1/26
Expediente Nº: EXP202300944
- RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 7 de marzo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a CAIXABANK, S.A.
(en adelante, la parte reclamada), mediante el Acuerdo que se transcribe:
<<
Expediente N.º: EXP202300944
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes:
HECHOS
PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 7 de diciembre de
2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra CAIXABANK, S.A. con NIF A08663619 (en adelante,
CAIXABANK). Los motivos en que basa la reclamación son los siguientes:
La parte reclamante manifiesta que CAIXABANK le ha solicitado una serie de datos,
de conformidad con lo establecido en la Ley 10/2010, de 28 de abril, de prevención del
blanqueo de capitales y de la financiación del terrorismo.
Añade que la información recogida se refleja en un documento denominado
"Declaración/Modificación de datos para la relación de negocios (Modelo 5433)", pero
antes de firmar el formulario (en el que constan sus datos personales y económicos),
comprueba que, en la redacción de una de las cláusulas del mismo se indica que
consiente expresamente a que CAIXABANK solicite sus datos a la Tesorería General
de la Seguridad Social, sin que se dé la opción de expresar su negativa a este
respecto, por lo que el consentimiento viene ya preestablecido.
Así las cosas, indica que tras mostrar su disconformidad al respecto, CAIXABANK le
informa que el proceso seguido por la misma era un proceso rutinario que se aplicaba
a todos los clientes por igual y que, si no firmaba con esas condiciones, se procedería
a bloquear su cuenta bancaria.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/26
Y, aporta la siguiente documentación relevante:
Captura de pantalla relativa a su área personal, en la que figura que el documento
“Modelo 5433 Activ. Económica” se encuentra pendiente de firma.
Copia del citado documento (Modelo 5433) en el que, entre otros, se indica lo
siguiente:
“6. El declarante manifiesta que ha sido informado por CaixaBank de que la legislación
vigente sobre prevención de blanqueo de capitales obliga a las entidades bancarias a
obtener de sus clientes la información de su actividad económica y a realizar una
comprobación de la misma. Con este exclusivo fin de verificación de la información
facilitada, presta su consentimiento expreso a CaixaBank para que en su nombre
pueda solicitar a la Tesorería General de la Seguridad Social dicha información. Los
datos obtenidos de la Tesorería General de la Seguridad social serán utilizados
exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento
de esta obligación por parte de CaixaBank y/o del personal que en ella presta
servicios, se ejecutarán todas las actuaciones previstas en la Ley Orgánica 3/2018, de
5 de diciembre, de Protección de Datos Personales y garantía de los derechos
digitales”.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a CAIXABANK, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 30 de enero de 2023 como
consta en el acuse de recibo que obra en el expediente.
Con fecha 9 de marzo de 2023 se recibe en esta Agencia escrito de respuesta
indicando:
1. Que CAIXABANK está obligada a obtener información sobre el propósito e índole de
la relación de negocio y a realizar un seguimiento continuo de dicha relación según la
Ley 10/2010, de 28 de abril, de Prevención del blanqueo de capitales y de la
financiación de terrorismo (en adelante "LPBCFT"), y su Reglamento (Reglamento de
la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la
financiación del terrorismo, en adelante, "RLPBCFT").
Y hace referencia al siguiente articulado:
"Artículo 11 RLPBCFT. Seguimiento continuo de la relación de negocios.
1. Los sujetos obligados realizarán un escrutinio de las operaciones efectuadas a lo
largo de la relación de negocio a fin de garantizar que coincidan con la actividad
profesional o empresarial del cliente, y con sus antecedentes operativos […]”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/26
Que para poder realizar dicho "escrutinio", la LPBCFT obliga y habilita expresamente a
recabar de sus clientes información a fin de conocer la naturaleza de su actividad
profesional o empresarial y adoptar medidas que permitan comprobar razonablemente
la veracidad de la información:
"Artículo 5 LPBCFT. Propósito e índole de la relación de negocios.
Los sujetos obligados obtendrán información sobre el propósito e índole prevista de la
relación de negocios. En particular, los sujetos obligados recabarán de sus clientes
información a fin de conocer la naturaliza de su actividad profesional o empresarial y
adoptarán medidas dirigidas a comprobar razonablemente la veracidad de dicha
información. Tales medidas consistirán en el establecimiento y aplicación de
procedimientos de verificación de las actividades declaradas por los clientes. („,)"
2. Que este mandato es el que se refleja en el documento Modelo 5433
“Declaración/Modificación de datos para la relación de negocios” donde se recaban
datos, en concreto los socioeconómicos, y se informa de que CAIXABANK tiene la
obligación de realizar la comprobación de los datos facilitados.
3. Que “Como es de ver, el tratamiento de los datos del reclamante por parte de esta
entidad (recopilación de datos necesarios para el seguimiento de la relación y
comprobación o verificación preceptiva) se realiza en estricto cumplimiento de la
normativa que le resulta de aplicación.”
4. En relación al bloqueo de cuentas hace referencia a, entre otra información, que:
a. Según articulo 7.3 LPBCFT: "los sujetos obligados no establecerán relaciones de
negocio, ni ejecutarán operaciones cuando no puedan aplicar las medidas de
diligencia debida que prevé la ley, poniendo fin a la relación de negocio cuando no
puedan aplicar dichas medidas".
