en su artículo 5, que,

“los sujetos obligados recabarán de sus clientes información a fin de conocer la
naturaleza de su actividad profesional o empresarial y adoptarán medidas dirigidas a
comprobar razonablemente la veracidad de dicha información.

Tales medidas consistirán en el establecimiento y aplicación de procedimientos de
verificación de las actividades declaradas por los clientes. Dichos procedimientos
tendrán en cuenta el diferente nivel de riesgo y se basarán en la obtención de los
clientes de documentos que guarden relación con la actividad declarada o en la
obtención de información sobre ella ajena al propio cliente”. (el subrayado es nuestro)

Añadiendo en su artículo 6 que,

“Los sujetos obligados aplicarán medidas de seguimiento continuo a la relación
de negocios, incluido el escrutinio de las operaciones efectuadas a lo largo de
dicha relación a fin de garantizar que coincidan con el conocimiento que tenga
el sujeto obligado del cliente y de su perfil empresarial y de riesgo, incluido el
origen de los fondos y garantizar que los documentos, datos e información de
que se disponga estén actualizados.”

Por su parte, el Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el
Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de
capitales y de la financiación del terrorismo, que desarrolla la LPBCFT, establece:

“Artículo 10. Propósito e índole de la relación de negocios.

1. Los sujetos obligados recabarán de sus clientes información a fin de conocer
la naturaleza de su actividad profesional o empresarial. La actividad declarada
por el cliente será registrada por el sujeto obligado con carácter previo al inicio
de la relación de negocios.

2. Los sujetos obligados comprobarán las actividades declaradas por los
clientes en los siguientes supuestos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/49

a) Cuando el cliente o la relación de negocios presenten riesgos
superiores al promedio, por disposición normativa o porque así se
desprenda del análisis de riesgo del sujeto obligado.
b) Cuando del seguimiento de la relación de negocios resulte que las
operaciones activas o pasivas del cliente no se corresponden con su
actividad declarada o con sus antecedentes operativos.

3. Las acciones de comprobación de la actividad profesional o empresarial
declarada se graduarán en función del riesgo y se realizarán mediante
documentación aportada por el cliente, o mediante la obtención de información
de fuentes fiables independientes. Asimismo, los sujetos obligados podrán
comprobar la actividad profesional o empresarial de los clientes mediante
visitas presenciales a las oficinas, almacenes o locales declarados por el
cliente como lugares donde ejerce su actividad mercantil, dejando constancia
por escrito del resultado de dicha visita.

(…)

Artículo 11. Seguimiento continuo de la relación de negocios.

1. Los sujetos obligados realizarán un escrutinio de las operaciones efectuadas
a lo largo de la relación de negocio a fin de garantizar que coincidan con la
actividad profesional o empresarial del cliente y con sus antecedentes
operativos. Los sujetos obligados incrementarán el seguimiento cuando
aprecien riesgos superiores al promedio por disposición normativa o porque así
se desprenda del análisis de riesgo del sujeto obligado.

(…)

2. Los sujetos obligados realizarán periódicamente procesos de revisión con
objeto de asegurar que los documentos, datos e informaciones obtenidos como
consecuencia de la aplicación de las medidas de debida diligencia se
mantengan actualizados y se encuentren vigentes.

(…)” (el subrayado es nuestro)

De conformidad con la normativa antedicha, el tratamiento que realiza la entidad
bancaria consiste en, por un lado, recabar información de los clientes en los términos
explicitados en la LPBCFT y, por otro, adoptar medidas dirigidas a comprobar
razonablemente la veracidad de dicha información.

Así, es cierto que la normativa sectorial determina la obligación de verificación de las
actividades profesionales y empresariales de los sujetos con los que se vaya a hacer
negocios. No previendo, sin embargo, que esto deba hacerse de una manera
determinada, debiendo ser el responsable del tratamiento de datos personales (en el
presente caso, ING) quien deba decidir tal procedimiento de verificación, el cual ha de
cumplir con la normativa en materia de protección de datos de carácter personal.

El Convenio suscrito con la TGSS sobre cesión de información, al que se ha adherido
ING, con el fin de facilitar a las entidades de crédito el cumplimiento de la normativa de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/49

prevención del blanqueo de capitales, mediante un procedimiento informático
mecanizado que permite establecer un proceso diario de solicitud de datos por parte
de las entidades financieras y de transmisión de información por parte de la TGSS,
podría resultar un mecanismo adecuado para el cumplimiento de sus obligaciones
pero no necesariamente único. Así, tal y como indican los preceptos previamente
citados cabe la posibilidad de que las entidades obligadas puedan realizar las
acciones de comprobación a través de documentación aportada por el cliente, o
mediante la obtención de información de fuentes fiables independientes. De hecho, tal
y como se dispone en el hecho probado X esta posibilidad de que el cliente aporte
documentación al efecto está expresamente prevista en la actual política de privacidad
de la entidad, no así en la anterior vigente en el momento de presentarse la
reclamación.

Así, ING ha decidido verificar esa información a través del sistema establecido en el
Convenio entre la Tesorería General de la Seguridad Social, la Asociación Española de
Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de
Cooperativas de Crédito, sobre cesión de información, al que ING se ha adherido,
estando obligada a cumplir las previsiones del citado Convenio.

El convenio indica en su cláusula sexta y en el Anexo III, que para que la TGSS
permita a ING verificar determinados datos de sus clientes, el interesado tiene que
consentir para que la entidad bancaria pueda verificar los datos personales ante la
TGSS y se recoge efectivamente, la cláusula por la que se puede dar el
consentimiento expreso para verificar la información.

El convenio explicita que “…cada Entidad Financiera Colaboradora se obliga a
garantizar, respecto a cada solicitud que realice: b) que previamente a la solicitud de
información por parte de la Entidad Financiera Colaboradora ésta dispone de la
correspondiente autorización expresa, firmada por el interesado, y acordada entre las
partes. (Ver Anexo III)”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/49

No basta, por tanto, como pretende sugerir ING, la adhesión al convenio para que se
puedan verificar los datos de los clientes ante la TGSS, sino que es requisito
imprescindible obtener el previo consentimiento expreso y firmado del cliente.

