AEPD (Spain) - EXP202305408

1/16

 Expediente Nº: EXP202305408

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 3 de diciembre de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a BANCO BILBAO
VIZCAYA ARGENTARIA, S.A. (en adelante, BBVA), mediante el acuerdo que se
transcribe:

<<

Expediente N.º: EXP202305408

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 10 de marzo de 2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF
A48265169 (en adelante, la parte reclamada). Los motivos en que basa la reclamación
son los siguientes:

La parte reclamante manifiesta que, junto con su mujer, solicitó a la parte reclamada
información en relación con un préstamo hipotecario. Manifiesta que la parte
reclamada, sin su consentimiento, ha firmado (haciéndose pasar por la parte
reclamante) un documento denominado "Política de Protección de Datos Personales y
Declaración de Actividad Económica", ocurriendo lo mismo con su mujer, no
reconociendo ninguno las firmas manuscritas que obran en los citados documentos.
Manifiesta que acudió a una sucursal de la parte reclamada exponiendo lo sucedido,
indicando que deberían haber contactado con el cliente para que se personase en la
oficina y firmase la documentación correspondiente, pero que el empleado que le
atendió le indicó que es algo que suelen hacer con normalidad "para agilizar los
trámites".

Junto a la reclamación aporta copia de la documentación controvertida, de fecha (…),
en la que constan los datos personales de la parte reclamante, así como también
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

2/16

figuran tres casillas marcadas relativas a la otorgación del consentimiento para el
tratamiento de sus datos personales con fines comerciales por parte de la entidad
reclamada y empresas colaboradoras, así como para la elaboración de perfiles. En
dicho documento consta una firma manuscrita. Asimismo, aporta otro documento
relativo a su mujer, en idénticas condiciones.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 2/05/2023 como consta en el
acuse de recibo que obra en el expediente.

Con fecha 3/05/2023 se recibió en esta Agencia escrito solicitando información y
manifestando lo siguiente:

“Que en fecha 02/05/2023 se ha notificado a mi representada “Traslado de
reclamación y solicitud de información” en relación con el número de expediente
EXP202305408.

II. De la documentación que se acompaña con la reclamación no es posible que mi
representada pueda identificar al reclamante, y responder al requerimiento, debido a
que los documentos Anexo 1 y 2 no contienen información.
Se acompaña para acreditar lo anterior el documento número 1 “Traslado de
reclamación y Solicitud de información”.

III. Por los motivos anteriores solicitamos a esta Agencia que nos dé traslado
nuevamente del Expediente de referencia, con los documentos que permitan a mi
representada identificar al reclamante y sobre los que se sustente la reclamación
presentada.”

Con fecha 9/06/2023 esta Agencia trasladó escrito manifestando que se consideraba
que no procedía el acceso a la copia de los documentos solicitados dado que ya se le
remitió lo necesario para que pueda dar respuesta al traslado, requiriéndole
nuevamente para que, en el plazo establecido desde la recepción del escrito de
solicitud de información de esta Agencia, notificado el 2 de mayo de 2023, facilitara
toda la información requerida en el mismo

TERCERO: Con fecha 10 de junio de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: Con fecha 16/06/2023 se recibió en esta Agencia escrito de respuesta
indicando que la información enviada es insuficiente por estar la información ilegible y
que no pueden responder el requerimiento, en concreto manifiesta lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

3/16

“Que el 28/04/2023 mi representada comunicó a la AEPD que en el traslado recibido
no se incluían los datos del reclamante para su identificación y que los anexos 1 y 2
que se acompañaban no contenían información, solicitando un nuevo traslado de la
reclamación y nuevo plazo. III. Que el 13/06/2023 nos han dado traslado de la
comunicación con referencia EXP202305408 y asunto “Solicitud copia de expediente”
indicando que no procede el acceso a la copia de los documentos solicitados dado
que ya se le remitió lo necesario para que pueda dar respuesta al traslado.”

Se realiza nuevamente traslado de la reclamación, que se practicó conforme a las
normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue
recogido en fecha 28/07/2023 como consta en el acuse de recibo que obra en el
expediente.

Con fecha 27/09/2023 se recibió en esta Agencia escrito de respuesta indicando entre
otras cosas, lo siguiente:

“se le comunicó por escrito al A.A.A. la decisión acordada por mi representada con
respecto a la reclamación presentada ante esta Agencia, tal y como se acredita en el
Documento nº1 que se aporta.

En la misma se le comunica que se ha procedido a poner en conocimiento de los
responsables implicados los hechos relatados por el reclamante en aras de que se
adopten las medidas necesarias para corregir situaciones como las trasladadas por
A.A.A..