Al tiempo que también determina:
"que la negativa de las entidades a establecer relaciones de negocio o a ejecutar
operaciones o la terminación de la relación por no poder aplicar las medidas de
diligencia debida no conllevará, salvo que medie enriquecimiento injusto, ningún tipo
de responsabilidad para la entidad".
b. Que en el apartado 4 del modelo 5433 se dicta que:
"4. El declarante manifiesta que los datos consignados son suyos y completos y
reconoce que la inexactitud o falta de veracidad de los mismos y/o en los documentos
aportados (exactitud o veracidad que CaixaBank se reserva la facultad de comprobar
por medios propios), así como el incumplimiento de los compromisos adquiridos en
virtud de la misma podrá ser causa suficiente para la denegación por parte de
CaixaBank y/o las empresas del grupo CaixaBank del establecimiento de la relación
de negocios o de la contratación de cualquier producto o servicio y facultará a
CaixaBank y/o a cualquiera de las empresas del grupo CaixaBank para suspender e,
incluso, poner fin a la relación de negocios que, en su caso, se haya establecido."
c. Manifiesta:
“Como pueden comprobar, la eventual extinción de la relación de negocios trae causa
de la inacción del cliente respecto de la aportación de aquellos datos legalmente
requeridos y/o por la falta de la verificación o comprobación preceptiva de los mismos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/26
En ningún caso, contrariamente a lo manifestado por el reclamante -sin ninguna
actividad probatoria que justifique tal afirmación-, la ausencia de la prestación del
consentimiento para la comprobación de los datos (necesarios) facilitados para el
conocimiento de la relación de negocio, mediante consulta a la base de datos de la
TGSS (tal como se informa en el apartado 6 del Modelo 5433), o bien su oportuna
revocación, supone o puede suponer la extinción de la relación de negocios con
CaixaBank, cuya actuación en materia de prevención del blanqueo se ciñe
rigurosamente a la LPBCFT y al RLPBCFT.”
5. Que no consta en sus sistemas reclamación ninguna por parte del reclamante.
Que entiende que el reclamante está ejerciendo el derecho de revocación por lo que
proceden a registrar en sus sistemas dicha revocación siendo su efectividad
inmediata.
Aporta copia de carta fechada a 08/03/2023 y dirigida al reclamante donde se le
informa de que han procedido a la revocación de su consentimiento para la consulta
de datos a la TGSS>>.
TERCERO: Con fecha 7 de marzo de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
1. El proceso “Know Your Customer” (en adelante KYC) es el proceso mediante el cual
Caixabank cumple con las obligaciones en materia de diligencia debida establecidas
por la LPBCFT, obligaciones que implican la identificación del cliente y la obtención de
información relativa a su actividad profesional, incluyendo la obligación de comprobar
razonablemente la actividad en el supuesto de clientes de riesgo superior al promedio,
así como garantizar que en todo caso la información permanece actualizada mediante
procesos de revisión.
Por todo ello, tal proceso se lleva a cabo:
- En el momento del alta de un cliente en la entidad.
- De forma periódica, para la actualización de la información. (…)
2. Existe un convenio de colaboración entre la Tesorería General de la Seguridad
Social (en adelante, TGSS), la Asociación Española de Banca, la Confederación
Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre
cesión de información, cuyo objetivo único es permitir a las entidades financieras
consultar determinada información de sus clientes con el fin de verificarla y cumplir con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/26
las medidas de diligencia debida establecidas por la LPBCFT. A tal convenio se adhirió
Caixabank (…).
En su cláusula sexta (“Responsabilidad por el funcionamiento del SVFI”) se indica:
“(…) Asimismo, cada Entidad Financiera Colaboradora se obliga a garantizar, respecto
a cada solicitud que realice:
a) Que las peticiones se refieren a personas físicas que inician relaciones de negocio
con la Entidad Financiera o a personas respecto de las que, transcurrido un tiempo
razonable, resulta necesario actualizar su información.
b) Que previamente a la solicitud de información por parte de la Entidad Financiera
Colaboradora ésta dispone de la correspondiente autorización expresa, firmada por el
interesado, y acordada entre las partes. (Ver Anexo III).
c) Que se compromete a custodiar las autorizaciones por los clientes. Con motivo de
acciones de control o auditoria llevadas a cabo por la TGSS como titular de datos
cedidos, las Entidades Financieras están obligadas a facilitar la documentación que
obra en su poder en un plazo que no podrá superar los diez días naturales desde su
solicitud. Este mismo plazo también se aplicará a las peticiones que, en su caso,
pudiera realizar la Agencia de Protección de Datos.
(…)”
El contenido del Anexo III del citado convenio tiene el siguiente contenido:
3. En los procesos de alta de nuevos clientes, toda información de datos personales
que éste aporta se consolida en el documento “Contrato Marco”, que ha de firmar el
nuevo cliente.
El proceso de alta de nuevos clientes que CAIXABANK estableció tras su adhesión al
convenio (...) fue modificado en las siguientes fechas:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/26
- En oficina: En mayo de 2023.
- En la banca digital (CaixaBankNow) y en la banca móvil (app): En junio de
2023.
Por ello, en tal proceso de alta de nuevos clientes hay diferencias según el periodo
temporal en el que se haya realizado:
a) Desde la adhesión de CAIXABANK al convenio (...) hasta las modificaciones
del proceso de alta de nuevos clientes realizadas en el año 2023:
(i) En el modelo de contrato Marco, consta lo siguiente:
“(…)
Usted manifiesta que ha sido informado por Caixabank de que la
legislación vigente sobre prevención de blanqueo de capitales obliga a
las entidades bancarias a obtener de sus clientes la información de su
actividad económica y a realizar una comprobación de la misma. Con
este exclusivo fin de verificación de la información facilitada, presta su
consentimiento expreso a Caixabank para que en su nombre podamos
solicitar a la Tesorería General de la Seguridad Social dicha
información. Los datos obtenidos de la Tesorería General de la
Seguridad Social serán utilizados exclusivamente para la gestión señala
anteriormente (…).
