1/35
Expediente N.º: EXP202408496
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 17 de abril de 2024 se interpuso reclamación ante la Agencia
Española de Protección de Datos por una posible infracción imputable a BANCO
BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, BBVA).
Los hechos que se pone en conocimiento de esta autoridad son los siguientes:
La parte reclamante manifiesta que era titular de dos cuentas de la entidad reclamada
(terminadas en ***CUENTA.1 y ***CUENTA.2) y que, tras unos incidentes con la
seguridad de su buzón postal por sustracción de correspondencia, optó por dar de
baja dichas cuentas y dar de alta una cuenta nueva con la entidad reclamada
(terminada en ***CUENTA.3).
Señala que, para ello, se le hizo firmar, de forma digital, una serie de documentación
que, a su vez, le sería remitida a través de correo electrónico, si bien, al acceder con
posterioridad a dicha documentación, comprobó que los archivos remitidos se
encontraban corruptos y no se abrían, constatando posteriormente (a través de un
requerimiento notarial de la documentación) que solo dos de los documentos se
habían firmado digitalmente de forma adecuada.
Asimismo, manifiesta que tiene contratado un seguro con la entidad ***ENTIDAD.1,
estando domiciliado el pago en una de las cuentas de la parte reclamada a las que dio
de baja y que, sin haber informado a ***ENTIDAD.1 de la nueva cuenta, ésta giró
recibo a la parte reclamada contra la cuenta dada de baja, en fecha 21 de marzo de
2022 y la parte reclamada procedió a aceptar el cargo en la nueva cuenta, sin mediar
autorización previa de la parte reclamante, sin que ***ENTIDAD.1 girara el recibo a
dicha cuenta y sin que existiese ningún vínculo/desvío de traspaso de cargos entre las
cuentas canceladas y la cuenta nueva.
Por otro lado, la parte reclamante manifiesta que había domiciliado ese recibo en otra
cuenta, que no tenía nada que ver con éstas, unas semanas antes.
Por otra parte, pone de manifiesto la falta de transparencia y mala praxis en la
actuación de la parte reclamada, ya que no le facilitó ningún documento relativo a la
cancelación de las cuentas, además de no enviar la documentación que solicitó por
correo electrónico y remitirle documentos en los que no constaba su firma, sumando a
ello la falta de colaboración en la cancelación de su hipoteca.
Junto a la reclamación aporta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/35
- copia de la denuncia ante la Policía por sustracción de correspondencia postal,
- copia de las solicitudes de cancelación de las cuentas en las que consta sello de la
entidad, de fecha 14 de febrero de 2022,
- copia del extracto bancario relativo al cargo del seguro efectuado en la nueva cuenta
(terminada en ***CUENTA.3) en fecha 21 de marzo de 2022,
- copia de los certificados expedidos en fecha 11 de mayo de 2022, relativos a la no
existencia de ningún desvío activo hacia la nueva cuenta y también al cargo de
***ENTIDAD.1 que fue adeudado a la nueva cuenta (terminada en ***CUENTA.3).
Por otra parte, aporta numerosa documentación relativa a la petición de documentos,
archivos defectuosos recibidos, falta de envío por el canal indicado, requerimiento
notarial, documentación recibida sin firmar, así como trámites relativos a la cancelación
de la escritura de la hipoteca.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a BBVA, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
La notificación del traslado de la reclamación, que se practicó conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en
fecha 11/06/2024 como consta en el acuse de recibo que obra en el expediente.
En fecha 17 de julio de 2024 tiene entrada contestación al escrito de traslado, en el
que se pone de manifiesto:
- Que han enviado una comunicación a la parte reclamante, a la dirección postal que
consta en sus sistemas, con fecha 10 de julio de 2024, en la que exponen los trámites
que han realizado al respecto de su reclamación, cumpliendo con ello con las
imposiciones legales previstas en el RGPD en lo que respecta al tratamiento de datos
personales y a la libre circulación de los mismos.
- La reclamación tenía por objeto trasladar su disconformidad, debido a que tenía
domiciliado un recibo de ***ENTIDAD.1 en su cuenta (***CUENTA.1), cuenta que
canceló en febrero de 2022, y, sin su autorización fue cargada en marzo de 2022 en la
cuenta (***CUENTA.3).”
- Como ya se le puso de manifiesto a la parte reclamante en ocasiones anteriores,
desde su oficina gestora informaron al SAC que dicha domiciliación a la nueva cuenta
del cliente fue gestionada de manera verbal con éste mostrando, como es lógico, su
conformidad con dicha domiciliación para poder atender el pago de los recibos que
anteriormente eran cargados en su antigua cuenta BBVA cancelada por el mismo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/35
- Prueba de lo expuesto, como se informa al cliente, es que otros recibos girados por
diversas entidades como ***ENTIDAD.2, fueron también redomiciliados en la nueva
cuenta (***CUENTA.3) abierta por la parte reclamante en BBVA, sin que respecto de
los mismos haya mediado reclamación o disconformidad alguna por su parte. Dicho
extremo es a todas luces lógico habida cuenta que la cuenta bancaria por la que se
cargaban los diversos recibos a nombre de la parte reclamante había sido cancelada,
por razones ajenas a BBVA, abriendo una nueva cuenta de manera inmediata en la
Entidad con el fin, entendemos y entre otras cosas, de hacer frente a los recibos que
las anteriores entidades iban cargando.
- Que conforme a lo dispuesto en el Real Decreto- Ley 19/2018 de servicios de pago,
al haber transcurrido más de 13 meses desde que el recibo de ***ENTIDAD.1 fue
cargado a la cuenta de la parte reclamante sin que haya mostrado disconformidad con
el citado recibo, no procede efectuar acción alguna sobre el mismo dado que ha
expirado el plazo máximo establecido en la Ley para ello.
Asimismo, BBVA aporta la comunicación que ha enviado a la parte reclamante, con el
siguiente contenido:
(...)
“Hemos recibido el escrito que nos envió con fecha 11 de junio de 2024. (…)
El objeto de su reclamación es trasladarnos su disconformidad debido a que
tenía domiciliado un recibo de ***ENTIDAD.1 en la cuenta (***CUENTA.1),
cuenta que canceló en febrero de 2022 y sin su autorización fue cargado en
marzo de 2022 en la cuenta (***CUENTA.3).
Porque en BBVA nuestro objetivo es la transparencia con nuestros clientes,
tras haber revisado cuidadosamente los hechos que usted nos describe y la
documentación recabada al respecto, queremos que la respuesta a su petición
sea lo más precisa posible, indicándole también:
(…)
II. El plazo máximo para la devolución de un recibo está regulado en el Real
Decreto-Ley 19/2018 de servicios de pago, estableciendo:
-Si no estaba autorizado (art. 43): El usuario de servicios de pago obtendrá la
rectificación por parte del proveedor de servicios de pago de una operación de
pago no autorizada o ejecutada incorrectamente únicamente si el usuario de
servicios de pago se lo comunica sin demora injustificada, en cuanto tenga
conocimiento de cualquiera de dichas operaciones que sea objeto de
reclamación, incluso las cubiertas por el artículo 60, y, en todo caso, dentro de
un plazo máximo de trece meses contados desde la fecha del adeudo.
III. Con fecha 21 de marzo de 2022 fue girado en su cuenta (***CUENTA.3) un
recibo por ***ENTIDAD.1 por importe de (…). Habida cuenta que, hasta la
fecha, no ha mostrado disconformidad con el citado recibo, no procede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/35
efectuar acción alguna sobre el mismo dado que ha expirado el plazo máximo
establecido por la Ley para ello.
IV. Del mismo modo, se ha verificado que otros recibos provenientes de
***ENTIDAD.2, fueron también redomiciliados en la nueva cuenta
(***CUENTA.3) abierta por Ud. En BBVA sin que respecto de los mismos haya
mediado reclamación o disconformidad alguna por lo que entendemos existió
consentimiento a dicha redomiciliacion por su parte.
(..)”