Del mismo modo, para su constancia, se le informa de que, en la actualidad, no
existen posiciones activas en la entidad ni a su nombre ni al de su esposa.

La referida comunicación se envió por correo postal a la dirección que consta en el
traslado de reclamación que nos ha hecho llegar esta Agencia, esto es,
***DIRECCIÓN.1.

En consecuencia, mi representada ha cumplido con todas las imposiciones legales
previstas en el RGPD en lo que respecta al tratamiento de datos personales y a la
libre circulación de estos datos, dando respuesta a la solicitud de efectuada por el
A.A.A..

Del mismo modo, y como consta en la respuesta dada por el SAC al efecto, se han
puesto en conocimiento del departamento correspondiente los hechos trasladados por
el reclamante en aras de tomar las medidas oportunas para que, en el futuro, no se
produzcan situaciones similares.

En virtud de todo lo anterior, SOLICITO A ESTA AGENCIA que tenga por contestada la
solicitud efectuada, dentro del procedimiento al margen referenciado y, en todo caso,
BBVA queda a disposición de esta Agencia con el fin de aclarar, ampliar o explicar la
información facilitada.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

4/16

QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Los hechos son de 10 de enero de 2023, y la parte reclamante manifiesta en su
reclamación de 10 de marzo haber acudido a la sucursal de la reclamada para
exponer la falsedad en las firmas.

La parte reclamada responde en al traslado el 27 de septiembre, donde manifiesta
haber atendido la reclamación mediante el envío de escrito a la parte reclamante, cuya
fecha es 26 de septiembre.
La parte reclamada no responde al resto de información solicitada por esta AEPD en el
traslado.

En los registros del RAT proporcionado por la parte reclamada se mencionan, como
medidas organizativas de seguridad, los documentos “Política General de Privacidad y
Protección de Datos de la Entidad” y “Norma Corporativa sobre bloqueo y borrado de
datos”.

En el segundo requerimiento por parte de esta Agencia, se solicita a la parte
reclamada información sobre la conservación de documentos con datos personales:

“Documento de BBVA en que se describa la política de conservación de los
mismos, o en su defecto descripción de la misma”, y

“Plazo de conservación establecido para cada tipo de documento, o para cada
categoría de los datos personales que aparecen en los documentos, de los que
aparecen en el conjunto documental de los afectados aportado por BBVA el
pasado 30 de enero.”

La parte reclamada no aporta documentos; como respuesta manifiesta:

“[…] en la Política de protección de datos personales de clientes se informa que
los datos personales se conservarán durante la vigencia de la relación contractual
o mientras resulten necesarios para la finalidad concreta de cada tratamiento.
Adicionalmente a ello y, una vez que la relación contractual se ha extinguido, los
datos serán conservados (i) para dar cumplimiento a las obligaciones legales que
incumben a la Entidad, como son el cumplimiento de los plazos de conservación
establecidos por el legislador que deberán observarse en relación con supuestos
o materias concretas (ej. prevención del blanqueo de capitales) y (ii) durante los
plazos de prescripción legal a los efectos exclusivos de formulación y defensa de
reclamaciones o acciones legales, permitiendo ejercer el derecho a la tutela
judicial efectiva.

Por último, destacar que, para el buen fin de las medidas técnicas y organizativas
definidas, se han implantado los siguientes controles:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

5/16

Una vez al año, Cumplimiento Normativo revisará las autorizaciones otorgadas
para el acceso a datos bloqueados y asegurará que han cumplido el proceso de
verificación previa previsto.

Revisión anual de las normas y procedimientos a fin de comprobar si siguen
siendo aplicables en todos sus términos o si necesitan de alguna modificación o
adaptación. Las normas y procedimientos se encuentran publicados y a
disposición de todos los empleados en la intranet.

Controles periódicos para asegurar el cumplimiento del procedimiento de bloqueo.
El control de bloqueo de los datos de clientes está implantado en los sistemas y
se ejecuta automáticamente. Adicionalmente, con carácter anual, se verifica el
adecuado funcionamiento.”

Firma de los documentos:

La parte reclamante manifestó que la reclamada le remitió los documentos de
protección de datos, no haberlos firmado, y no reconoce como propias las firmas que
aparecen en los mismos.

En los documentos aportados con la reclamación, “POLÍTICA DE PROTECCIÓN DE
DATOS PERSONALES Y DECLARACIÓN DE ACTIVIDAD ECONÓMICA”, con los
datos de la parte reclamante y su cónyuge, aparecen las opciones de consentimiento
de la página 5 señaladas, las rúbricas en la página 40, así como la expresión
“ATENCION PRESENCIAL OFICINA” en la certificación de firma al pie de la página 42.