[…]
4.TRATAMIENTO DE DATOS PERSONALES
[…]
4.4 Datos tratados
[…]
>Datos que usted nos ha facilitado en el alta de sus contratos o durante
su relación con nosotros mediante entrevistas o formularios. Estas son
las tipologías de datos y el detalle de los datos:
[…]
Datos de su actividad profesional o laboral y socioeconómicos: actividad
profesional o laboral, ingresos o retribuciones, unidad o círculo familiar,
nivel de estudios, patrimonio, datos fiscales y datos tributarios.
[…]
>Datos obtenidos de fuentes de acceso público, registros públicos o
fuentes externas.
Estas son las tipologías de datos y el detalle de los datos:
[…]
4.5 Qué tratamientos realizamos con sus datos.
Los tratamientos que realizaremos con sus datos son diversos y
responden a diferentes finalidades y bases jurídicas:
>Tratamientos basados en el consentimiento con las finalidades de:
-Personalización de la oferta comercial por otros canales.
-Cesión de datos a otras empresas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/26
- Identificación de clientes y firma de documentación mediante uso de
biometría.
-Aplicación de condiciones personales en contratos en cotitularidad
[…]
>Tratamientos necesarios para cumplir con obligaciones normativas,
principalmente con la finalidad de:
-Cumplir la normativa de prevención del blanqueo de capitales y de la
financiación del terrorismo.
-Cumplir la normativa en materia tributaria.
-Dar cumplimiento a las obligaciones derivadas de las políticas de
sanciones y contramedidas financieras internacionales.
-Atender quejas y reclamaciones.
[…]
(ii) En los procesos de alta de nuevos clientes consta un proceso para
conceder, o no, consentimientos exclusivamente en relación a los siguientes
tratamientos: “Personalización de la oferta de productos y servicios según el
análisis de sus datos”, “Comunicación de la oferta de productos y servicios por
canales”, “Cesión de datos a otras empresas”, “Aplicar condiciones personales
en contratos de cotitularidad”.
(iii) La revocación de los consentimientos se hacía a través de un
formulario, en oficina.
(iv) Que en el periodo temporal desde la fecha 7/12/2021 hasta las
fechas indicadas anteriormente cuando se pusieron en marcha los procesos de
alta de nuevos clientes del año 2023, han completado el proceso KYC de alta,
firmando el contrato marco (…).
b) Desde las modificaciones del proceso de alta de nuevos clientes realizadas
en el año 2023:
(i) En el modelo de contrato Marco consta lo siguiente:
5. TRATAMIENTO DE DATOS PERSONALES.
[…]
5.4 Datos tratados
[…]
〉 Datos que usted nos ha facilitado en el alta de sus contratos o durante
su relación con nosotros mediante entrevistas o formularios. Estas son
las tipologías y el detalle de los datos:
[…]
• Datos de su actividad profesional o laboral y socioeconómicos:
actividad profesional o laboral, ingresos o retribuciones, unidad o círculo
familiar, nivel de estudios, patrimonio, datos fiscales y datos tributarios.
[…]
〉 Datos obtenidos de fuentes de acceso público, registros públicos o
fuentes externas. Estas son las tipologías y el detalle de los datos:
[…]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/26
• Datos de la Tesorería General de la Seguridad Social: datos
identificativos y de contacto del pagador, datos de actividad profesional
o laboral (CNAE, trabajador por cuenta propia y/o cuenta ajena, grupo
de cotización del trabajador).
[…]
5.5 Qué tratamientos realizamos con sus datos.
Los tratamientos que realizaremos con sus datos son diversos y
responden a diferentes finalidades y bases jurídicas:
〉 Tratamientos basados en el consentimiento, con las finalidades de:
− Personalización de la oferta de productos y servicios según el
análisis de sus datos.
− Comunicación de la oferta comercial por otros canales.
− Cesión de datos a otras empresas para la remisión de ofertas
comerciales.
− Verificación de actividad económica para cumplir con la
normativa de prevención del blanqueo de capitales y de la financiación
del terrorismo.
[…]
〉 Tratamientos necesarios para cumplir con obligaciones normativas,
principalmente con la finalidad de:
− Cumplir la normativa de prevención del blanqueo de capitales
y de la financiación del terrorismo.
− Cumplir la normativa en materia tributaria.
− Dar cumplimiento a las obligaciones derivadas de las políticas
de sanciones y contramedidas financieras internacionales.
− Atender quejas y reclamaciones.
[…]”
(ii) En los procedimientos KYC de alta de nuevos clientes, consta que se
puede conceder o no conceder el consentimiento para la verificación de datos
con la TGSS tanto en oficina, como en la página web www.caixabank.es, como
en la aplicación móvil de la entidad. También consta que se puede revocar el
consentimiento por los tres canales anteriormente citados.
4. En los procesos de actualización de la información de datos personales del cliente
ya existente, éste lo que ha de firmar es el modelo 5433 (Declaración/Modificación de
datos para la relación de negocios).
El proceso de actualización de la información de los datos personales de clientes ya
existentes que CAIXABANK estableció tras su adhesión al convenio (...) fue
modificado en las siguientes fechas:
- En oficina: En febrero de 2023.