Pero si bien ésta es la forma en la que el convenio considera que ha de solicitarse ese
consentimiento a los efectos de permitir la verificación en los sistemas de la TGSS,
ésta no es la única vía para la verificación de los datos personales, en los términos
antes citados de la LPCBCFT y su reglamento de desarrollo.

La normativa no establece la obligación de verificar la información de datos personales
ante la TGSS, sino que la información la facilita el cliente y posteriormente, teniendo
en cuenta el diferente nivel de riesgo, existe una obligación general de establecer y
aplicar procedimientos de verificación de las actividades declaradas por los clientes.

Por ello, para poder consultar datos personales con la TGSS, dado que la Ley no
impone esta vía a las entidades bancarias ni impone al interesado-cliente esta
obligación legal, la carga jurídica de soportar que sin su consentimiento la entidad
bancaria verifique ante la TGSS esos datos personales facilitados por el reclamante
sería necesario recabar el consentimiento del interesado, no imponer el uso de dicho
mecanismo, y siempre condicionado a los supuestos específicos en los que la norma
exige dicha verificación.

En este sentido, el artículo 4.11 del RGPD establece que el “consentimiento del
interesado” es “toda manifestación de voluntad libre, específica, informada e
inequívoca por la que el interesado acepta, ya sea mediante una declaración o una
clara acción afirmativa, el tratamiento de datos personales que le conciernen”

El consentimiento se entiende como un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con
garantías suficientes para acreditar que el interesado es consciente del hecho de que
da su consentimiento y de la medida en que lo hace.

Asimismo, debe darse para todas las actividades de tratamiento realizadas con el
mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe
darse el consentimiento para todos ellos de manera específica e inequívoca. A este
respecto, la licitud del tratamiento exige que el interesado sea informado sobre los
fines a que están destinados los datos (consentimiento informado).

Además, el consentimiento ha de prestarse libremente. Se entiende que el
consentimiento no es libre cuando el interesado no goza de verdadera o libre elección
o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno, o cuando el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/49

cumplimiento de un contrato o prestación de servicio sea dependiente del
consentimiento, aun cuando éste no sea necesario para dicho cumplimiento. Esto
ocurre cuando el consentimiento se incluye como una parte no negociable de las
condiciones generales. Así se ha puesto de manifiesto en el hecho probado cuarto, ya
que resulta imposible continuar con el procedimiento de contratación de las cuentas
corrientes referenciadas al incluirse como una parte no negociable de dicha
contratación.

Así, la cláusula que consta en el proceso de contratación indica,

Para continuar con el proceso de contratación del producto bancario no hay más
opción que la de pulsar la casilla continuar y al hacerlo consentir, sí o sí, que ING
verifique determinados datos del cliente ante la TGSS.

En dicha cláusula, además, no se menciona mecanismo alguno alternativo para poder
verificar la información sin tener que prestar el consentimiento expreso que se exige.

Sin estas condiciones, tal y como concurre en el supuesto examinado, el
consentimiento prestado por el interesado no determinaría un control sobre sus datos
personales y el destino de los mismos. La verificación de determinados datos
personales de sus clientes por ING ante la TGSS se estaría produciendo sin un
consentimiento válido, sin una base jurídica que legitimase el tratamiento de dato
personales y, por ello, infringiendo el RGPD.

Por otro lado, el Comité Europeo de Protección de Datos en el documento “Directrices
05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, que actualiza
las directrices sobre el consentimiento adoptadas por el Grupo de Trabajo del Artículo
29 el 28/11/2017, revisadas y aprobadas el 10/04/2018 hace referencia a esto e indica
que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/49

“3. En general, el consentimiento solo puede ser una base jurídica adecuada si
se ofrece al interesado control y una capacidad real de elección con respecto a
si desea aceptar o rechazar las condiciones ofrecidas o rechazarlas sin sufrir
perjuicio alguno. Cuando solicita el consentimiento, el responsable del
tratamiento tiene la obligación de evaluar si dicho consentimiento cumplirá
todos los requisitos para la obtención de un consentimiento válido. Si se
obtiene en pleno cumplimiento del RGPD, el consentimiento es una
herramienta que otorga a los interesados el control sobre si los datos
personales que les conciernen van a ser tratados o no. Si no es así, el control
del interesado será meramente ilusorio y el consentimiento no será una base
jurídica válida para el tratamiento, lo que convertirá dicha actividad de
tratamiento en una actividad ilícita”. (el subrayado es nuestro)

Estas directrices prosiguen señalando:

“13. El término «libre» implica elección y control reales por parte de los
interesados. Como norma general, el RGPD establece que, si el sujeto no es
realmente libre para elegir, se siente obligado a dar su consentimiento o sufrirá
consecuencias negativas si no lo da, entonces el consentimiento no puede
considerarse válido. Si el consentimiento está incluido como una parte no
negociable de las condiciones generales se asume que no se ha dado
libremente. En consecuencia, no se considerará que el consentimiento se ha
prestado libremente si el interesado no puede negar o retirar su consentimiento
sin perjuicio.” (el subrayado es nuestro)

En el presente supuesto, el consentimiento no puede considerarse libre porque con la
firma del contrato se impone a todos los clientes que la verificación de sus datos
personales se realice a través de consulta a la TGSS. Así se pone de manifiesto en los
hechos probados, tal y como hemos puesto de manifiesto, pues para continuar con el
proceso de contratación de las cuentas corrientes referenciadas el cliente se ve
impelido a consentir sí o sí, sin libertad posible para no hacerlo (pues las únicas
casillas posibles son o “volver” o “continuar”, implicando esta última que se consiente).

Esto sucede, porque ING ha vinculado el contrato de las referidas cuentas corrientes a
la prestación del consentimiento para que el cliente le autorice a verificar sus datos
ante la TGSS.