Prosigue manifestando BBVA que el plazo máximo para la devolución de un recibo
está regulado en el Real Decreto-Ley 19/2018 de servicios de pago, que, según
manifiesta BBVA establece:
“en el caso de un recibo no autorizado, el artículo 43 de dicho Real Decreto-Ley
establece que el usuario de servicios de pago obtendrá la rectificación por parte del
proveedor de servicios de pago de una operación no autorizada o ejecutada
incorrectamente únicamente si el usuario de servicios de pago lo comunica sin demora
injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones que
sea objeto de reclamación, incluso las cubiertas por el artículo 60, y, en todo caso,
dentro del plazo máximo de trece meses contados desde la fecha del adeudo.”
BBVA indica que “Como la fecha en la que se giró el citado recibo fue el día 21 de
marzo de 2022, y como no había mostrado su disconformidad con anterioridad, no
procede efectuar acción alguna sobre el mismo dato que ha expirado el plazo máximo
establecido en la Ley para ello.”
Por otro lado, indica que ha habido otros recibos que fueron redomiciliados en la
nueva cuenta, sin que, respecto de los mismos, se haya producido ninguna
reclamación o disconformidad, por lo que, BBVA indica que existió consentimiento a
dicha redomiciliación por su parte.
TERCERO: Con fecha 17 de julio de 2024, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.
CUARTO: Según consta en el “Informe Anual 2023”, publicado en
https://accionistaseinversores.bbva.com/wp-content/uploads/2024/03/Informe-Anual-
BBVA-2023_esp.pdf, en el año 2023 el beneficio de BBVA ha ascendido a 8.019
millones de euros, y contaba con más de 71 millones de clientes activos, según consta
en la diligencia que se incorpora al expediente de fecha 18 de febrero de 2025.
QUINTO: Con fecha 20 de febrero de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el
Artículo 83.5.a) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/35
SEXTO: Con fecha 27 de febrero de 2025 BBVA presentó dos escritos solicitando
ampliación de plazo para presentar alegaciones y copia del expediente, a lo que se
accedió en fecha 6 de marzo de 2025, concediéndose por el instructor del
procedimiento, la copia del expediente y la ampliación del plazo instada hasta un
máximo de 5 días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP.
El citado acuerdo se notificó a BBVA en fecha 10 de marzo de 2025, como consta en
el acuse de recibo que obra en el expediente.
SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones el 20 de marzo de 2025 en el que, en síntesis, manifestaba que:
-Alegación previa. Régimen jurídico y funcionamiento de los adeudos SEPA.
BBVA considera que, para que esta Agencia entienda que su actuación en los hechos
que han motivado el presente procedimiento sancionador es conforme con el RGPD,
conviene explicar el significado de los adeudos SEPA.
Los adeudos SEPA (en inglés, Single Euro Payments Area) constituyen un instrumento
de pago regulado en el Reglamento (UE) nº 260/2012, que establece los requisitos
técnicos y comerciales para las transferencias y adeudos en euros dentro del Espacio
Económico Europeo, y otros países adheridos.
A través de este instrumento se permite la ejecución de órdenes de domiciliación de
pago, mediante los cuales un acreedor, con base en un mandato de adeudo otorgado
previamente por el deudor, puede ordenar el cobro de un determinado importe en la
cuenta del deudor a través de su entidad financiera.
Como elementos de los adeudos SEPA nos encontramos:
a) relación jurídica entre el acreedor y el deudor, derivada de un contrato o acto
jurídico válido que justifique el cobro. De este modo, BBVA explica que, para el
supuesto de este procedimiento sancionador, la relación jurídica se da entre
***ENTIDAD.1 y la parte reclamante, y se formaliza mediante el mandato SEPA, que
existe hasta que se revoque expresamente o se extinga por caducidad si el acreedor
no presenta adeudos con arreglo al mismo, por un periodo de 36 meses.
En este sentido, la normativa SEPA al hablar del periodo de validez de un mandato
SEPA recoge; “La autorización o consentimiento del deudor recogido en un mandato
es válido hasta la expresa revocación por parte de éste o del acreedor.”
La revocación viene regulada en el artículo 52.3 del Real Decreto Ley 19/2018, de
servicios de pago y otras medidas urgentes en materia financiera (en adelante
RDLSP), y podrá realizarse “a más tardar al final del día hábil anterior al día convenido
para el adeudo de los fondos en la cuenta del ordenante.”
b) el mandato SEPA, es el acto a través del cual, el deudor autoriza expresamente al
acreedor para solicitar el cobro de adeudos en la cuenta de la entidad bancaria
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/35
designada por el deudor. De este modo, se autoriza a la entidad financiera a proceder
al pago de dicho adeudo conforme a las instrucciones recibidas.
La custodia y conservación de este mandato corresponde al acreedor, en este caso,
***ENTIDAD.1, y debe contener los siguientes elementos esenciales:
- identificación del acreedor, incluyendo el número de identificación SEPA
-identificación del deudor, con sus datos personales y número de IBAN
-referencia única del mandato, que (…***CUENTA.1) permite su rastreo y control
-condiciones del adeudo, puntual o recurrente
-firma del deudor, acreditando su consentimiento expreso.
En este supuesto, el adeudo que se ha producido es un adeudo entre consumidor y
empresa, o adeudo SEPA Core, donde hay un mandato suscrito entre acreedor y
deudor, utilizado por el acreedor como base jurídica para iniciar los cobros
domiciliados por el deudor. Una vez que el acreedor dispone de este mandato, debe
dirigirlo a la entidad financiera designada por el deudor que será responsable de
procesarlo y ejecutarlo hasta la fecha de vencimiento acordada.
BBVA indica en este momento, que el deudor, para no verse desprotegido frente a
cargos no procedentes, también cuenta con la opción de solicitar la devolución del
adeudo dentro de los siguientes plazos:
-8 semanas sin necesidad de justificar que el adeudo estaba autorizado.
-13 meses en los casos de adeudos no autorizados o fraudulentos.
Alegación primera: de los hechos acaecidos en el presente caso.
BBVA indica que, según manifiesta la parte reclamante, el 1 de febrero de 2022
detectó que su correspondencia estaba siendo sustraída del buzón, razón por la cual,
presentó denuncia ante la policía.
Como consecuencia, dado que la correspondencia de BBVA llegaba por correo postal
solicitó la cancelación de dos cuentas que mantenía con la entidad, y procedió a la
apertura de una nueva.
La parte reclamante ha manifestado que dio instrucciones a ***ENTIDAD.1 para que el
adeudo domiciliado no se cobrara a la cuenta de BBVA sino a otra.
El 1 de abril de 2022, la parte reclamante advirtió que no se había efectuado el cobro
del recibo, y al contactar con la aseguradora le informaron que el recibo había sido
cargado el 21 de marzo de 2022 en una cuenta de BBVA.
Dicho recibo estaba domiciliado en una de las cuentas que la parte reclamante tenía
con BBVA, pero el cobro se efectuó en la nueva cuenta abierta por la parte reclamante
el 14 de febrero de 2022.
BBVA entiende que esta Agencia ha considerado como hecho probado que la parte
reclamante había revocado expresamente el mandato otorgado a ***ENTIDAD.1
respecto del cobro del adeudo a través de la cuenta BBVA cuando la parte reclamante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/35
no ha aportado elemento probatorio alguno que acredite esta afirmación, y es por ello
que esta Agencia habría entendido que BBVA giró un adeudo domiciliado por la cuenta
de la parte reclamante sin contar con el consentimiento expreso para ello.
BBVA entiende que esta circunstancia es lo que ha llevado a esta Agencia a entender
que el mandato estaba revocado de manera expresa, y que constituye la base de la
sanción propuesta, pero entiende que esta circunstancia no ha sido acreditada en
ningún momento por la parte reclamante, que es a quien le corresponde la carga de la
prueba, al ser la parte que realiza dicha afirmación.
Asimismo, tampoco habría acreditado que hubiera solicitado a ***ENTIDAD.1 un
cambio en la forma de pago del citado recibo.
BBVA manifiesta que, tras haberse analizado las obligaciones de las partes
involucradas en la relación jurídica derivada de un mandato SEPA, se desprende que
la gestión de la modificación de la cuenta bancaria para el cargo del adeudo
domiciliado correspondía al acreedor (***ENTIDAD.1).