- En la banca digital (CaixaBankNow): En mayo de 2023
- En la banca móvil (app): En junio de 2023.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/26
Por ello, en tal proceso de actualización de la información de los datos personales de
clientes ya existentes hay diferencias según el periodo temporal en el que se haya
realizado:
a) Desde la adhesión de CAIXABANK al convenio (...) hasta las modificaciones
del proceso de actualización de la información de los datos personales de clientes ya
existentes realizadas en el año 2023:
(i) En la "Declaración/Modificación de datos para la relación de negocios
(Modelo 5433)", constan las siguientes cláusulas que, indica CAIXABANK en
su escrito de 30 de noviembre de 2023, es “La información en relación con el
tratamiento de datos”:
“5. Tratamiento de datos de carácter personal El responsable del
tratamiento es CaixaBank, S.A., con NIF A-08663619 Datos de contacto
del Delegado de Protección de datos:
www.CaixaBank.com/delegadoprotecciondedatos Los datos solicitados
son necesarios para la gestión y ejecución del servicio y/o contratación
solicitados, y serán tratados con dicha finalidad; así mismo, serán
tratados para cumplir con las obligaciones normativas requeridas. Estos
datos podrán ser comunicados a autoridades y organismos públicos,
para el cumplimiento de una obligación legal requerida, así como a
proveedores de servicios y a terceros necesarios para la gestión y
ejecución de las relaciones derivadas del servicio y/o contractuales. Los
datos serán tratados mientras permanezcan vigentes las relaciones
derivadas del servicio y/o contractuales establecidas, y serán
conservados (durante el plazo de prescripción de las acciones
derivadas de dichas relaciones) a los únicos efectos de cumplir las
obligaciones legales requeridas, y para la formulación, ejercicio o
defensa de reclamaciones. Ejercicio de derechos y reclamaciones ante
la Autoridad de protección de datos El titular de los datos podrá ejercer
los derechos en relación a sus datos de carácter personal de acuerdo
con la normativa vigente, en las oficinas de CaixaBank, en el
APARTADO DE CORREOS 209-46080 VALÈNCIA o en
www.CaixaBank.com/ejerciciodederechos.
6. El declarante manifiesta que ha sido informado por CaixaBank de
que la legislación vigente sobre prevención de blanqueo de capitales
obliga a las entidades bancarias a obtener de sus clientes la
información de su actividad económica y a realizar una comprobación
de la misma. Con este exclusivo fin de verificación de la información
facilitada, presta su consentimiento expreso a CaixaBank para que en
su nombre pueda solicitar ala Tesorería General de la Seguridad Social
dicha información. Los datos obtenidos de la Tesorería General de la
Seguridad social serán utilizados exclusivamente para la gestión
señalada anteriormente. En el caso de incumplimiento de esta
obligación por parte de CaixaBank y/o del personal que en ella presta
servicios, se ejecutarán todas las actuaciones previstas en la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/26
(ii) La revocación de dicho consentimiento se hacía a través de un
formulario, en oficina.
(iii) Que en el periodo temporal desde la fecha 07/12/2021 hasta las
fechas indicadas anteriormente cuando se pusieron en marcha los
procesos KYC del año 2023, han completado el proceso KYC de
actualización de información de datos personales, (…).
b) Desde las modificaciones del proceso de actualización de la información de
los datos personales de clientes ya existentes realizadas en el año 2023:
(i) CAIXABANK, en su escrito de 31 de octubre de 2023 indica:
- Que el cliente deberá dar de nuevo toda la información que ya
declaró en el alta.
- “Una vez verificados todos los campos, se le mostrará un
resumen de los datos al cliente y deberá firmar la información actualizada o
modificada, que se consolida en el documento KYC 5433, que el cliente firma (…).”
En esa "Declaración/Modificación de datos para la relación de
negocios (Modelo 5433)", constan las mismas cláusulas que,
indicó CAIXABANK en su escrito de 30 de noviembre de 2023, a
excepción de la cláusula 6.
“- Si el cliente no ha otorgado su consentimiento a la verificación
de su actividad económica, se le solicitará al cliente si desea prestar su
consentimiento al tratamiento de sus datos con esta finalidad, (…)”
(ii) El consentimiento se puede revocar tanto en oficina, como en la
página web www.caixabank.es, como en la aplicación móvil de la entidad.
QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
CAIXABANK, S.A. es una gran empresa constituida en el año 1980, y con un volumen
de negocios de 1.310.563.000 euros en el año 2022.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para iniciar y resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/26
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
Conforme a lo dispuesto en el artículo 4.2 del RGPD, se entiende por «tratamiento» :
cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjuntos de datos personales, ya sea por procedimientos automatizados o no, como
la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción;
En el presente caso, de acuerdo con lo establecido en el artículo 4.2 del RGPD,
CAIXABANK es quien realiza el tratamiento de datos personales de sus clientes,
recogiendo sus datos personales y consultándolos a la TGSS.
A tal efecto, establece un procedimiento para la obtención de información con datos
personales de los clientes y recogida del consentimiento para verificar dichos datos
personales ante la TGSS, a través de un formulario denominado “contrato marco”,
para los casos de altas de nuevos clientes, y “modelo 5433 (Declaración/Modificación
de datos para la relación de negocios)”, para los casos de actualización de los datos
personales de los clientes existentes. Documentos, ambos, de suscripción obligatoria.
Por ello, en el presente procedimiento se va a analizar el procedimiento establecido
por CAIXABANK para la prestación del consentimiento de los clientes de CAIXABANK
para que ésta pueda consultar los datos personales de estos para verificar los
obtenidos en atención a la LPBCFT ante la TGSS.
III
Artículo 6.1 del RGPD
Según el artículo 6 del RGPD “Licitud del tratamiento:
1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/26
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.