Ello limita absoluta y totalmente la capacidad de elección de tales personas para
decidir si quieren que ING lleve a cabo tal verificación de datos personales a través de
consulta ante la TGSS, ya que no es obligatorio, como se ha expuesto. La obligación
legal de verificar determinados datos de los clientes se residencia en las entidades
financieras y no en los clientes.

Sin embargo, frente a lo esgrimido por la entidad en sus alegaciones al acuerdo de
inicio, y tal y como se ha fundamentado, la base jurídica que legitima la verificación de
determinados datos de sus clientes ante la TGSS no es el cumplimiento de una
obligación legal (que no es una obligación legal para el cliente), sino el consentimiento
previo, expreso y firmado del interesado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/49

Es preciso un consentimiento del interesado, en los términos del RGPD, para que una
entidad financiera verifique determinados datos de sus clientes ante la TGSS.

Así lo indica de forma clara y expresa el propio Convenio entre la Tesorería General de
la Seguridad Social, la Asociación Española de Banca y la Confederación Española de
Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre cesión de
información al que ING se encuentra adherida y que hemos examinado.

Tanto en la cláusula sexta como en el Anexo III del citado convenio se hace mención
de manera indistinta, y en idéntico sentido, a la exigencia de una autorización expresa
o a un consentimiento expreso por parte de un cliente para que la TGSS permita a las
entidades adheridas a verificar ciertos datos personales de sus clientes.

Se ha de significar que el término autorizar es sinónimo, según el diccionario de la
RAE, de consentir.

Pero es que, además, el propio convenio sitúa a la Agencia Española de Protección de
Datos en un lugar preeminente respecto del control de dichos consentimientos al
disponer en su cláusula cuarta que “las autorizaciones firmadas por el interesado
deberán ser custodiadas por las Entidades Financieras Colaboradoras y entregadas a
la TGSS o la Agencia de Protección de Datos, cuando lo requieran, en un plazo de
diez días a contar desde su solicitud”.

Por el contrario de lo alegado por ING, esta “autorización”, este consentimiento, es el
consentimiento del RGPD y que el propio convenio impone a las entidades financieras
colaboradoras, como es ING, que entreguen los consentimientos a la AEPD cuando
sean requeridos; y ello en atención a las competencias otorgadas a la AEPD para el
cumplimiento de sus funciones de controlar la aplicación del RGPD y hacerlo aplicar
en los términos previstos en el artículo 57 el RGPD, como no podría ser de otra forma.

A mayor abundamiento, se ha de significar que el contenido del convenio no podría ser
otro que exigir el consentimiento previo, expreso y firmado por el interesado, en
atención a lo dispuesto por el resto de la normativa.

De esta forma, el art. 77 del Real Decreto Legislativo 8/2015, de 30 de octubre, por el
que se aprueba el texto refundido de la Ley General de la Seguridad Social, determina
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/49

que los datos obtenidos por la Administración de la Seguridad Social en el ejercicio de
sus funciones tienen carácter reservado, imposibilitando la cesión o comunicación a
terceros:

“Los datos, informes o antecedentes obtenidos por la Administración de la Seguridad
Social en el ejercicio de sus funciones tienen carácter reservado y solo podrán
utilizarse para los fines encomendados a las distintas entidades gestoras, servicios
comunes y órganos que integran la Administración de la Seguridad Social, sin que
puedan ser cedidos o comunicados a terceros, salvo que la cesión o comunicación
tenga por objeto: (…)”

Así del precepto enumera un conjunto de supuestos tasados en los que se permite la
cesión o comunicación de datos a terceros entre los que no se encuentra el supuesto
examinado en el presente procedimiento sancionador.

En este sentido la SAN de 15 de septiembre de 2023, rec. 1443/2020, confirma el
carácter reservado de los datos tratados por la TGSS respecto de una persona física y
que “que solo permite el tratamiento de los repetidos datos personales cuando, o bien
exista consentimiento de su titular o bien otro motivo de licitud o legitimación de dicho
tratamiento, conforme a lo previsto en los artículos 5 y 6 del RGPD y artículos 4 a 8 de
la LOPDGDD”

A ello tenemos que añadir lo dispuesto en la disposición adicional décima de la
LOPDGDD, que, respecto de las comunicaciones de datos por los sujetos enumerados
en el artículo 77.1 de la LOPDGDD (entre los que se encuentra la TGSS), señala que,

“Los responsables enumerados en el artículo 77.1 de esta ley orgánica podrán
comunicar los datos personales que les sean solicitados por sujetos de
derecho privado cuando cuenten con el consentimiento de los afectados o
aprecien que concurre en los solicitantes un interés legítimo que prevalezca
sobre los derechos e intereses de los afectados conforme a lo establecido en el
artículo 6.1 f) del Reglamento (UE) 2016/679”. (el subrayado es nuestro)

Por otra parte, en la nueva redacción dada a su actual política de privacidad, en la que
ING hace referencia y ha añadido tras el inicio de este procedimiento sancionador,
además de al cumplimiento de obligaciones legales como base jurídica aplicable al
tratamiento, en lo referente a la verificación de los datos laborales con la Tesorería
General de la Seguridad Social, la base jurídica subsidiaria sería el interés legítimo de
prevenir el fraude en la aportación de la documentación requerida.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/49

El dictamen 06/ 2014 del Grupo de Trabajo del artículo 29 establece los 3 requisitos
que deben concurrir para que se aplique el interés legítimo: el interés debe ser lícito,
estar claramente delimitado y definido y por último no debe ser especulativo. En
consecuencia, se debe realizar un ejercicio de ponderación para determinar si es
aplicable o no el interés legítimo. Este interés legítimo permitiría realizar un tratamiento
sin recabar el consentimiento para satisfacer una necesidad legítima del responsable
del tratamiento previa comprobación de que satisfacer ese interés legítimo no afecta
significativamente a los derechos y libertades del interesado. En este caso, quedaría
afectado el derecho fundamental de los clientes al poder de disposición de sus datos.