Prosigue manifestando que el mandato SEPA, para BBVA, seguía siendo plenamente
válido, ya que no tenía constancia de una revocación expresa, y quiere recordar que la
única circunstancia que extingue el mandato es la revocación expresa y no la
cancelación de la cuenta.
Por ello, BBVA entiende que el acuerdo de inicio adoptado carece de justificación y
motivación, ya que considera que su actuación se basó en un mandato vigente y
válido otorgado por la parte reclamante a ***ENTIDAD.1.
Además, considera que el recibo domiciliado se cargó a la nueva cuenta abierta en
base a lo dispuesto en el artículo 6, apartados b) y f) del RGPD, en la medida en que:
i) el cargo en la nueva cuenta de la parte reclamante fue necesario para la ejecución
del contrato en el que el interesado es parte, al tratarse de un adeudo SEPA
formalizado mediante el mandato SEPA suscrito entre ***ENTIDAD.1 y la parte
reclamante.
ii) el cargo a la nueva cuenta bancaria responde a la necesidad de satisfacer intereses
legítimos del responsable del tratamiento o de un tercero, en este caso, BBVA y
***ENTIDAD.1. Entiende BBVA que dicho tratamiento es esencial para la correcta
ejecución del contrato de adeudo SEPA, formalizado a través del mandato SEPA
suscrito entre ***ENTIDAD.1 y la parte reclamante.
BBVA prosigue manifestando que este tratamiento de datos persigue garantizar el
cumplimiento de las obligaciones contractuales y la correcta gestión de los pagos lo
que constituye un interés legítimo tanto para BBVA, ***ENTIDAD.1 y la parte
reclamante al evitar interrupciones en la prestación del servicio o posibles incidencias
en la gestión de su contrato que podrían haberle acarreado consecuencias negativas.
Además, BBVA considera que no se advierte que los intereses, derechos o libertades
fundamentales de la parte reclamante prevalezcan sobre dicho interés legítimo, ya que
el tratamiento se llevó a cabo en virtud de un contrato previamente suscrito y no
revocado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/35
Añade que la parte reclamante no devolvió el recibo, lo que evidenciaría que no tenía
intención de cancelar el contrato suscrito con ***ENTIDAD.1. Entiende que si no
hubiera procesado el pago en la nueva cuenta podría haber sufrido perjuicios, ya que
la falta de pago podría haber conllevado la cancelación de su póliza.
Alegación segunda: sobre la pretendida vulneración del artículo 6 del RGPD por parte
de BBVA.
BBVA pone de manifiesto que el acuerdo de inicio del presente procedimiento
sancionador parte de la premisa de que BBVA habría “girado un recibo a una cuenta
nueva de la parte reclamante, cuando, desde la cuenta cancelada, no había ningún
desvío hacia otra cuenta que pudiera tener abierta la parte reclamante, y sin contar
con el consentimiento expreso para ello”, entendiendo por ello, que se ha producido un
tratamiento ilícito de los datos personales de la parte reclamante.
BBVA manifiesta que el contrato se suscribe entre ***ENTIDAD.1 y la parte
reclamante, sin la intervención de BBVA. En virtud del contrato, la parte reclamante
suscribió un mandato SEPA con ***ENTIDAD.1, designando una cuenta en BBVA para
la domiciliación de los pagos. Como no consta revocación expresa de dicho mandato,
BBVA recoge en su escrito que “contaba con el consentimiento expreso para ejecutar
el mandato y cargar el recibo en una cuenta de BBVA conforme a lo pactado entre las
partes”.
BBVA insiste en que “la extinción del mandato SEPA solo puede producirse mediante
su revocación expresa o por caducidad en caso de inoperancia durante 36 meses”.
Como no se había producido ninguna de las dos circunstancias, “el mandato SEPA
seguía plenamente vigente en el momento en el que ***ENTIDAD.1 emitió el cobro del
recibo correspondiente al seguro de hogar de reclamante en la cuenta de BBVA”.
Por todo ello, considera que el cargo efectuado en la nueva cuenta bancaria estaría
plenamente justificado desde el punto de vista jurídico al amparo de los artículos 6.1 b)
y f) del RGPD, que establecen la licitud de los datos personales en determinadas
circunstancias:
i) legitimidad del tratamiento en virtud de la ejecución de un contrato (art. 6.1.b RGPD)
Según lo dispuesto en el referido artículo el tratamiento de datos es lícito cuando sea
necesario para la ejecución de un contrato en el que el interesado es parte o para la
aplicación de medidas precontractuales solicitada por éste.
Y BBVA entiende que, en este caso:
-la parte reclamante y ***ENTIDAD.1 se encuentran vinculados por un contrato del que
se derivan obligaciones de pago
-para la ejecución de dicho contrato, la parte reclamante otorgó un mandato SEPA a
favor de ***ENTIDAD.1, autorizando la domiciliación de los recibos en una cuenta de
BBVA
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/35
-el mandato SEPA no fue revocado, por lo que continuaba vigente en el momento en
que ***ENTIDAD.1 giró el recibo.
-el cargo a la nueva cuenta de la parte reclamante se realizó en cumplimiento de las
condiciones pactadas en el mandato SEPA.
-no consta que la parte reclamante hubiera informado a ***ENTIDAD.1 sobre un
cambio de la forma de pago, y en ausencia de una notificación expresa de la parte
reclamante, ***ENTIDAD.1 actuó conforme al mandato SEPA y solicitó a BBVA
ejecutar la orden de pago.
Por lo tanto, el tratamiento de los datos personales asociados a este cargo no solo era
legítimo, sino necesario para el cumplimiento de las obligaciones contractuales
asumidas por las partes.
ii) legitimidad del tratamiento en virtud del interés legítimo del responsable (artículo
6.1.f) RGPD)
BBVA manifiesta que el artículo 6.1.f) del RGPD establece que el tratamiento de datos
es lícito cuando sea necesario para la satisfacción de intereses legítimos del
responsable del tratamiento o de un tercero, salvo que sobre dichos intereses
prevalezcan los derechos y libertades fundamentales del interesado.
Añade que, en este caso, el tratamiento de los datos personales de la parte
reclamante, consistente en el cargo en su nueva cuenta bancaria, responde a un
interés legítimo de ***ENTIDAD.1, e incluso del propio BBVA, para garantizar que los
pagos domiciliados se procesaran correctamente evitando incumplimientos o retrasos
que pudieran afectar la relación contractual.
Además, BBVA manifiesta que evitó posibles perjuicios a la parte reclamante, ya que
la ejecución del cargo en la nueva cuenta impidió que pudiera verse afectado por
gastos de devolución del recibo, y pérdida de la cobertura del seguro.
En consecuencia, entiende que el cargo efectuado a la nueva cuenta fue proporcional
y adecuado a los fines perseguidos por ***ENTIDAD.1, y en su caso, por BBVA, sin
que existieran indicios de que los intereses o derechos de la parte reclamante hayan
sido vulnerados. Añade que los actos de la parte reclamante darían a entender que no
habría revocado el mandado SEPA ni habría devuelto el recibo, lo que indicaría que no
tenía intención de cancelarlo, ni consta que se hubiera notificado a ***ENTIDAD.1 un
cambio en la forma de pago.
BBVA insiste en que su actuación estaría justificada en el artículo 6.1.b) y f) del RGPD,
y añade que, si un cliente desea modificar la cuenta en la que se cargan los adeudos
domiciliados, debe notificar el cambio a su acreedor, quien actualizará la información y
consignará el nuevo número de cuenta en la siguiente facturación.
Manifiesta que, dado que el deudor ni revocó el mandato SEPA ni comunicó un cambio
de cuenta a su acreedor, ***ENTIDAD.1 procedió al cobro del adeudo domiciliado en la
cuenta de BBVA del cliente, tal y como se había hecho hasta la fecha. Añade que la
parte reclamante tampoco solicitó la rectificación del cargo efectuado en la nueva
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/35
cuenta, por lo que BBVA entiende que la orden de adeudo seguía plenamente vigente
en el momento del cobro del recibo, y que BBVA, como proveedor de servicios de
pago conforme a la normativa vigente, tenía la obligación de procesarlo con
normalidad, efectuando el cargo a la nueva cuenta, con el fin de garantizar la
continuidad del pago y evitar posibles incidencias contractuales.