En este caso, CAIXABANK afirma que la verificación de los datos personales de sus
clientes ante la TGSS, obtenidos en cumplimiento de las obligaciones impuestas por la
LPBCFT, es consecuencia de la obligación legal impuesta por la Ley 10/2010, de 28
de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo
(LPBCFT), que recoge en su artículo 2, los sujetos obligados en la Prevención del
Blanqueo de Capitales: Entidades Financieras (bancos, cajas de ahorro, cooperativas
de crédito, etc.), Compañías de Seguros, Entidades de Crédito, etc.
En este sentido, esta misma ley regula en su artículo 5, que “los sujetos obligados
recabarán de sus clientes información a fin de conocer la naturaleza de su actividad
profesional o empresarial y adoptarán medidas dirigidas a comprobar razonablemente
la veracidad de dicha información.
Tales medidas consistirán en el establecimiento y aplicación de procedimientos de
verificación de las actividades declaradas por los clientes. Dichos procedimientos
tendrán en cuenta el diferente nivel de riesgo y se basarán en la obtención de los
clientes de documentos que guarden relación con la actividad declarada o en la
obtención de información sobre ella ajena al propio cliente”.(el subrayado es nuestro)
Añadiendo en su artículo 6 que “Los sujetos obligados aplicarán medidas de
seguimiento continuo a la relación de negocios, incluido el escrutinio de las
operaciones efectuadas a lo largo de dicha relación a fin de garantizar que coincidan
con el conocimiento que tenga el sujeto obligado del cliente y de su perfil empresarial
y de riesgo, incluido el origen de los fondos y garantizar que los documentos, datos e
información de que se disponga estén actualizados.”
Por su parte, el RD 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de
la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la
financiación del terrorismo, que desarrolla la LPBCFT establece:
“Artículo 10. Propósito e índole de la relación de negocios.
1. Los sujetos obligados recabarán de sus clientes información a fin de conocer la
naturaleza de su actividad profesional o empresarial. La actividad declarada por el
cliente será registrada por el sujeto obligado con carácter previo al inicio de la relación
de negocios.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/26
2. Los sujetos obligados comprobarán las actividades declaradas por los clientes en
los siguientes supuestos:
a) Cuando el cliente o la relación de negocios presenten riesgos superiores al
promedio, por disposición normativa o porque así se desprenda del análisis de riesgo
del sujeto obligado.
b) Cuando del seguimiento de la relación de negocios resulte que las operaciones
activas o pasivas del cliente no se corresponden con su actividad declarada o con sus
antecedentes operativos.
3. Las acciones de comprobación de la actividad profesional o empresarial declarada
se graduarán en función del riesgo y se realizarán mediante documentación aportada
por el cliente, o mediante la obtención de información de fuentes fiables
independientes. Asimismo, los sujetos obligados podrán comprobar la actividad
profesional o empresarial de los clientes mediante visitas presenciales a las oficinas,
almacenes o locales declarados por el cliente como lugares donde ejerce su actividad
mercantil, dejando constancia por escrito del resultado de dicha visita.
(…)
Artículo 11. Seguimiento continuo de la relación de negocios.
1. Los sujetos obligados realizarán un escrutinio de las operaciones efectuadas a lo
largo de la relación de negocio a fin de garantizar que coincidan con la actividad
profesional o empresarial del cliente y con sus antecedentes operativos. Los sujetos
obligados incrementarán el seguimiento cuando aprecien riesgos superiores al
promedio por disposición normativa o porque así se desprenda del análisis de riesgo
del sujeto obligado.
(…)
2. Los sujetos obligados realizarán periódicamente procesos de revisión con objeto de
asegurar que los documentos, datos e informaciones obtenidos como consecuencia
de la aplicación de las medidas de debida diligencia se mantengan actualizados y se
encuentren vigentes.
(…)” (el subrayado es nuestro)
De conformidad con la normativa antedicha, el tratamiento que realiza la entidad
bancaria consiste en, por un lado, recabar información de los clientes en los términos
explicitados en la LPBCFT y, por otro, adoptar medidas dirigidas a comprobar
razonablemente la veracidad de dicha información.
Así, es cierto que la normativa sectorial determina la obligación de verificación de las
actividades profesionales y empresariales de los sujetos con los que vaya a hacer
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/26
negocios. No previendo, sin embargo, que esto deba hacerse de una manera
determinada, debiendo ser el responsable del tratamiento de datos personales (en el
presente caso, CAIXABANK) quien deba decidir tal procedimiento de verificación, el
cual ha de cumplir con la normativa en materia de protección de datos de carácter
personal.
El Convenio suscrito con la TGSS sobre cesión de información, al que se ha adherido
CAIXABANK el (...), con el fin de facilitar a las entidades de crédito el cumplimiento de
la normativa de prevención del blanqueo de capitales, mediante un procedimiento
informático mecanizado que permite establecer un proceso diario de solicitud de datos
por parte de las entidades financieras y de transmisión de información por parte de la
TGSS, podría resultar un mecanismo adecuado para el cumplimiento de sus
obligaciones pero no necesariamente único.
En la cláusula sexta y en el Anexo III del Convenio entre la Tesorería General de la
Seguridad Social, la Asociación Española de Banca, la Confederación Española de
Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito, sobre cesión de
información, al que CAIXABANK hace alusión en sus escritos, se pone de manifiesto
que el interesado tiene que consentir para que la entidad bancaria pueda verificar los
datos personales ante la TGSS y se recoge efectivamente, la cláusula por la que se
puede dar el consentimiento expreso para verificar la información.