Asimismo, la STJUE de 4 de octubre de 2024, en el asunto C-621/22 recuerda que,

“(37) …el artículo 6, apartado 1, párrafo primero, letra f), del RGPD, establece
tres requisitos acumulativos para que el tratamiento de datos personales
resulte lícito, a saber, en primer lugar, que el responsable del tratamiento o el
tercero persigan un interés legítimo; en segundo lugar, que el tratamiento de
los datos personales sea necesario para la satisfacción de ese interés legítimo
y, en tercer lugar, que no prevalezcan sobre el interés legítimo del responsable
del tratamiento o de un tercero los intereses o los derechos y libertades
fundamentales del interesado en la protección de los datos [sentencia de 4 de
julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de
una red social), C-252/21,EU:C:2023:537, apartado 106 y jurisprudencia
citada]”

41 Además, procede recordar que, de conformidad con el artículo 13, apartado
1, letra d), del RGPD, incumbe al responsable del tratamiento, en el momento
en que se obtengan de un interesado los datos personales relativos a él,
informarle de los intereses legítimos perseguidos cuando ese tratamiento se
base en el artículo 6, apartado 1, párrafo primero, letra f), de dicho Reglamento
[sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones
generales del servicio de una red social), C-252/21,EU:C:2023:537, apartado
107].

42 Por lo que respecta, en segundo lugar, al requisito relativo a la necesidad
del tratamiento de datos personales para la satisfacción del interés legítimo
perseguido, exige que el órgano jurisdiccional remitente compruebe que el
interés legítimo perseguido con el tratamiento de los datos no puede
alcanzarse razonablemente de manera tan eficaz por otros medios menos
atentatorios para las libertades y los derechos fundamentales de los
interesados, en particular para los derechos al respeto de la vida privada y de
protección de los datos personales, garantizados por los artículos 7 y 8 de la
Carta[sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del
pasivo insatisfecho),C-26/22 y C-64/22, EU:C:2023:958, apartado 77 y
jurisprudencia citada].

44 Por último, en lo que atañe, en tercer lugar, al requisito de que los intereses
o las libertades y los derechos fundamentales del interesado en la protección
de los datos no prevalezcan sobre el interés legítimo del responsable del
tratamiento o de un tercero, el Tribunal de Justicia ya ha declarado que dicho
requisito implica la ponderación de los derechos e intereses en conflicto, que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/49

dependerá, en principio, de las circunstancias concretas del caso particular y
que, en consecuencia, corresponde al órgano jurisdiccional remitente efectuar
esa ponderación teniendo en cuenta estas circunstancias particulares
[sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones
generales del servicio de una red social), C-252/21, EU:C:2023:537, apartado
110 y jurisprudencia citada].

45 Además, como resulta del considerando 47 del RGPD, los intereses y los
derechos fundamentales del interesado pueden, en particular, prevalecer sobre
los intereses del responsable del tratamiento cuando se proceda al tratamiento
de datos personales en circunstancias en las que el interesado no espera
razonablemente que se realice tal tratamiento [sentencia de 4 de julio de 2023,
Meta Platforms y otros(Condiciones generales del servicio de una red social),
C-252/21, EU:C:2023:537, apartado 112].””. (el subrayado es nuestro)

Y tal como se recoge en las Directrices 5/2020 sobre el consentimiento en el sentido
del Reglamento (UE) 2016/679:

“123. El responsable no puede pasar del consentimiento a otras bases
jurídicas. Por ejemplo, no le está permitido utilizar retrospectivamente la base
del interés legítimo con el fin de justificar el tratamiento, cuando se encuentre
con problemas con la validez del consentimiento”.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de propuesta de resolución de procedimiento sancionador, se considera que los
hechos conocidos son constitutivos de una infracción del procedimiento establecido
para verificar determinados datos de los clientes ante la TGSS, imputable a la parte
reclamada, por vulneración del artículo 6.1 del RGPD.

III Respuesta a las alegaciones al acuerdo de inicio

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:

Sobre el tratamiento de los datos

La parte reclamada afirma que una vez el cliente o potencial cliente ha aportado los
datos personales identificativos, se le exige, tal y como consta en el Hecho Probado I,
que facilite una serie de datos económicos básicos en relación con su desempeño
profesional. En concreto, debe aportar su estado laboral, actividad profesional, sector
laboral, empresa, ingresos mensuales, propósito de la relación principal y, por último,
el origen de sus fondos.

De todos los datos obtenidos directamente del interesado, los únicos que son
sometidos a una verificación posterior son los datos de ‘estado laboral’ y ‘pagador’,
este último, únicamente en el caso de que así proceda. ING no verifica ni consulta la
vida laboral del cliente ni ningún dato adicional que pueda tener la TGSS.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/49

ING hace referencia aquí al hecho de que los datos personales obtenidos son
identificativos y económicos que no constituyen datos de carácter sensible o
especialmente protegido, en el sentido del artículo 9 del RGPD .

Sin embargo, aunque los datos económicos a que hace referencia la entidad
investigada no sean de carácter sensible, no quiere decir que no tengan
trascendencia, a nivel individual o social, en la vida de las personas, ni que su
conocimiento sin legitimación por un tercero no pueda resultar intrusivo o perjudicial
para los derechos y libertades de estas. Lo anterior se pone de manifiesto, además,
por el carácter reservado de los datos obtenidos por la Administración de la Seguridad
Social en el ejercicio de sus funciones, imposibilitando la cesión o comunicación a
terceros, salvo excepciones.

Lo que establece el Convenio en su Clausula Primera es la cesión de la información
procedente de las bases de datos de la TGSS a las Entidades miembros de
AEB/CECA/UNACC con la finalidad exclusiva de comprobar la veracidad de la
información que las Entidades Financieras recaban de sus clientes, a fin de conocer la
naturaleza de su actividad profesional o empresarial y que los clientes aportan con
ocasión del establecimiento de relaciones de negocio.