La parte reclamada manifiesta:

“En primer lugar, debemos tener en cuenta que, en la actualidad, no es posible
firmar la LOPD (documento presentado en la reclamación) de manera manuscrita
en las oficinas comerciales debiéndose firmar en la correspondiente tableta. Por
tanto, a la hora de recabar la firma de un cliente se seleccionará en primer lugar la
opción de firma DIFERIDA.

Cabe destacar que únicamente se permite la opción de diferir la firma para la
documentación precontractual, contractual y la documentación personal
obligatoria. Del mismo modo la firma a distancia es únicamente para Personas
Físicas.

Al diferir una firma se generan una serie de notificaciones por email tanto al
cliente como al gestor […]

Una vez el documento se haya firmado a través de firma a distancia, se archivará
de forma automática en la Biblioteca Digital del cliente (Biblioteca de Contratos)
con la huella digital incrustada al final del documento con la información referente
al canal, la fecha y la hora en la que se ha realizado la firma por parte del cliente,
como en el caso que nos ocupa que toda la documentación firmada por los
reclamantes, así como aportada por los mismos se encuentra en su Biblioteca de
Contratos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

6/16

Del mismo modo existen otros modos de firmar la LOPD siendo, por ejemplo, a
través de la Web bbva.es, la APP de BBVA, teléfono móvil, etc.

La relación contractual con los reclamantes es extensa en el tiempo y existen
multitud de documentos suscritos por su persona que evidencian que, salvo el
caso que nos ocupa, BBVA siempre ha obrado con la máxima diligencia y respeto
de la normativa en materia de protección de datos. En el caso que nos ocupa,
hecho aislado y puntual, una vez se tuvo conocimiento de lo ocurrido se procedió
por parte de BBVA a investigar los hechos.

De lo investigado se desprende que el gestor de la oficina no respetó el
procedimiento de firma de documentos por parte de los clientes a pesar de que
BBVA tiene establecidos los debidos procesos de obtención de firma de clientes y
los empleados conocen a la perfección dichos procesos.”

La parte reclamada aporta junto a su respuesta al requerimiento, en fecha 25/01/2024
un vídeo, que proporciona indicaciones para sus empleados sobre la necesidad de no
marcar previamente las casillas de consentimiento de los documentos, y de supervisar
los lugares de firma por parte de los clientes.

De lo aportado se recorta el siguiente fragmento:

(…)

Requerida nuevamente información en fecha 13/03/2024 la parte reclamada en su
respuesta de fecha 18/04/2024, repite las manifestaciones ya realizadas y aporta junto
a su respuesta dos vídeos idénticos al ya aportado en su anterior respuesta al primer
requerimiento.

Aporta también otro vídeo, que contiene indicaciones sobre la necesidad de no
proporcionar información de los clientes a terceros no autorizados, y otro video, en el
que se incide sobre lo ya mencionado, y del que se recorta el siguiente fragmento:

(…)

La parte reclamada manifiesta a su vez en su respuesta del 18/04/2024 sobre la
difusión de sus comunicaciones:

“Respecto del documento que recoge el procedimiento que deben seguir los
empleados en relación con la firma de documentos por parte de los clientes, esta
representación ya aportó como documento nº 6 del escrito presentado en fecha
25/01/2024, el video explicativo del citado procedimiento que se hizo llegar en su
momento a todos los empleados para su conocimiento y aplicación a través de la
comunicación interna HOY.

No obstante, esta representación aporta de nuevo el citado vídeo en el que se
recoge el procedimiento como documento nº 1.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

7/16

Respecto de la acreditación de conocimiento del citado procedimiento por parte
de los empleados, la comunicación HOY que recogía el citado video, fue enviada
a Banca Comercial con un total de 12.617 destinatarios y a Servicios Centrales de
la Entidad, con un total de 2.602 destinatarios.”

La parte reclamada manifiesta así mismo en su respuesta de 18/04/2024:

“[…] la medida principal adoptada por BBVA respecto de los hechos que aquí
nos ocupan fue la de poner en conocimiento del departamento de Auditoría
Interna de la Entidad los mismos para llevar a cabo una investigación interna.
[…] los resultados de la investigación se elevaron al Comité de Disciplina de la
Entidad para su decisión […]”

“ […] El departamento de Auditoría Interna de la Entidad tiene como función,
entre otras, contribuir a que el Grupo BBVA cumpla con sus objetivos aportando
aseguramiento objetivo, asesoría y conocimiento basado en riesgos para evaluar
y mejorar la gestión de los riesgos. Entre los principales cometidos de dicha
función encontramos proporcionar verificación y aseguramiento independiente
de que las unidades y actividades del Grupo BBVA […] cumplen las políticas,
normas y procedimientos internos definidos y la normativa externa aplicable.”