Por ello, entiende que, desde BBVA no se habría vulnerado la normativa de protección
de datos, ya que su actuación se habría ajustado a los principios de licitud, necesidad
o proporcionalidad establecidos en el RGPD, y habría quedado acreditado que el
tratamiento de los datos de la parte reclamante se realizó de manera lícita, de
conformidad con lo expuesto en el artículo 6.1 apartado b) y f).
Alegación tercera. Vulneración del principio de presunción de inocencia.
BBVA manifiesta que esta Agencia estaría vulnerando el principio de presunción de
inocencia aplicable al derecho administrativo sancionador, tal y como se recoge en la
jurisprudencia, y cita para ello las SSTS de 29 de septiembre, 4 y 10 noviembre de
1980, así como la STC 1871981, que aluden que los principios inspiradores del orden
penal son de aplicación, con ciertos matices, al derecho administrativo sancionador,
dado que ambos son manifestaciones del ordenamiento punitivo del Estado.
BBVA entiende que, por esta misma razón, es de aplicación el principio de culpabilidad
o responsabilidad subjetiva, debido a que es considerada esencial para la existencia
del ilícito administrativo, y, por tanto, requiere la comisión de actos personales dolosos
o culposos propios del sancionado, según la STC 76/1990, de 26 de abril, SSTS de 22
de febrero de 1992, 5 de junio de 1989.
Añade que no cabe la responsabilidad objetiva en el derecho administrativo
sancionador, tal y como se ha manifestado en la STS de 9 de julio de 1994 que cita
que:
“la potestad sancionadora de la Administración goza de la misma naturaleza que la
potestad penal, por lo que, en consecuencia, las directrices estructurales del ilícito
administrativo tienden también, como en el ilícito penal, a conseguir la
individualización de la responsabilidad, vedando cualquier intento de construir una
responsabilidad objetiva o basada en la simple relación con una cosa; por
consiguiente, en el ámbito de la responsabilidad administrativa no basta con que la
conducta sea antijurídica y típica, sino que también es necesario que sea culpable,
esto es, consecuencia de una acción y omisión imputables a su autor por malicia o
imprudencia, negligencia o ignorancia inexcusable.”
BBVA añade que la jurisprudencia ha recogido que la potestad sancionadora del
Estado tiene como principio estructural básico el principio de culpabilidad que lo hace
incompatible con un régimen de responsabilidad objetiva, sin culpa, que está
expresamente determinado en el artículo 130 de la LRJPAC que establece que solo
pueden ser sancionados por hechos constitutivos de infracción administrativa las
personas físicas y jurídicas que resulten responsables de los mismos aun a título de
simple inobservancia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/35
De este modo, tanto el Tribunal Supremo como el Tribunal Constitucional en su STC
76/1990 declaran que el principio de culpabilidad debe regir también en el ámbito
administrativo, pues la sanción de la infracción administrativa es una de las
manifestaciones del ius puniendi del Estado. Asimismo, añade BBVA que resulta
inadmisible un régimen de responsabilidad objetiva basada en una imputación objetiva
del hecho, sin que intervenga ningún elemento subjetivo, siendo necesario que para
que exista responsabilidad administrativa debe concurrir que la infracción se haya
cometido con dolo, o al menos culpa o imprudencia.
BBVA manifiesta que en el presente caso no hay prueba de que ***ENTIDAD.1 haya
comunicado a BBVA la supuesta revocación expresa del mandato SEPA otorgado por
la parte reclamante. De hecho, manifiesta que ***ENTIDAD.1 ordenó un adeudo
domiciliado en la cuenta de la parte reclamante, lo que confirmaría la continuidad del
mandato y la vigencia de la autorización para efectuar el cargo, no pudiendo atribuir a
BBVA una conducta dolosa o culposa, ya que su actuación se basó en la información
disponible y en el cumplimiento de sus obligaciones como proveedor de servicios de
pago.
OCTAVO: Con fecha 3 de octubre de 2025 se formuló propuesta de resolución,
proponiéndose que se sancione a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con
NIF A48265169, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo
83.5.a) del RGPD, con una multa de 100.000 € (cien mil euros).
NOVENO: En fecha 17 de octubre de 2025 BBVA ha procedido al pago de la sanción
en la cuantía de 80.000 euros, acogiéndose a la reducción del 20% por pago
voluntario de la multa establecida en la propuesta de resolución, en los términos
previstos por el artículo 85.2 de la LPACAP. En el escrito a la AEPD en el que
informaba de este hecho, y acreditaba el pago, ha manifestado el no reconocimiento
de su responsabilidad.
DÉCIMO: Notificada la propuesta de resolución conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), con fecha 22 de octubre de 2025
ha tenido entrada en esta Agencia escrito del BBVA mediante el que presentó escrito
de alegaciones en el que, en síntesis, manifestaba que:
Primero. De la no revocación del mandato SEPA. Del consentimiento emitido por la
parte reclamante para el adeudo del recibo domiciliado.
BBVA se ratifica en lo ya expuesto en sus alegaciones al Acuerdo de inicio, en relación
con los adeudos SEPA y su funcionamiento, e insiste en que el mandato otorgado por
la parte reclamante a favor de ***ENTIDAD.1 no fue revocado de manera expresa, por
lo que dicho mandato continuaba siendo plenamente válido y eficaz.
Segundo. Sobre la pretendida vulneración del artículo 6 del RGPD por parte de BBVA.
BBVA insiste en que la actuación consistente en cargar la prima del seguro de hogar
de la parte reclamante a la cuenta terminada en ****CUENTA.3 que había sido
cancelada, en relación con el RGPD encontraría cobertura en lo previsto en el artículo
6.1 b) y 6.1 f) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/35
Además, señala que la actuación respetó los principios de limitación de la finalidad y
minimización de datos (artículos 5.1.b y 5.1.c del RGPD) y se encuadró en el marco de
la responsabilidad proactiva.
Por otro lado, BBVA indica que su actuación se encontraría amparada en la buena fe
contractual recogida en el artículo 1258 del Código Civil, según el cual los contratos
obligan a lo expresamente pactado, pero también a todas las consecuencias que,
según su naturaleza, se derivan de la buena fe, del uso y de la ley.
Tercera. Abono voluntario de la sanción impuesta en la Propuesta de Resolución.
Aun cuando lo denomine alegación, BBVA informa de que se acoge al pago voluntario
previsto en el artículo 85.2 de la LPACAP, sin que tal pago voluntario suponga un
reconocimiento de responsabilidad.
DÉCIMO: En fecha 17 de octubre de 2025 BBVA ha procedido al pago de la sanción
en la cuantía de 80.000 euros, acogiéndose a la reducción del 20% por pago
voluntario de la multa establecida en la propuesta de resolución, en los términos
previstos por el artículo 85.2 de la LPACAP. En el escrito a la AEPD en el que
informaba de este hecho, y acreditaba el pago, ha manifestado el no reconocimiento
de su responsabilidad.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: La parte reclamante era titular de dos cuentas bancarias abiertas en la
entidad BBVA, (terminadas en ***CUENTA.1 y ***CUENTA.2) en las que tenía
domiciliados un seguro con la entidad ***ENTIDAD.1.
SEGUNDO: Las dos cuentas bancarias fueron canceladas en fecha 14 de febrero de
2022, y la parte reclamante abrió una nueva cuenta bancaria en BBVA en esa misma
fecha (terminada en ***CUENTA.3).
TERCERO: En fecha 21 de marzo de 2022 se giró un recibo de la entidad
***ENTIDAD.1 a una de las cuentas de BBVA que la parte reclamante había cancelado
(…***CUENTA.1).
CUARTO: BBVA giró el recibo de ***ENTIDAD.1 a la cuenta nueva que la parte
reclamante había abierto en la entidad (terminada en ***CUENTA.3).
QUINTO: BBVA expidió en fecha 11 de mayo de 2022 un certificado en el que se
recoge expresamente que la cuenta número (…***CUENTA.1) a fecha de su
cancelación no mantenía ningún desvío activo hacia otra cuenta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/35
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.
II
Procedimiento
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.