Por otro lado, no es el objeto del debate el hecho de que los datos que trata ING son
sensibles o si verifica la vida laboral del cliente o algún dato adicional ante la TGSS,
sino lo que se debate es el hecho de que se necesita un previo y preceptivo
consentimiento del interesado.

El propio Convenio en su Cláusula Cuarta “Obligaciones de la AEB, CECA Y UNACC
respecto a las Entidades Financieras asociadas a las mismas” establece en su
apartado b):

“Informarles de que la utilización de los datos obtenidos es exclusivamente
para los fines previstos en este Convenio”.

Y en su apartado c):

“Informarles que las peticiones que realicen a la TGSS que, en todo caso
necesitarán siempre la autorización firmada de interesado, se referirán,
exclusivamente, a personas físicas que inician relaciones de negocio con la
Entidad Financiera Colaboradora o a personas, respecto de las cuales,
transcurrido un tiempo razonable, resulta necesario actualizar su información.
Las autorizaciones firmadas por el interesado deberán ser custodiadas por las
Entidades Financieras Colaboradoras y entregadas a la TGSS o la Agencia de
Protección de Datos, cuando lo requieran, en un plazo de diez días a contar
desde su solicitud”. (el subrayado es nuestro)

Por otra parte, el Convenio en su cláusula sexta recoge que “cada Entidad Financiera
Colaboradora se obliga a garantizar, respecto a cada solicitud que realice:

“a) Que las peticiones se refieren a personas físicas que inician relaciones de
negocio con la Entidad Financiera o a personas respecto de las que,
transcurrido un tiempo razonable, resulta necesario actualizar su información.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/49

(.../…)
Es decir, el Convenio, al que se ha adherido INGG, deja claro a la AEB, a la que ING
pertenece, que debe informar a sus Entidades Financieras que las peticiones que
realicen a la TGSS en todo caso necesitarán siempre la autorización firmada de
interesado. Y, por otro lado, que cada entidad financiera necesita la correspondiente
autorización firmada por el interesado con carácter previo a la solicitud de información
a la TGSS, remitiéndose, además, al indicar “ver Anexo III”, a la necesidad de
prestación de dicho consentimiento y de qué manera.

Sin la autorización firmada por los clientes, la TGSS no debe proceder a la verificación
solicitada.

La propia TGSS lo pone de manifiesto a los ciudadanos en su página web
(https://revista.seg-social.es/-/la-seguridad-social-respeta-tus-datos) señalando que “El
Reglamento Europeo de Protección de Datos unifica y moderniza la normativa
europea sobre protección de datos, y permite a los ciudadanos un mejor control de
sus datos personales. Entre otras cosas, el ciudadano debe dar su consentimiento
expreso para el manejo de esos datos y, por supuesto, para su cesión a terceros”.
Sobre la necesidad de verificar los datos e información aportados por los clientes ante
la TGSS:

ING afirma que la obligación encomendada a las entidades bancarias de verificar la
información aportada por los clientes o potenciales clientes, en relación con sus
actividades laborales, se materializa con la firma del convenio que permite que éstas
comprueben la veracidad de la información recabada, a partir de la cesión de la
información procedente de las bases de datos de la TGSS.

En este sentido, es el propio convenio el que recoge que los sujetos obligados
adoptarán medidas dirigidas a comprobar razonablemente la veracidad de la
información de naturaleza profesional o empresarial que aporten los clientes, pero
teniendo en cuenta el diferente nivel de riesgo y se basarán en la obtención de los
clientes de documentos que guarden relación con la actividad declarada o en la
obtención de información sobre ella ajena al propio cliente.

Dado que el R.D. 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la
Ley 10/2010, de 28 de abril, establece que,

"los sujetos obligados comprobarán las actividades declaradas por los clientes
en los siguientes supuestos:

a) Cuando el cliente o la relación de negocios presenten riesgos superiores al
promedio, por disposición normativa o porque así se desprenda del análisis de
riesgo del sujeto obligado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/49

b) Cuando del seguimiento de la relación de negocios resulte que las
operaciones activas o pasivas del cliente no se corresponden con su actividad
declarada o con sus antecedentes operativos".

Luego, no queda establecida una obligación de verificar las actividades declaradas por
los clientes en todas las ocasiones, sino que debe realizarse a tenor del posible nivel
de riesgo. En el caso que nos ocupa, la parte reclamante procedió a contratar una
cuenta No cuenta. Consultada la página web de ING, en su apartado de Cuenta No
Cuenta, “Indicador de riesgo correspondiente a Cuenta No Cuenta y Cuenta
NARANJA”:

1/6: Este número es indicativo del riesgo del producto, siendo 1/6 indicativo de menor
riesgo y 6/6 de mayor riesgo.

Sobre la licitud del tratamiento de datos efectuado por ING

Según ING, en contra de lo que se indica por la AEPD, el Convenio entre la Tesorería
General de la Seguridad Social no estipula la necesidad de prestar el consentimiento
por los clientes de las entidades financieras en el sentido del Artículo 6.1 a) del RGPD,
para realizar la referida comprobación, sino que alude a una mera autorización y
equipara este consentimiento al del artículo 1262 del Código Civil, que recoge la
prestación de consentimiento necesaria para formalizar una contratación: “El
consentimiento se manifiesta por el concurso de la oferta y de la aceptación sobre la
cosa y la causa que han de constituir el contrato. Hallándose en lugares distintos el
que hizo la oferta y el que la aceptó, hay consentimiento desde que el oferente conoce
la aceptación o desde que, habiéndosela remitido el aceptante, no pueda ignorarla sin
faltar a la buena fe. El contrato, en tal caso, se presume celebrado en el lugar en que
se hizo la oferta. En los contratos celebrados mediante dispositivos automáticos hay
consentimiento desde que se manifiesta la aceptación”.