Pero si bien ésta es la forma en la que el convenio considera que ha de solicitarse ese
consentimiento a los efectos de permitir la verificación en los sistemas de la TGSS,
ésta no es la única vía para la verificación de los datos personales, en los términos
antes citados de la LPCBCFT y su reglamento de desarrollo.
La normativa no establece la obligación de verificar la información de datos personales
ante la TGSS, sino que la facilita el cliente y posteriormente, teniendo en cuenta el
diferente nivel de riesgo, existe una obligación general de establecer y aplicar
procedimientos de verificación de las actividades declaradas por los clientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/26
Por ello, para poder consultar datos personales con la TGSS, dado que la Ley no
impone esta vía a las entidades bancarias ni constituye una obligación legal la
consulta ante la TGSS, a los efectos de verificación de la información de datos
personales facilitada por el reclamante sería necesario recabar el consentimiento del
interesado, no imponer el uso de dicho mecanismo, y siempre condicionado a los
supuestos específicos en los que la norma exige dicha verificación.
En este sentido, el artículo 4.11 del RGPD establece que el “consentimiento del
interesado” es “toda manifestación de voluntad libre, específica, informada e
inequívoca por la que el interesado acepta, ya sea mediante una declaración o una
clara acción afirmativa, el tratamiento de datos personales que le conciernen”
El consentimiento se entiende como un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con
garantías suficientes para acreditar que el interesado es consciente del hecho de que
da su consentimiento y de la medida en que lo hace.
Asimismo, debe darse para todas las actividades de tratamiento realizadas con el
mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe
darse el consentimiento para todos ellos de manera específica e inequívoca. A este
respecto, la licitud del tratamiento exige que el interesado sea informado sobre los
fines a que están destinados los datos (consentimiento informado).
Además, el consentimiento ha de prestarse libremente. Se entiende que el
consentimiento no es libre cuando el interesado no goza de verdadera o libre elección
o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno, o cuando el
cumplimiento de un contrato o prestación de servicio sea dependiente del
consentimiento, aun cuando éste no sea necesario para dicho cumplimiento. Esto
ocurre cuando el consentimiento se incluye como una parte no negociable de las
condiciones generales.
Sin estas condiciones, el consentimiento prestado por el interesado no determinaría un
control sobre sus datos personales y el destino de los mismos.
Por otro lado, el Comité Europeo de Protección de Datos en el documento “Directrices
05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, que actualiza
las directrices sobre el consentimiento adoptadas por el Grupo de Trabajo del Artículo
29 el 28/11/2017, revisadas y aprobadas el 10/04/2018 hace referencia a esto e indica
que:
“3. En general, el consentimiento solo puede ser una base jurídica adecuada si se
ofrece al interesado control y una capacidad real de elección con respecto a si desea
aceptar o rechazar las condiciones ofrecidas o rechazarlas sin sufrir perjuicio alguno.
Cuando solicita el consentimiento, el responsable del tratamiento tiene la obligación de
evaluar si dicho consentimiento cumplirá todos los requisitos para la obtención de un
consentimiento válido. Si se obtiene en pleno cumplimiento del RGPD, el
consentimiento es una herramienta que otorga a los interesados el control sobre si los
datos personales que les conciernen van a ser tratados o no. Si no es así, el control
del interesado será meramente ilusorio y el consentimiento no será una base jurídica
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/26
válida para el tratamiento, lo que convertirá dicha actividad de tratamiento en una
actividad ilícita.
Estas directrices prosiguen señalando:
“13. El término «libre» implica elección y control reales por parte de los interesados.
Como norma general, el RGPD establece que, si el sujeto no es realmente libre para
elegir, se siente obligado a dar su consentimiento o sufrirá consecuencias negativas si
no lo da, entonces el consentimiento no puede considerarse válido, Si el
consentimiento está incluido como una parte no negociable de las condiciones
generales se asume que no se ha dado libremente. En consecuencia, no se
considerará que el consentimiento se ha prestado libremente si el interesado no puede
negar o retirar su consentimiento sin perjuicio.”
Asimismo indican:
“62. El RGPD refuerza el requisito de que el consentimiento debe ser informado. De
conformidad con el artículo 5 del RGPD, el requisito de transparencia es uno de los
principios fundamentales, estrechamente relacionado con los principios de lealtad y
licitud. Facilitar información a los interesados antes de obtener su consentimiento es
esencial para que puedan tomar decisiones informadas, comprender que es lo que
están autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el
responsable no proporciona información accesible, el control del usuario será ilusorio y
el consentimiento no constituirá una base válida para el tratamiento de los datos.
63. Si no se cumplen los requisitos relativos al consentimiento informado, el
consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6
del RGPD
64. Para que el consentimiento sea informado es necesario comunicar al interesado
ciertos elementos que son cruciales para poder elegir. Por tanto, el CEPD opina que
se requiere, al menos, la información siguiente para obtener el consentimiento válido:
i la identidad del responsable del tratamiento.
ii el fin de cada una de las operaciones de tratamiento para las que se solicita el
consentimiento.
iii qué (tipo de) datos van a recogerse y utilizarse.
Iv la existencia del derecho a retirar el consentimiento.
V información sobre el uso de los datos para decisiones automatizadas de
conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e
Vi información sobre los posibles riegos de transferencia de datos debido a la
ausencia de una decisión de adecuación de garantías adecuadas, tal y como se
describen en el artículo 46”
En el presente supuesto, desde la adhesión de CAIXABANK al convenio (...) hasta las
modificaciones del procedimiento en el año 2023:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/26
- El consentimiento no puede considerarse libre porque con la firma del contrato marco
o del modelo 5433 se impone a todos los clientes que la verificación de sus datos
personales se realice a través de consulta a la TGSS. Ello limita absolutamente la
capacidad de elección de tales personas para decidir si quieren que CAIXABANK lleve
a cabo tal verificación de datos personales a través de consulta ante la TGSS, ya que
no es obligatorio, como se ha expuesto.