III
Contestación alegaciones al acuerdo de inicio
Las alegaciones presentadas por el BBVA se pueden agrupar de la siguiente manera:
1. El mandato SEPA explicado en la alegación previa no habría sido revocado, con lo
que el cargo era correcto, puesto que se contaba con el consentimiento de la parte
reclamante para ello.
En primer lugar, BBVA manifiesta que esta Agencia ha considerado como hecho
probado que la parte reclamante había revocado expresamente el mandato otorgado a
***ENTIDAD.1 respecto del cobro del adeudo a través de la cuenta BBVA, cuando la
parte reclamante en realidad no había aportado elemento probatorio alguno que
acredite esta afirmación, y por ello entiende que esta Agencia ha considerado que
BBVA giró un recibo sin el consentimiento expreso de la parte reclamante.
En este punto, hay que aclarar que, en el acuerdo de inicio, no se recogen hechos
probados, sino que únicamente se recogen las circunstancias que llevan a considerar
que se podría haber cometido una infracción al RGPD, como ha ocurrido en este caso.
Los hechos probados se recogen por primera vez en la propuesta de resolución, y se
mantienen con carácter general en la resolución del procedimiento sancionador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/35
En este procedimiento sancionador, como ya se recoge en los hechos probados, se
tiene en cuenta que la parte reclamante había cancelado dos cuentas corrientes que
tenía en el BBVA y había procedido a abrir una nueva cuenta, en la que no se había
domiciliado el recibo que posteriormente el propio banco sí procedió a cargar a dicha
nueva cuenta.
En primer lugar, debe hacerse especial énfasis en que las alegaciones de BBVA se
sustentan en que el denominado “mandato SEPA” no estaba revocado, lo que
legitimaría el tratamiento de datos personales realizado, esto es, el giro del adeudo a
una nueva cuenta.
A este respecto conviene señalar, con carácter preliminar que el denominado mandato
SEPA, tal y como describe BBVA en su escrito de alegaciones, es “el acto a través del
cual el deudor autoriza expresamente al acreedor para solicitar el cobro de adeudos
en la cuenta de la entidad bancaria designada por el deudor”. Se trata, en definitiva,
de una orden de domiciliación de un adeudo directo.
El Reglamento (UE) n 260/2012 del Parlamento Europeo y del Consejo, de 14 de
marzo de 2012, por el que se establecen requisitos técnicos y empresariales para las
transferencias y los adeudos domiciliados en euros, y se modifica el Reglamento (CE)
n ° 924/2009 Texto pertinente a efectos del EEE, define en su artículo 2 los conceptos
“adeudo domiciliado”, “ordenante” y “orden” en los siguientes términos:
“2) «adeudo domiciliado»: servicio de pago nacional o transfronterizo destinado a
efectuar un cargo en una cuenta de pago de un ordenante, cuando la operación de
pago sea iniciada por el beneficiario sobre la base del consentimiento dado por el
ordenante;
3) «ordenante»: persona física o jurídica titular de una cuenta de pago que autoriza
una orden de pago a partir de dicha cuenta o, de no existir una cuenta de pago del
ordenante, persona física o jurídica que cursa una orden de pago a una cuenta de
pago de un beneficiario”;
21) «orden»: manifestación del consentimiento y de la autorización dados por el
ordenante al beneficiario y (directa o indirectamente a través del beneficiario) al
proveedor de servicios de pago del ordenante para que el beneficiario pueda iniciar el
cobro con el que se efectuará un cargo en la cuenta de pago especificada por el
ordenante y para que el proveedor de servicios de pago del ordenante pueda cumplir
esas instrucciones;
Así, el mandato SEPA se basa, en consecuencia, en el consentimiento otorgado por el
ordenante al adeudo en la cuenta corriente de su titularidad que expresamente haya
determinado, dado que, de conformidad con la misma norma, todos los adeudos
domiciliarios exigen contener una serie de datos específicos, entre los que destaca el
número IBAN de la cuenta pago del ordenante en la que ha de efectuarse el adeudo,
así como la “referencia única de la orden”.
Por tanto, un mandato SEPA está ligado a una cuenta corriente concreta del titular. Es
decir, el deudor u ordenante autoriza o consiente dicho adeudo en una cuenta
corriente identificada de manera inequívoca a través de un número de IBAN. De
acuerdo con el 2025 SEPA Credit Transfer rulebook version 1.0 cabe la modificación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/35
del mandato existente, siendo uno de los supuestos previstos Cambio 1del atributo AT-
07 (cambio de la cuenta de cargo del deudor en la misma entidad), si bien tal
modificación corresponde al deudor o al acreedor.
En el presente caso, aun cuando resultara cierto lo señalado por BBVA de que el
“mandato SEPA” no había sido revocado, debe especificarse que estaría vigente para
una cuenta corriente concreta del titular, identificada con número IBAN, no para
cualquier cuenta del titular. En consecuencia, el adeudo a una cuenta corriente distinta
a la prevista en el mencionado mandato habría de haber sido autorizada por el
reclamante.
No obstante, el mencionado cargo a la cuenta terminada en ***CUENTA.3 se realizó
sin que mediara el consentimiento de la parte reclamante, como se acredita con la
propia reclamación y con la contestación del BBVA al escrito de traslado en el que
manifiesta en primer lugar que contaba con un consentimiento “verbal” y,
posteriormente afirma que se trataba de una consentimiento tácito en la medida en
que la parte reclamante no había mostrado su disconformidad y había aceptado otros
giros, con lo que daría a entender que estaba de acuerdo con la nueva domiciliación.
Además, no hay que olvidar que, entre la documentación aportada por la parte
reclamante consta un documento del propio BBVA en el que se certifica que la cuenta
número (…) de la que era titular la parte reclamante, a “fecha de cancelación el 14 de
febrero de 2022 no mantenía activo ningún desvío hacia otra cuenta”.
En relación con el supuesto consentimiento tácito al que hace referencia BBVA que le
permitiría el tratamiento de los datos personales de la parte reclamante en los términos
anteriormente señalados, ha de subrayarse que, en materia de protección de datos,
todo consentimiento debe ser, tal y como exige el artículo 4.11 del RGPD, libre
específico, informado e inequívoco:
“consentimiento del interesado” es “toda manifestación de voluntad libre,
específica, informada e inequívoca por la que el interesado acepta, ya sea
mediante una declaración o una clara acción afirmativa, el tratamiento de datos
personales que le conciernen”
El consentimiento se entiende como un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con
garantías suficientes para acreditar que el interesado es consciente del hecho de que
da su consentimiento y de la medida en que lo hace.
Asimismo, debe darse para todas las actividades de tratamiento realizadas con el
mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe
darse el consentimiento para todos ellos de manera específica e inequívoca. A este
respecto, la licitud del tratamiento exige que el interesado sea informado sobre los
fines a que están destinados los datos (consentimiento informado).
Además, el consentimiento ha de prestarse libremente.
Sin estas condiciones, el consentimiento prestado por el interesado no determinaría un
control sobre sus datos personales y el destino de los mismos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/35
El Comité Europeo de Protección de Datos en el documento “Directrices 05/2020
sobre el consentimiento con arreglo al Reglamento 2016/679”, que actualiza las
directrices sobre el consentimiento adoptadas por el Grupo de Trabajo del Artículo 29
el 28/11/2017, revisadas y aprobadas el 10/04/2018 indica que:
“55. El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado
para el tratamiento de sus datos debe darse “para uno o varios fines específicos” y
que un interesado puede elegir con respecto a cada uno de dichos fines. El requisito
de que el consentimiento deba ser “específico” tiene por objeto garantizar un nivel de
control y transparencia para el interesado. Este requisito no ha sido modificado por el
RGPD y sigue estando estrechamente vinculado con el requisito de consentimiento
“informado”. Al mismo tiempo, debe interpretarse en línea con el requisito de
“disociación” para obtener el consentimiento “libre”. En suma, para cumplir con el
carácter de “específico” el responsable del tratamiento debe aplicar:
i la especificación del fin como garantía contra la desviación del uso,
ii la disociación en las solicitudes de consentimiento, y
iii una clara separación entre la información relacionada con la obtención del
consentimiento para las actividades de tratamiento de datos y la información relativa a
otras cuestiones.”