Pues bien, amén de remitirnos a lo explicitado en el fundamento de derecho anterior,
se ha de indicar en este momento que el artículo 6.1 apartado c) del RGPD determina
que,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/49

“6.1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones: (...) c) el tratamiento es necesario para el cumplimiento de una
obligación legal aplicable al responsable del tratamiento”.

Lo que debe de ser completado con lo previsto en el art. 8 de la LOPDGDD,

“1. El tratamiento de datos personales solo podrá considerarse fundado en el
cumplimiento de una obligación legal exigible al responsable, en los términos
previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo
prevea una norma de Derecho de la Unión Europea o una norma con rango de
ley, que podrá determinar las condiciones generales del tratamiento y los tipos
de datos objeto del mismo así como las cesiones que procedan como
consecuencia del cumplimiento de la obligación legal. Dicha norma podrá
igualmente imponer condiciones especiales al tratamiento, tales como la
adopción de medidas adicionales de seguridad u otras establecidas en el
capítulo IV del Reglamento (UE) 2016/679”.

Pues bien, esta no es la base jurídica, como se ha indicado anteriormente, que
legitima a ING a realizar el tratamiento de datos consistente en la verificación de datos
de sus clientes ante la TGSS, puesto que ni la LPBCFT ni del Real Decreto Legislativo
8/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley General
de la Seguridad Social imponen en ningún momento de forma expresa al interesado, al
cliente de la entidad bancaria a tener la carga jurídica de soportar y permitir la cesión
de los datos personales que están siendo tratados por la TGSS, ni que la TGSS esté
obligada a ceder tales datos a las entidades financieras.

Sin embargo, y a pesar de que ING fundamente como base de legitimación del
tratamiento el art. 6.1 c) y sostenga que el Convenio entre la Tesorería General de la
Seguridad Social no estipula la necesidad de prestar el consentimiento por los clientes
de las entidades financieras en el sentido del artículo 6.1 a) del RGPD, para realizar la
referida comprobación, es el propio Convenio el que establece que su objeto es el de
facilitar a las entidades de crédito el cumplimiento de la normativa de prevención de
blanqueo de capitales mediante la comprobación de la veracidad de la información que
las entidades financieras recaban de sus clientes, a fin de conocer la naturaleza de la
actividad profesional o empresarial y que los clientes aportan con ocasión del
establecimiento de relaciones de negocio. Y entre las obligaciones establecidas en
este convenio en su cláusula cuarta “Obligaciones de la AEB, CECA y UNACC” se
encuentra:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/49

“c) Informarles que las peticiones que realicen a la TGSS que, en todo caso
necesitarán siempre la autorización firmada de interesado, se referirán,
exclusivamente, a personas físicas que inician relaciones de negocio con la
Entidad Financiera Colaboradora o a personas, respecto de las cuales,
transcurrido un tiempo razonable, resulta necesario actualizar su información”
(el subrayado es nuestro)

Hay que tener en cuenta que las entidades financieras que estén interesadas en
adherirse al Convenio asumen los derechos y obligaciones recogidos en él, así como
también se ven afectadas por la responsabilidad que conlleva estar adherido al mismo.
Así en su cláusula sexta y haciendo referencia a la responsabilidad por el
funcionamiento en el sistema de verificación sobre la naturaleza de la actividad
profesional o empresarial que se derive de su afiliación a la Seguridad Social
establece:

“b) Que previamente a la solicitud de información por parte de la Entidad
Financiera Colaboradora ésta dispone de la correspondiente autorización
expresa, firmada por el interesado, y acordada entre las partes. (Ver anexo III)”.
(el subrayado es nuestro)

Recordemos que el contenido del Anexo III no deja lugar a dudas de que la TGSS,
para la finalidad determinada en el convenio, exige un consentimiento previo, expreso
y firmado, para que la entidad financiera, en este caso ING, pueda, en nombre del
interesado, solicitar dicha información en nombre del interesado.

ANEXO III

D. .........................................................................................., con
D.N.I ........................ y
domicilio ................................................................................................................
............

Ha sido informado por la entidad financiera ........................................,
sucursal ................................... que la legislación vigente sobre prevención de
blanqueo de capitales obliga a estas entidades bancarias a obtener de sus
clientes la información de su actividad económica y a realizar una
comprobación de la misma.

38/49

personal que en ella presta servicios, se ejecutarán todas las actuaciones
previstas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y garantía de los derechos digitales.

En ...................... a ........ de .............................. de ...............

Firma del autorizante

En definitiva, la autorización que se exige se corresponde con el consentimiento que el
interesado presta al tratamiento de la información que, en su nombre, solicita la
entidad financiera a la Tesorería General de la Seguridad Social y que serán utilizados
exclusivamente para esa gestión, consentimiento entendido en los términos del RGPD,
de tal forma que en caso de incumplimiento de la gestión se ejecutarán todas las
actuaciones previstas en el RGPD y en la LOPDGDD.
Sin el consentimiento expreso del interesado, cuya autorización se refiere a la
habilitación para que se pueda llevar a cabo la verificación de los datos suministrados
ante la TGSS, la TGSS no debe permitir a la entidad bancaria verificar los datos del
cliente.

Luego la base que legitima el tratamiento es el consentimiento que recoge el artículo
6.1 a) del RGPD:

“a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;”

Por otra parte, en el escrito de reclamación de la parte reclamante se aportaba
fragmento de la cláusula para la que ING solicitaba su confirmación para continuar con
el proceso de contratación de la cuenta y que ING reconoce que es una cláusula
incluida en los procesos de contratación de sus productos la “cuenta nómina” y la
“cuenta No cuenta” y para todos sus clientes, se estipula que,

"Confirmo que he sido informado por ING BANK N.V., Sucursal en España, que
la legislación vigente sobre prevención de blanqueo de capitales obliga a las
entidades bancarias a obtener de sus clientes la información de su actividad
económica y a realizar una comprobación de la misma. Con este exclusivo fin
de verificación de la información facilitada, presto mi consentimiento expreso a
ING BANK N.V., Sucursal en España para que en mi nombre pueda solicitar
ante la Tesorería General de la Seguridad Social dicha información. Los datos
obtenidos de la Tesorería General de la Seguridad Social serán utilizados
exclusivamente para la gestión señalada anteriormente. En el caso de
incumplimiento de esta obligación por la entidad financiera y/o del personal que
en ella presta servicios, se ejecutarán todas las acciones previstas en la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
Garantía de los derechos digitales." (el subrayado es nuestro)

En esta cláusula queda meridianamente claro que se le pide el consentimiento
expreso para poder solicitar información a la TGSS lo que no hace más que reforzar
como base jurídica del tratamiento el consentimiento del interesado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/49

Sobre la ausencia de daño a los interesados

La parte reclamante manifiesta en su reclamación que considera vulnerados sus
derechos fundamentales por tener que dar un consentimiento para que ING solicite
información en su nombre ante la TGSS.