“En definitiva, BBVA cuenta con un departamento especializado en (i) detectar
posibles actuaciones contrarias a los procedimientos internos definidos o a la
normativa externa exigible y (ii) en investigar actuaciones de dicha índole que se
pongan en su conocimiento a los efectos de que las personas implicadas cesen
en las mismas y que sus actuaciones causen el menor impacto negativo a los
clientes de la Entidad.”

“Para ello, BBVA cuenta con diversas medidas consistentes en, por ejemplo:”

“Envíos a toda la red de oficinas de fichas de advertencia de malas
prácticas. Por ejemplo, la generada en el mes de marzo de 2024 indicaba
la importancia del correcto uso de los datos de carácter personal. Dichas
fichas de advertencia generan información a los empleados sobre cómo
deben atender a los clientes en determinados casos concretos, las
consecuencias que puede provocar no atender dichas advertencias, así
como diversos consejos y recordatorios relativos a la atención al cliente.”

(…)

“Para el mes de mayo del presente año está previsto el envío de la
correspondiente ficha de advertencia recordando a todos los empleados la
necesidad de disponer de la documentación de los clientes debidamente
firmada.”

“Catas de calidad de firma sobre documentos firmados en tableta por la
red de oficinas. Se realizan actualmente una media de 750 revisiones cada
mes para identificar la consistencia de la firma con el contraste de la firma
digitalizada en los sistemas de BBVA.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

8/16

“Visitas a oficinas. Cada año se visitan en torno a 1.000 oficinas de las
1.848 existentes. Se realizan diversas comprobaciones en las mismas y
dentro de esa visita se resalta la importancia de la ortodoxia a la hora de
desempeñar el puesto de trabajo incluyendo la relevancia, entre otros, de
los documentos LOPD.”

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
BANCO BILBAO VIZCAYA ARGENTARIA, S.A. es una (…) constituida en el año 1.900,
y con un volumen de negocios de (…) euros y (…) empleados, en el año 2023.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales toda vez que la parte reclamada
realiza, el tratamiento de datos personales del reclamante tales como: nombre y
apellidos y número del documento nacional de identidad, dirección, fecha de
nacimiento, estado civil, nivel de estudios, ingresos.

Así mismo, la parte reclamada realiza esta actividad en su condición de responsable
del tratamiento, dado que es quien determina los fines y medios de tal actividad, en
virtud del artículo 4.7 del RGPD: “responsable del tratamiento” o “responsable”: la
persona física o jurídica, autoridad pública, servicio u otro organismo que, sólo junto
con otros, determine los fines y medios del tratamiento.

III
Obligación incumplida. Licitud del tratamiento

El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

9/16

En relación con la licitud del tratamiento de datos de carácter personal, el artículo 6.1
del RGPD, establece lo siguiente:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable
al responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”

En el presente caso, consta en el expediente un documento, aportado junto con la
reclamación, el que contiene los datos personales del reclamante junto con una firma
manuscrita que éste no reconoce como suya. En dicho documento se encontraban
marcadas tres casillas relativas a la otorgación del consentimiento para el tratamiento
de los datos personales del reclamante con fines comerciales por parte de la entidad
reclamada y empresas colaboradoras, así como para la elaboración de perfiles.
Presentada la reclamación, la parte reclamada manifestó, tras haber investigado los
hechos, que “el gestor de la sucursal bancaria no respetó el procedimiento de firma de
documentos por parte de los clientes”. La parte reclamada parece reconocer así los
hechos y, por lo tanto, la presunta ausencia de base de legitimación para el
tratamiento de datos personales del reclamante.,

Por ello, de conformidad con las evidencias de las que se dispone en el presente
momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que
resulte de la instrucción, se considera que hubo un tratamiento de datos sin base de
legitimación , ya que se estaban relacionando datos personales correctos de la parte
reclamante con una firma que no es la suya; así mismo, se encontraban marcadas las
casillas del consentimiento para el tratamiento de sus datos personales con fines
comerciales por parte de la entidad reclamada y empresas colaboradoras, así como
para la elaboración de perfiles, hechos que podrían ser constitutivos de una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

10/16

infracción, imputable a la parte reclamada por vulneración del principio de licitud
previsto en el artículo 6.1 del RGPD.