Estas directrices prosiguen señalando:
“56. Ad. i): De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la
obtención del consentimiento válido va siempre precedida de la determinación de un
fin específico, explícito y legítimo para la actividad de tratamiento prevista. La
necesidad del consentimiento específico en combinación con la noción de limitación
de la finalidad que figura en el artículo 5, apartado 1, letra b), funciona como garantía
frente a la ampliación o difuminación gradual de los fines para los que se realiza el
tratamiento de los datos una vez que un interesado haya dado su autorización a la
recogida inicial de los datos. Este fenómeno, también conocido como desviación del
uso, supone un riesgo para los interesados ya que puede dar lugar a un uso
imprevisto de los datos personales por parte del responsable del tratamiento o de
terceras partes y a la pérdida de control por parte del interesado.
Esto significa, de acuerdo con las Directrices 5/2020 sobre el consentimiento en el
sentido del Reglamento (UE) 2016/679, y conforme al principio de responsabilidad
proactiva consagrado en el artículo 5.2 del RGPD y desarrollado en el artículo 24 del
RGPD, que el consentimiento debe poder ser demostrable, esto es, acreditable por el
responsable del tratamiento tal y como exige el artículo 7 del RGPD.
Así, en un primer momento BBVA ha manifestado que contaba con el consentimiento
tácito de la parte reclamante para efectuar el cargo en la nueva cuenta que había
abierto, basándose en que el mandato SEPA no había sido revocado expresamente.
No obstante, tal y como se ha señalado, el RGPD exige que el consentimiento sea
demostrable y acreditable, sin que, en el presente supuesto se hayan cumplido estas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/35
dos premisas, dado que el mandato SEPA entre ***ENTIDAD.1 y la parte reclamante
estaba vinculado a una cuenta bancaria que la parte reclamante había cancelado, y
sobre la que no había ningún desvío activo hacia otra cuenta. Por tanto, BBVA no
contaba con el consentimiento de la parte reclamante para realizar este cargo a la
nueva cuenta bancaria que había abierto en dicho banco.
Por todo lo expuesto, procede rechazar la alegación presentada por BBVA.
2. El recibo domiciliado se cargó a la nueva cuenta en base a lo dispuesto en el
artículo 6.1 apartados b) y f)
BBVA ha manifestado que contaba con el consentimiento de la parte reclamante para
proceder al cargo del recibo en la nueva cuenta bancaria que tenía abierta en el BBVA,
sobre la idea de que el mandato SEPA no estaba revocado. No obstante,
posteriormente manifiesta que el cargo efectuado en la nueva cuenta bancaria estaría
plenamente justificado desde el punto de vista jurídico al amparo de los artículos 6.1 b)
y f) del RGPD, que establecen la licitud de los datos personales en determinadas
circunstancias.
En relación con esta cuestión, hay que tener en cuenta las “Directrices 05/2020 sobre
el consentimiento con arreglo al Reglamento 2016/679”, del Comité Europeo de
Protección de Datos, que recogen:
“El artículo 6 establece las condiciones para un tratamiento lícito de los datos
personales y describe seis bases jurídicas a las que puede recurrir el responsable del
tratamiento. La aplicación de una de estas seis bases jurídicas debe establecerse
antes de comenzar la actividad de tratamiento y en relación con un fin específico.
Es importante señalar en este punto que, si un responsable del tratamiento elige
basarse en el consentimiento para cualquier parte del tratamiento, deberá estar
preparado para respetar dicha opción y detener esa parte del tratamiento si una
persona retira su consentimiento. Enviar el mensaje de que los datos se tratarán sobre
la base del consentimiento, mientras en realidad, se está utilizando otra base jurídica,
sería realmente desleal para con los interesados.
Con otras palabras, el responsable no puede pasar del consentimiento a otras bases
jurídicas. Por ejemplo, no le está permitido utilizar retrospectivamente la base del
interés legítimo con el fin de justificar el tratamiento, cuando se encuentre con
problemas con la validez del consentimiento. Debido al requisito de divulgar la base
jurídica utilizada por el responsable del tratamiento en el momento de la recogida de
los datos personales, los responsables deben decidir cuál es la base jurídica aplicable
antes de recoger los datos.”
En definitiva, el tratamiento de datos personales requiere la existencia de una única
base legal que lo legitime. La elección de la base más adecuada del tratamiento, en
caso de existir varias, corresponde al responsable, igual que compete a este acreditar
que el tratamiento se realiza conforme a una base de legitimación.
De este modo, BBVA no puede decir que cuenta con el consentimiento de la parte
reclamante, y después indicar que se encuentra legitimado por otras bases jurídicas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/35
A pesar de lo señalado, BBVA manifiesta que el tratamiento era necesario para la
ejecución de un contrato.
En este sentido, el artículo 6.1.b) del RGPD establece que el tratamiento es lícito si es
necesario para la ejecución de un contrato en el que el interesado es parte o para la
aplicación a petición de este de medidas precontractuales
BBVA ha manifestado que, en relación con el hecho de que el tratamiento es necesario
para la ejecución de un contrato suscrito entre la parte reclamante y un tercero, esto
es, ***ENTIDAD.1. Además, señala que el tratamiento era necesario porque:
“-la parte reclamante y ***ENTIDAD.1 se encuentran vinculados por un
contrato del que se derivan obligaciones de pago
-para la ejecución de dicho contrato, la parte reclamante otorgó un mandato
SEPA a favor de ***ENTIDAD.1, autorizando la domiciliación de los recibos en
una cuenta de BBVA
-el mandato SEPA no fue revocado, por lo que continuaba vigente en el
momento en que ***ENTIDAD.1 giró el recibo.
-el cargo a la nueva cuenta de la parte reclamante se realizó en cumplimiento
de las condiciones pactadas en el mandato SEPA.
-no consta que la parte reclamante hubiera informado a ***ENTIDAD.1 sobre
un cambio de la forma de pago, y en ausencia de una notificación expresa de
la parte reclamante, ***ENTIDAD.1 actuó conforme al mandato SEPA y solicitó
a BBVA ejecutar la orden de pago.
Por lo tanto, el tratamiento de los datos personales asociados a este cargo no
solo era legítimo, sino necesario para el cumplimiento de las obligaciones
contractuales asumidas por las partes.”
No obstante, tal y como se ha indicado, BBVA no era parte del contrato, en la medida
en que las partes son la parte reclamante y ***ENTIDAD.1. Su participación surge de
la supuesta existencia de una orden de adeudo autorizada por la parte reclamante
que, como se ha señalado ya en contestación a la alegación anterior, se había
realizado específicamente para otra cuenta corriente. Por lo tanto, la aplicación de esta
base de legitimación no parece que pueda ser de aplicación en este caso.
A su vez, BBVA manifiesta que existiría un interés legítimo de ***ENTIDAD.1 e incluso
del propio BBVA para el tratamiento, en el sentido de poder garantizar que los pagos
domiciliados se procesan correctamente, e indica que con ello se evitaron posibles
perjuicios a la parte reclamante.
En este sentido, el artículo 6.1.f del RGPD establece que “El tratamiento solo será
lícito si (…) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre
dichos intereses no prevalezcan los intereses o los derechos y libertades
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/35
fundamentales del interesado que requieran la protección de datos personales, en
particular cuando el interesado sea un niño.”
En relación con esta cuestión, la sentencia STJUE C-252/21, al referirse al interés
legítimo, ha determinado que el mismo implicaría 3 condiciones acumulativas:
“a) Informar al afectado del interés legítimo perseguido con el tratamiento.
b) El tratamiento es llevado a cabo en la medida en que es estrictamente
necesario para ese interés legítimo.
c) que se desprende de una ponderación de los intereses contrapuestos,
teniendo en cuenta todas las circunstancias pertinentes, que los intereses o las
libertades y derechos fundamentales de dichos usuarios no prevalecen sobre
el interés legítimo del responsable del tratamiento o de un tercero”.
De este modo, este deber de informar sobre el tratamiento de los datos personales
exige que, además de informar, se especifique la existencia del interés legítimo como
base jurídica del tratamiento. Además, debe especificarse los intereses legítimos
concretos, siendo necesario, para que los afectados puedan oponerse a dicho
tratamiento en cualquier momento.