La parte reclamada afirma que la consulta de datos a la TGSS realizada por ING no es
más que una comprobación que verifica la exactitud y veracidad de la información
facilitada por los clientes, con el objetivo de cumplir con la Normativa de PBC por lo
que en ningún caso supondría una consulta adicional de información ni generaría la
producción de perjuicio alguno para los interesados, resultando además conforme a la
normativa de protección de datos.

Pues bien, de conformidad con lo previsto en diversa jurisprudencia del Tribunal
Constitucional, constituye parte indisoluble del derecho fundamental a la protección de
datos el poder de disposición y control sobre los datos personales que conciernen a
una persona física, resultando que la mera limitación ilegítima de ese poder de
disposición y de control supone un atentado al derecho fundamental.

Por un lado, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre de
2000 dispone que,

“De todo lo dicho resulta que el contenido del derecho fundamental a la
protección de datos consiste en un poder de disposición y de control sobre los
datos personales que faculta a la persona para decidir cuáles de esos datos
proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este
tercero recabar, y que también permite al individuo saber quién posee esos
datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos
poderes de disposición y control sobre los datos personales, que constituyen
parte del contenido del derecho fundamental a la protección de datos se
concretan jurídicamente en la facultad de consentir la recogida, la obtención y
el acceso a los datos personales, su posterior almacenamiento y tratamiento,
así como su uso o usos posibles, por un tercero, sea el Estado o un particular.
Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de
los datos personales, requiere como complementos indispensables, por un
lado, la facultad de saber en todo momento quién dispone de esos datos
personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse
a esa posesión y usos”. (el subrayado es nuestro)

Igualmente, la Sentencia de Tribunal Constitucional 254/1993, de 20 de julio de 1993
dispone que,

“el derecho a la protección de datos atribuye a su titular un haz de facultades
consistente en diversos poderes jurídicos cuyo ejercicio impone a terceros
deberes jurídicos, que no se contienen en el derecho fundamental a la
intimidad, y que sirven a la capital función que desempeña este derecho
fundamental: garantizar a la persona un poder de control sobre sus datos
personales, lo que sólo es posible y efectivo imponiendo a terceros los
mencionados deberes de hacer. A saber: el derecho a que se requiera el previo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/49

consentimiento para la recogida y uso de los datos personales, el derecho a
saber y ser informado sobre el destino y uso de esos datos y el derecho a
acceder, rectificar y cancelar dichos datos. En definitiva, el poder de
disposición sobre los datos personales”. (el subrayado es nuestro).

El daño a los interesados, la lesión al bien jurídico, se produce por no respetar el poder
de disposición y de control del interesado respecto de los datos personales que le
conciernen. Cuando es preciso que consienta para que se pueda realizar un
tratamiento de datos personales y se le hurta la posibilidad, como en el supuesto
examinado, se está pasando por encima de su voluntad y violentando el derecho
fundamental.

A mayor abundamiento se ha de recordar que los daños producidos por la vulneración
del derecho fundamental no sólo acogen a los daños materiales, sino también a los
inmateriales (reconocidos no sólo en el considerando 75 del RGPD sino por la propia
AN en sus sentencias).

Sobre la falta de proporcionalidad de la sanción propuesta

Según la parte reclamada, la sanción incluida en el Acuerdo de Inicio resulta, en todo
caso, desproporcionada, atendiendo a la supuesta infracción, no estando de acuerdo
tampoco con las circunstancias calificadas de agravantes.

En la relativa a la naturaleza, gravedad y duración de la infracción, ING sostiene que
hay un único interesado implicado, que es, así mismo, la persona que ha interpuesto la
reclamación. Sin embargo, los hechos puestos de manifiesto afectan a todos los
clientes y potenciales clientes que contraten bien la “cuenta nómina” bien la “cuenta
No cuenta”, tal y como ha quedado probado, puesto que tal y como ha reconocido ING
se trata de un sistema de contratación para todos sus clientes en la que incluye la
citada cláusula.

En cuanto a la Intencionalidad o negligencia en la infracción, según la parte
reclamada, no resulta concurrente un agravante de intencionalidad en la conducta ya
que viene determinada por el cumplimiento de sus obligaciones en materia de
prevención el fraude y PBC. Aquí, sin embargo, lo que se exige es el consentimiento
en una cláusula de adhesión sin posibilidad real de consentir, siendo plenamente
conocedores de las exigencias del convenio firmado con la TGSS.

IV Tipificación de la infracción

La infracción que se le atribuye a ING se encuentra tipificada en el artículo 83.5 a) del
RGPD, que considera que la infracción de “los principios básicos para el tratamiento,
incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es
sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado
Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose
de una empresa, de una cuantía equivalente al 4% como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/49

La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones
los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley
orgánica”.

Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:

1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)

b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.

(…).
V Propuesta de sanción

A fin de establecer la multa administrativa que procede imponer han de observarse las
previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j).