IV
Tipificación y calificación de la infracción

Los hechos conocidos podrían ser constitutivos de una infracción tipificada en el
artículo 83.5 a) del RGPD, que estipula lo siguiente:

5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;

A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los tres años, conforme al artículo 72.1. de la LOPDGDD, que califica de
muy grave la siguiente conducta:

“En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…) b) El tratamiento de datos personales sin que concurra alguna de las condiciones
de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”

V
Propuesta de sanción

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
los siguientes criterios que establece el artículo 83.2 del RGPD:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(apartado a): por la gravedad que supone la suplantación de identidad al haber firmado
personal de la parte reclamada documentos a nombre de la parte reclamante.

Como agravante:

- Toda infracción anterior cometida por el responsable o el encargado del tratamiento
(apartado e): La entidad ha sido sancionada anteriormente por otras infracciones del

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

11/16

RGPD, LOPDGDD. Solo en el último año, constan las relacionadas con los
PS/00677/2022, PS/00147/2023, PS/00456/2022, y PS/00115/2023.

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:

Como agravante:

- La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales (apartado b): la parte reclamada, para el desarrollo de su actividad, realiza
un elevado volumen de tratamientos de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 6.1 del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 200.000,00 euros.

VI
Adopción de medidas

De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a BANCO BILBAO VIZCAYA
ARGENTARIA, S.A., con NIF A48265169, por la presunta infracción del Artículo 6.1
del RGPD, tipificada en el Artículo 83.5.a) del RGPD.

SEGUNDO: NOMBRAR como instructora a B.B.B. y, como secretaria, a C.C.C.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

12/16

TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por la parte reclamante y su documentación, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería, por la supuesta infracción del artículo 6.1 del
RGPD, tipificada en el artículo 83.5.a) de dicha norma, multa administrativa de cuantía
200.000,00 euros, sin perjuicio de lo que resulte de la instrucción.

Sin perjuicio de lo que resulte de la instrucción, a los efectos previstos en el art. 64.2 b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas, la sanción que pudiera corresponder por los hechos que
motivan la incoación del procedimiento y su posible calificación sería de multa
administrativa. No obstante, de acuerdo con el art. 83.7 del RGPD, y lo dispuesto por
el art. 77.2 de la LOPDGDD, por la categoría del sujeto presuntamente responsable de
la infracción, dicha sanción se sustituiría por la declaración de la infracción.

QUINTO: NOTIFICAR el presente acuerdo a BANCO BILBAO VIZCAYA
ARGENTARIA, S.A., con NIF A48265169, otorgándole un plazo de audiencia de diez
días hábiles para que formule las alegaciones y presente las pruebas que considere
convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de
expediente que figura en el encabezamiento de este documento.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 160.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 160.000,00 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

13/16

este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 120.000,00 euros.

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en
vía administrativa contra la sanción.

A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la
Subdirección General de Inspección de datos comunicación expresa del desistimiento
o renuncia a cualquier acción o recurso en vía administrativa contra la sanción
indicando a cuál de las dos reducciones se acoge o si es a las dos.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (160.000,00 euros o 120.000,00 euros), deberá hacerlo
efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier
acción o recurso en vía administrativa contra la sanción para continuar con el
procedimiento en concordancia con la cantidad ingresada.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado
resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones;
de conformidad con lo establecido en el artículo 64 de la LOPDGDD.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.

935-050724
Mar España Martí
Directora de la Agencia Española de Protección de Datos

>>

SEGUNDO: En fecha 17 de diciembre de 2024, BBVA ha procedido al pago de la
sanción en la cuantía de 120.000,00 euros haciendo uso de las dos reducciones
previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el
acuerdo de inicio y su calificación jurídica.

FUNDAMENTOS DE DERECHO

I
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

14/16

Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario y reconocimiento de responsabilidad

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

15/16

reducciones, la sanción quedaría establecida en 120.000,00 euros y su pago
implicaría la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.

Tras la notificación del citado acuerdo de inicio, BBVA ha procedido al reconocimiento
de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos
reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la
efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia
de cualquier acción o recurso en vía administrativa contra la sanción.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.

La suma de las citadas cuantías arroja una cantidad total 200.000,00 euros.

Tras haber procedido BANCO BILBAO VIZCAYA ARGENTARIA, S.A. al pronto pago
y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la
LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad
definitiva de 120.000,00 euros.

La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202305408, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA
ARGENTARIA, S.A..

CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona
la reducción por pago voluntario y reconocimiento de la responsabilidad al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la
presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de
su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

---

16/16

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

936-200325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es