- Asimismo, el consentimiento debe darse para todas las actividades de tratamiento
realizadas con el mismo o mismos fines, de modo que, cuando el tratamiento tenga
varios fines, debe darse el consentimiento para todos ellos de manera específica e
inequívoca. Pero en el presente caso no se puede considerar específico e inequívoco
toda vez que los mecanismos de prestación del consentimiento de los clientes de
CAIXABANK para que ésta pueda consultar los datos personales de sus clientes ante
la TGSS, a través del modelo de contrato marco y del modelo ya están prestablecidos,
al igual que si fuera una casilla premarcada.
- El consentimiento no puede considerarse informado porque:
a) El contrato marco, que firmaban los nuevos clientes, se indicaba, por un
lado, que “presta su consentimiento expreso a Caixabank para que en su nombre
podamos solicitar a la Tesorería General de la Seguridad Social dicha información” si
bien en el apartado 4.5 de tal contrato no incluye tal tratamiento dentro del apartado
relativo a los, “Tratamientos basados en el consentimiento”.
b) El modelo 5433, que tenían que firmar los clientes ya existentes para la
actualización de sus datos personales, señalaba que “El declarante manifiesta que ha
sido informado por CaixaBank de que la legislación vigente sobre prevención de
blanqueo de capitales obliga a las entidades bancarias a obtener de sus clientes la
información de su actividad económica y a realizar una comprobación de la misma.
Con este exclusivo fin de verificación de la información facilitada, presta su
consentimiento expreso a CaixaBank para que en su nombre pueda solicitar a la
Tesorería General de la Seguridad Social dicha información”. Información que hay que
añadir a la que ya tenían tales personas cuando firmaron el precitado contrato marco.
La información ofrecida podría provocar confusión a un ciudadano medio, porque:
- No permitía consentir expresamente, sino que el consentimiento se reflejaba en una
cláusula tipo de los modelos a la que era obligado adherirse.
- Tal cláusula hacía mención a las obligaciones legales en materia de LPBCFT.
- En la información que se daba sobre ese tratamiento de datos personales, como tal
tratamiento no se encontraba incluido expresamente en los tratamientos cuya base jurídica
era el consentimiento, podía relacionarse directamente con los tratamientos relativos a la
obligación legal sobre la LPBCFT, norma a la que hacía mención la cláusula de los modelos .
Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de iniciación de procedimiento sancionador, y sin perjuicio de lo que
resulte de la instrucción, se considera que los hechos conocidos podrían ser
constitutivos de una infracción, imputable a la parte reclamada, por vulneración del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/26
artículo 6.1 del RGPD en relación con el procedimiento que tenía establecido
CAIXABANK para recabar el consentimiento de sus clientes para verificar
determinados datos personales relacionados con la LPBCFT ante TGSS.
IV
Tipificación de la infracción
La infracción que se le atribuye a CAIXABANK se encuentra tipificada en el artículo
83.5 a) del RGPD, que considera que la infracción de “los principios básicos para el
tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,
6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del
citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía”.
La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones
los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley
orgánica”.
Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
(…).
V
Propuesta de sanción
A fin de establecer la multa administrativa que procede imponer han de observarse las
previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j).
Al decidir la imposición de una multa administrativa y su cuantía en cada caso
individual se tendrá debidamente en cuenta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/26
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
a) la intencionalidad o negligencia en la infracción;
b) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
c) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
d) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76,
“Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/26
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a
imponer en el presente caso por la infracción tipificada en el artículo 83.5 del RGPD de
la que se responsabiliza al reclamado, en una valoración inicial, se estiman
concurrentes los siguientes factores:
Como circunstancias agravantes:
- La naturaleza, gravedad y duración de la infracción (artículo 83. 2.a) del RGPD),
pues los hechos puestos de manifiesto afectaron a todos sus clientes desde la
adhesión de CAIXABANK al convenio con la TGSS (...) hasta febrero de 2023 En
concreto afectó, desde el 7 de diciembre de 2021 hasta las fechas indicadas
anteriormente cuando se pusieron en marcha los procesos KYC del año 2023:
(…)
- La intencionalidad o negligencia en la infracción (artículo 83.2. b) del RGPD).
CAIXABANK se adhirió al convenio con la TGSS (...), convenio que impone a la
entidad financiera, en su cláusula sexta disponer de la correspondiente autorización
expresa, firmada por el interesado. Sin embargo, han exigido el consentimiento en una
cláusula de adhesión sin posibilidad real de consentir, siendo plenamente conocedores
de las exigencias del convenio firmado con la TGSS.
En este sentido resulta muy ilustrativa la SAN de 17 de octubre de 2007(rec. 63/2006),
la cual indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que,
en el caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto”
- La circunstancia del artículo 83.2.e) RGPD: “Toda infracción anterior cometida por el
responsable o el encargado del tratamiento”.
El considerando 148 del RGPD señala “A fin de reforzar la aplicación de las normas
del presente Reglamento [...]” e indica a ese respecto que “Debe no obstante,
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional [...] o a cualquier infracción pertinente [...]”.
Así pues, conforme al apartado e) del artículo 83.2. RGPD, en la determinación del
importe de la sanción de multa administrativa no podrán dejar de valorarse todas
aquellas infracciones anteriores del responsable o del encargado de tratamiento en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/26
aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto
infractor.