Asimismo, en relación con la ponderación, el considerando 47 del RGPD establece:
“El interés legítimo de un responsable del tratamiento, incluso el de un responsable al
que se puedan comunicar datos personales, o de un tercero, puede constituir una
base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los
derechos y libertades del interesado, teniendo en cuenta las expectativas razonables
de los interesados basadas en su relación con el responsable. Tal interés legítimo
podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el
interesado y el responsable, como en situaciones en las que el interesado es cliente o
está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo
requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma
razonable, en el momento y en el contexto de la recogida de datos personales, que
pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos
fundamentales del interesado podrían prevalecer sobre los intereses del responsable
del tratamiento cuando se proceda al tratamiento de los datos personales en
circunstancias en las que el interesado no espere razonablemente que se realice un
tratamiento ulterior. (…)”
En el presente caso no consta que el reclamante fuera informado de la base de
legitimación anteriormente señalada ni que se le facilitara el ejercicio del derecho de
oposición. Además, no debe olvidarse que, de conformidad con el principio de
responsabilidad proactiva previsto en el artículo 5.2 del RGPD y desarrollado en el
artículo 24 del RGPD, la ponderación de intereses habrá de estar debidamente
documentada, lo que no consta en el presente supuesto.
En función de lo expresado en la normativa señalada anteriormente, no parece que
estemos ante un supuesto de tratamiento que tenga como base legitimadora el interés
legítimo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/35
Por lo tanto, esta alegación no puede ser tenida en cuenta.
Alegación tercera. Vulneración del principio de presunción de inocencia. Vulneración
del principio de culpabilidad.
En relación con esta cuestión, BBVA manifiesta que en el presente caso no hay prueba
de que ***ENTIDAD.1 haya comunicado a BBVA la supuesta revocación expresa del
mandato SEPA otorgado por la parte reclamante. De hecho, manifiesta que
***ENTIDAD.1 ordenó un adeudo domiciliado en la cuenta de la parte reclamante, lo
que confirmaría la continuidad del mandato y la vigencia de la autorización para
efectuar el cargo, no pudiendo atribuir a BBVA una conducta dolosa o culposa, ya que
su actuación se basó en la información disponible y en el cumplimiento de sus
obligaciones como proveedor de servicios de pago.
A pesar de que de BBVA manifiesta que su conducta no es dolosa ni culposa, obvia
que el adeudo se realizó a una cuenta bancaria distinta a la que se consagraba en el
mandato SEPA.
El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de
octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser
sancionadas por hechos constitutivos de infracción administrativa las personas físicas
y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos
de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios
independientes o autónomos, que resulten responsables de los mismos a título de
dolo o culpa."
A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de
diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica:
“76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una
infracción se ha cometido de forma intencionada o negligente y, por ello, puede
sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un
responsable del tratamiento puede ser sancionado por un comportamiento
comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter
infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del
RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y
otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo
de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de
marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244,
apartado 97).”
En esta misma línea se expresan los órganos jurisdiccionales de nuestro país.
De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección
5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS
354/2023)
(…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una
exigencia de las infracciones administrativas, ínsito en el artículo 25 de la
Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del
Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/35
comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que
se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se
sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a
la terminología de la Ley de Procedimiento Administrativo Común de las
Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme
al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a
conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más
o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la
ejecución del acto para evitar el efecto pernicioso.
A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone:
“La recurrente también mantiene que no concurre culpabilidad alguna en su actuación.
Es cierto que el principio de culpabilidad impide la admisión en el derecho
administrativo sancionador de la responsabilidad objetiva, también es cierto, que la
ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones
normalmente se cometen por una actuación culposa o negligente, lo que es suficiente
para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente
negligente pues… debe conocer… las obligaciones que impone la LOPD a todos
aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar
el derecho fundamental a la protección de datos personales de sus clientes e
hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”.
Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22
de abril de 1991) considera que del elemento culpabilista se desprende “...que la
acción u omisión, calificada de infracción sancionable administrativamente, ha de ser,
en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia
inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a
un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino
que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia” (STS 23 de enero de 1998).
Además, conviene destacar que el modo de atribución de responsabilidad a las
personas jurídicas no se corresponde con las formas de culpabilidad dolosas o
imprudentes que son imputables a la conducta humana. De modo que, en el caso de
infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento
de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace
respecto de las personas físicas.
Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la
autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción
jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido
estricto, pero no la capacidad de infringir las normas a las que están sometidos.
Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24
de noviembre de 2011, Rec 258/2009).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/35
A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23
de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".
Como se ha señalado, la conducta imputada sí se ha producido de manera negligente,
en la medida en que BBVA procedió al cargo de un recibo en una cuenta bancaria de
la parte reclamante, sin que mediara el consentimiento por parte de la misma, y sin
que, como ya se ha analizado en el presente procedimiento sancionador, se haya
acreditado la existencia de ninguna otra base de legitimación. Además, la parte
reclamante cuenta con un documento en el que se confirma que no hay activo ningún
desvío a la nueva cuenta de la parte reclamante, lo que acredita que no hay un
consentimiento expreso para ello.
Así las cosas, ninguna de las circunstancias concurrentes en el caso permite excluir la
existencia de culpabilidad.
Por otro lado, en relación con las manifestaciones referidas a la presunción de
inocencia hay que tener en cuenta que para que pueda apreciarse la existencia de
indefensión no resulta suficiente que se haya producido una infracción formal, sino que
ha de haberse producido una indefensión de carácter material.
En este sentido, en palabras del TC, STC 290/1993, fundamento jurídico 4 “ Para que
pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado
al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no
basta con una vulneración meramente formal, siendo necesario que de esa infracción
formal se derive un efecto material de indefensión, un efectivo y real menoscabo del
derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente
perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento
jurídico 4º, y 112/1989, fundamento jurídico 2º)".
En definitiva, para que se quebrante la prohibición de indefensión es necesario que
exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso,
pues en el presente supuesto ha quedado acreditado que BBVA ha procedido al cargo
de un recibo, en una cuenta de la parte reclamante, cuando no tenía el consentimiento
expreso para ello, y sin que medie ninguna otra base de legitimación.
Además, BBVA ha sido debidamente notificado de la existencia del procedimiento
sancionador, habiéndose notificado fehacientemente el acuerdo de inicio en fecha 24
de febrero de 2025. Asimismo, ha presentado alegaciones al acuerdo de inicio en
fecha en fecha 20 de marzo de 2025, las cuales han sido debidamente contestadas en
la propuesta de resolución.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/35
Así las cosas, ninguna de las circunstancias concurrentes permite concluir que se
haya producido indefensión, debiendo rechazarse la presente alegación.
Por todo lo anterior, no procede el archivo del procedimiento sancionador como solicita
BBVA. Cuestión distinta es que por parte de la instrucción se considera que debe
valorarse e incluirse en esta propuesta a efectos de determinar la cuantía de la multa a
imponer, en los parámetros de las circunstancias previstas en el artículo 83.2 a) del
RGPD lo relativo a la existencia de un único afectado, así como la categoría de los
datos personales afectados conforme a lo previsto en el artículo 83.2 g) del RGPD. Lo
anterior puede dar lugar a la modificación de la cuantía inicialmente prevista.
IV
Respuesta a las alegaciones a la propuesta de resolución del procedimiento
sancionador
Primero. De la no revocación del mandato SEPA. Del consentimiento emitido por la
parte reclamante para el adeudo del recibo domiciliado.
BBVA se reitera en sus alegaciones al acuerdo de inicio, que fueron contestadas en el
apartado 1 del Fundamento de Derecho III de esta Resolución, a la cual nos
remitimos, procediendo a rechazar la presente alegación.
Segundo. Sobre la pretendida vulneración del artículo 6 del RGPD por parte de BBVA.
BBVA se reitera en sus alegaciones al acuerdo de inicio, que ya fueron contestadas en
el apartado 2 del Fundamento de Derecho III de esta Resolución, al que nos
remitimos.
Además, BBVA pone de manifiesto que su actuación se encontraría amparada por lo
dispuesto en los artículos 5.1.b) y 5.1.c) del RGPD en la medida en que la finalidad del
tratamiento no fue otra que asegurar la continuidad del servicio ya contratado, como
eran la gestión de pagos y cobro de recibos, que era compatible con la finalidad
original.