Al decidir la imposición de una multa administrativa y su cuantía en cada caso
individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan
sufrido;
b ) la intencionalidad o negligencia en la infracción;

a) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

b) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/49

c) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a
la infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en
qué medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76,
“Sanciones y medidas correctivas”, establece que:

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de
multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5 del
RGPD de la que se responsabiliza al reclamado, se estiman concurrentes las
siguientes circunstancias:

- La naturaleza, gravedad y duración de la infracción (artículo 83.2, a) del RGPD),
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/49

de que se trate; dado que los hechos puestos de manifiesto afectan a todos los
clientes que contraten bien la “cuenta nómina” bien la “cuenta no cuenta”, tal y como
consta en los hechos probados, pues la forma de exigir el consentimiento por ING
incumpliendo el RGPD es exigida a todos los clientes que pasen por el sistema de
contratación.

- La intencionalidad o negligencia en la infracción (artículo 83.2. b) del RGPD). ING se
adhirió al convenio con la TGSS, convenio que impone a la entidad financiera una
serie de obligaciones, constando expresamente en su cláusula sexta “que
previamente a la solicitud de información por parte de la Entidad Financiera
Colaboradora ésta dispone de la correspondiente autorización expresa, firmada por el
interesado, y acordada entre las partes”; asimismo, en el Anexo III del citado convenio
se redacta indicando que “con este exclusivo fin de verificación de la información
facilitada, presto mi consentimiento expreso a ................................................ (entidad
financiera) para que en mi nombre pueda solicitar ante la Tesorería General de la
Seguridad Social dicha información”, que ha de ser firmado además por el cliente.

Sin embargo, han exigido el consentimiento en una cláusula de adhesión sin
posibilidad real de consentir, siendo plenamente conocedores de las exigencias del
convenio firmado con la TGSS.

En este sentido, resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec.
63/2006), la cual indica que “…el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”.

La actividad de la entidad presuntamente infractora está vinculada con el tratamiento
de datos tanto de clientes como de terceros. En la actividad de la entidad reclamada
es imprescindible el tratamiento de datos de carácter personal de sus clientes por lo
que, dado el volumen de la misma la transcendencia de esta actividad objeto de la
presente reclamación es muy elevada (artículo 76.2.b) de la LOPDGDD en relación
con el artículo 83.2.k).

Considerando los factores expuestos, a efectos de decidir sobre la imposición de una
multa administrativa y su cuantía, de conformidad con las evidencias de que se
dispone en el presente momento de propuesta de resolución del procedimiento,
teniendo en cuenta las circunstancias del caso y los criterios que establece el artículo
83.2 del RGPD con respecto a la infracción cometida, permite finar una sanción de
DOS MILLONES DE EUROS (2.000.000 €).

VI Adopción de medidas

De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/49

acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento del procedimiento sancionador,
en la resolución que se adopte se podrá requerir a la parte reclamada para que, en el
plazo de seis meses, a contar desde la fecha de ejecutividad de la resolución
finalizadora de este procedimiento, adopte las medidas siguientes:

Informe adecuadamente y recabe el consentimiento, en los términos del RGPD, de los
clientes de la entidad, en relación con la verificación de datos personales ante la TGSS
en los términos de la LPBCFT.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.

A la vista de lo expuesto se procede a emitir la siguiente

PROPUESTA DE RESOLUCIÓN

Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
ING BANK N.V., SUCURSAL EN ESPAÑA, con NIF W0037986G, por una infracción
del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de
2.000.000,00 € (* dos millones * euros).

Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a
ING BANK N.V., SUCURSAL EN ESPAÑA, con NIF W0037986G, que en virtud del
artículo 58.2.d) del RGPD, en el plazo de 6 meses, acredite haber procedido al
cumplimiento del deber de informar adecuadamente y recabar el consentimiento, en
los términos del RGPD, de los clientes de la entidad, en relación con la verificación de
datos personales ante la TGSS en los términos de la LPBCFT.

Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/49

reducción, la sanción quedaría establecida en 1.600.000,00 euros y su pago implicará
la terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.

En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.

En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.

926-070623
R.R.R.
INSPECTOR/INSTRUCTOR

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/49

ANEXO

(…)

SEGUNDO: En fecha 7 de marzo de 2025, ING ha procedido al pago de la sanción en
la cuantía de 1.600.000,00 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.

TERCERO: ING ha renunciado expresamente a cualquier acción o recurso en vía
administrativa contra la sanción.

CUARTO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera
al responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

II
Terminación del procedimiento

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/49

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 1.600.000,00 euros y
su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de
las medidas correspondientes.

Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, ING, en fecha 7 de marzo de 2025, procedió a realizar el pago
voluntario, acogiéndose a la reducción del 20% y renunciando a cualquier acción o
recurso en vía administrativa.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos RESUELVE:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/49

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva de la propuesta de resolución transcrita en la
presente resolución.

La suma de las citadas cuantías arroja una cantidad total de 2.000.000,00 euros.

Tras haber procedido ING BANK N.V., SUCURSAL EN ESPAÑA al pronto pago,
aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de
la LPCAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad
definitiva de 1.600.000,00 euros.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202213634, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a ING BANK N.V., SUCURSAL EN ESPAÑA para que en el
plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, notifique a la
Agencia la adopción de las medidas que se describen en los fundamentos de derecho
de la propuesta de resolución transcrita en la presente resolución.

CUARTO: NOTIFICAR la presente resolución a ING BANK N.V., SUCURSAL EN
ESPAÑA.

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, por parte de la presente autoridad se acepta la renuncia
expresamente manifestada por ING BANK N.V., SUCURSAL EN ESPAÑA, no
cabiendo en consecuencia la interposición de recurso potestativo de reposición frente
a la presente resolución, todo ello sin perjuicio de la posibilidad de acudir a la vía
jurisdiccional contencioso-administrativa.

En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP,
dado que no cabe ningún recurso en vía administrativa al haber renunciado
expresamente, la presente resolución será firme y plenamente ejecutiva a partir de su
notificación.

No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/49

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

1331-100325

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Banka Müşteri Risk Profilinde Veri Koruma Önlemleri

Türkçe özet

Hukuki mesele

Sonuç

Karar metni