Además, una correcta interpretación de la disposición del artículo 83.2.e) RGPD no
puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de
multa administrativa en el caso individual planteado atendiendo siempre a que la
sanción sea proporcional, efectiva y disuasoria.
Son numerosos los procedimientos sancionadores tramitados por la AEPD en los que
la reclamada ha sido sancionada por la infracción del artículo 6.1 del RGPD:
i. PS/00477/2019. Resolución dictada el 5 de enero de 2021 en el que se impuso una
sanción de 2.000.000 euros por los artículos 13 y 14 del RGPD y de 4.000.000 por el
artículo 6 del RGPD. Los hechos versaron sobre la cesión de datos a las empresas del
grupo.
ii. PS/00500/2020. Resolución dictada el 22 de septiembre de 2021 en el que se
impuso una sanción de 3.000.000 euros. Los hechos versaron sobre los
procedimientos de obtención del consentimiento para elaborar perfiles con fines
comerciales.
iii. PS/00226/2020. Resolución dictada el 4 de febrero de 2022 en el que se impuso
una sanción de 2.000.000 euros por el artículo 6 en relación con el artículo 7.4 del
RGPD y de100.000 euros por el artículo 6.1. Los hechos versaron sobre el
procedimiento de recogida del consentimiento y la existencia de consentimientos
premarcados.
iv.PS/00254/2023. Resolución dictada el 19 de octubre de 2023 en la que se impuso
una sanción de 200.000 euros. Los hechos versaron por el mantenimiento de los datos
personales en el fichero de información crediticia cuando la deuda había sido vendida
a un tercero. CAIXABANK se acogió a las dos reducciones previstas.
- La actividad de la entidad presuntamente infractora está vinculada con el tratamiento
de datos tanto de clientes como de terceros. En la actividad de la entidad reclamada
es imprescindible el tratamiento de datos de carácter personal de sus clientes por lo
que, dado el volumen de la misma la transcendencia de esta actividad objeto de la
presente reclamación es muy elevada (artículo 76.2.b) de la LOPDGDD en relación
con el artículo 83.2.k).
Considerando los factores expuestos, a efectos de decidir sobre la imposición de una
multa administrativa y su cuantía, de conformidad con las evidencias de que se
dispone en el presente momento de acuerdo de inicio de procedimiento sancionador y
sin perjuicio de lo que resulte de la instrucción, teniendo en cuenta las circunstancias
del caso y los criterios que establece el artículo 83.2 del RGPD con respecto a la
infracción cometida, permite finar inicialmente una sanción de 2.000.000 de euros.
VI
Adopción de medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/26
De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.
En tal caso, en la resolución que se adopte, esta Agencia podrá requerir al
responsable para que en el plazo que se determine:
Informe adecuadamente y recabe el consentimiento, en los términos del RGPD, de los
clientes de la entidad que, desde la adhesión de CAIXABANK (...) al convenio con la
TGSS y hasta las modificaciones del proceso en el año 2023, hubieran firmado un
contrato marco y/o un modelo 5433 (Declaración/Modificación de datos para la
relación de negocios) y que no hubieran sido informados adecuadamente y/o no se
hubiera recabado su consentimiento, en los términos expuestos en este acuerdo de
inicio, en relación con la verificación de datos personales ante la TGSS en los términos
de la LPBCFT.
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a CAIXABANK, S.A. con NIF
A08663619, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el
artículo 83.5 del RGPD.
SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretaria, a S.S.S.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).
TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por la parte reclamante y su documentación, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería, por la supuesta infracción del artículo 6.1 del
RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/26
DOS MILLONES DE EUROS (2.000.000,00 €), sin perjuicio de lo que resulte de la
instrucción.
QUINTO: NOTIFICAR el presente acuerdo a CAIXABANK, S.A. con NIF A08663619,
otorgándole un plazo de audiencia de diez días hábiles para que formule las
alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de expediente que figura en el
encabezamiento de este documento.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la LPACAP.
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en UN MILLÓN SEISCIENTOS MIL
EUROS (1.600.000,00 €), resolviéndose el procedimiento con la imposición de esta
sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en UN MILLÓN SEISCIENTOS MIL EUROS
(1.600.000,00 €) y su pago implicará la terminación del procedimiento, sin perjuicio de
la imposición de las medidas correspondientes.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en UN MILLÓN DOSCIENTOS MIL EUROS (1.200.000,00 €).
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (1.600.000,00 € o 1.200.000,00 €), deberá hacerlo efectivo
mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/26
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado
resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones;
de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 28 de marzo de 2024, la parte reclamada ha procedido al pago
de la sanción en la cuantía de 1200000 euros haciendo uso de las dos reducciones
previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
CUARTO: En el citado Acuerdo de inicio transcrito anteriormente, se señalaba que de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
Habiéndose recibido escrito mediante el que CAIXABANK, S.A. informa que ha
adoptado las medidas necesarias para que no se vuelvan a producir los hechos
determinantes de la infracción cometida, por parte de esta Agencia se acusa recibo del
mismo, sin que esta declaración suponga ningún pronunciamiento sobre la regularidad
o licitud de las medidas adoptadas.
Se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio
de responsabilidad proactiva cuando señala que “El responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de
demostrarlo”. Este principio hace referencia a la obligación que recae en el
responsable del tratamiento no solo de diseñar, implementar y observar las medidas
jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea
acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el
ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además
capaz de demostrarlo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/26
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/26
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202300944, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
1219-21112023
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es