Asimismo, añade que se trataron los datos mínimos necesarios para cursar el adeudo,
(identificadores del recibo y cuenta activa del mismo cliente) sin recabar nuevas
categorías, ni introducir usos incompatibles.
Añade que la actuación del BBVA estaría amparada por la buena fe contractual
recogida en el artículo 1258 del Código Civil, según el cual, los contratos obligan no
solo a lo expresamente pactado, sino a todas las consecuencias que, según su
naturaleza, se derivan de la buena fe, del uso y de la ley, y, por tanto, su actuación
constituye una manifestación de buena fe en la ejecución de la bancaria y en la
intermediación de cobros.
En relación con esta cuestión, hay que destacar que el objeto del procedimiento
sancionador y lo que se imputa a BBVA es una infracción del artículo 6 del RGPD, no
de los artículos 5.1 b) y 5.1 c) del RGPD. Así, el artículo 6 del RGPD exige que todo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/35
tratamiento de datos personales para ser válido o lícito cuente con una base de
legitimación. Los artículos 5.1 b) y 5.1 c) del RGPD, que no son objeto del presente
procedimiento se refieren a los principios que todo tratamiento de datos personales
debe cumplir. En consecuencia, es importante no confundir los términos y remarcar
que un tratamiento exige contar con una de las bases de legitimación del artículo 6 del
RGPD y, una vez cuente con esta, cumplir con todos los principios previstos en el
artículo 5 del RGPD y que, en cualquier caso, la infracción que se imputa a BBVA es la
vulneración del artículo 6 del RGPD.
En línea con lo anterior, y en relación con las alegaciones relativas a que BBVA habría
actuado amparado por la buena fe contractual prevista en el artículo 1258 del Código
Civil, no queda sino remitir a la contestación a las alegaciones al acuerdo de inicio y
reiterar que en el contrato al que hace referencia BBVA, BBVA no era parte. Así, las
partes del contrato eran la parte reclamante y ***ENTIDAD.1. La participación de
BBVA – en virtud de cuya actuación se procede la apertura de un procedimiento
sancionador por considerarse esta contraria a la normativa en materia de protección
de datos- surge en la medida en que la parte reclamante contaba con dos cuentas
bancarias en la entidad bancaria en las que tenía domiciliadas su seguro con la
entidad ***ENTIDAD.1. Sin embargo, una vez canceladas estas cuentas en febrero de
2022, la parte reclamante abrió una nueva cuenta a la que BBVA sin contar con
autorización expresa de la parte reclamante giró el recibo de ***ENTIDAD.1. Es decir,
la parte reclamante había autorizado específicamente una cuenta corriente a efectos
de adeudo de una orden y BBVA, sin el consentimiento de la parte reclamante, vertió
ese cargo a una cuenta distinta del mismo titular.
Por todo lo expuesto, procede rechazar la presente alegación.
Tercera. Abono voluntario de la sanción impuesta en la Propuesta de Resolución.
En relación con lo señalado por BBVA respecto a que se acoge al pago voluntario
previsto en el artículo 85.2 de la LPACAP sin reconocimiento de responsabilidad, se
señala que procede, de conformidad con lo señalado en dicho artículo, procede dictar
resolución por la que se determine la terminación del procedimiento.
V
Cuestiones previas
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/35
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que BBVA
realiza, entre otros tratamientos, la recogida y conservación de datos personales de
personas físicas: nombre y apellido, dirección, correo electrónico y cuenta bancaria,
entre otros.
BBVA realiza esta actividad en su condición de responsable del tratamiento, dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.
VI
Obligación incumplida. Licitud del tratamiento
El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente:
"1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/35
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.
2. Los Estados miembros podrán mantener o introducir disposiciones más específicas
a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al
tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más
precisa requisitos específicos de tratamiento y otras medidas que garanticen un
tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de
tratamiento a tenor del capítulo IX.
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser
establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo
relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener
disposiciones específicas para adaptar la aplicación de normas del presente
Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento
por parte del responsable; los tipos de datos objeto de tratamiento; los interesados
afectados; las entidades a las que se pueden comunicar datos personales y los fines
de tal comunicación; la limitación de la finalidad; los plazos de conservación de los
datos, así como las operaciones y los procedimientos del tratamiento, incluidas las
medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras
situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión
o de los Estados miembros cumplirá un objetivo de interés público y será proporcional
al fin legítimo perseguido.
4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/35
c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización."
En el presente caso, la parte reclamante ponía de manifiesto que, en fecha 14 de
febrero de 2022, canceló dos cuentas bancarias a su nombre en la entidad bancaria
BBVA (terminadas en ***CUENTA.1 y ***CUENTA.2), y procedió a la apertura de una
nueva con la misma entidad (terminada en ***CUENTA.3).
El 1 de abril de 2022, repasando sus cuentas, se da cuenta de que faltaba el cargo
correspondiente con la entidad ***ENTIDAD.1, que tenía domiciliado en una de las
cuentas que había cancelado, y que unas semanas antes había domiciliado en otra
entidad (…).
La parte reclamante manifiesta que ha preguntado a ***ENTIDAD.1 por dicho recibo, y
ésta comunica que el cargo se ha efectuado, en fecha 21 de marzo de 2022, en la
cuenta bancaria del BBVA finalizada en ***CUENTA.3.
La parte reclamante se pone en contacto con el BBVA y ésta le comunica que el recibo
ha sido cargado en la nueva cuenta. Aporta para acreditarlo un recibo del banco en el
que se puede apreciar que el cargo se ha producido en fecha 21 de marzo de 2022.
La parte reclamante ha aportado, además, un certificado del BBVA en el que se
certifica que, según consta en los registros de la entidad, la cuenta número (…) de la
que era titular la parte reclamante, a “fecha de cancelación el 14 de febrero de 2022
no mantenía activo ningún desvío hacia otra cuenta”.
Por su parte, BBVA en contestación al escrito de traslado, ha manifestado que dicha
domiciliación fue gestionada de manera verbal con la parte reclamante, “mostrando,
como es lógico, su conformidad con dicha domiciliación para poder atender el pago de
los recibos que anteriormente eran cargados en su antigua cuenta BBVA, cancelada
por el mismo.”
A su vez, BBVA ha aportado el escrito de contestación que ha enviado a la parte
reclamante, y en éste, le comunica que, con respecto a otros recibos que también
fueron redomiciliados en la nueva cuenta, “sin que respecto de los mismos haya
mediado reclamación o disconformidad alguna, por lo que entendemos existió un
consentimiento a dicha redomiciliacion por su parte.”
Por tanto, la contestación de BBVA es ambigua, en tanto que afirma en primer término
que el consentimiento fue verbal y, en segundo, que fue tácito dado que, como la parte
reclamante no manifestó su disconformidad, se suponía que, con ello, autorizaba la
redomiciliación. Todo ello unido a que la parte reclamante ha aportado una certificación
de BBVA en la que se indica a fecha de la cancelación de la cuenta (***CUENTA.1) no
mantenía ningún desvío hacia otra cuenta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/35
En primer lugar, ha de señalarse que, de acuerdo con la sentencia de la Audiencia
Nacional de 3 de noviembre de 2015, rec. 333/2014, recoge que “…resulta indudable
que el número de la cuenta corriente bancaria de una persona física constituye un
dato de carácter personal, tal y como viene entendiendo de forma reiterada por la Sala
(por todas, sentencia de 30 de enero de 2014, recurso 554/2012), al amparo del
concepto que de dato personal ofrece el artículo 3. a) de la LOPD, definido como
“cualquier información concerniente a personas físicas identificadas o identificables…
Indudablemente, por tanto, el número de cuenta bancaria es un dato asociado a la
identidad de una concreta persona perfectamente identificable, su titular, por lo que
debe ser considerado dato de carácter personal a los efectos de aplicación de la Ley
Orgánica de Protección de Datos”.
Por otro lado, y en atención a lo manifestado en respuesta a las actuaciones de
traslado por BBVA, debe señalarse que el considerando 32 del RGPD establece que:
“El consentimiento debe darse mediante un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada, e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernen, como una
declaración por escrito, inclusive por medios electrónicos, o una declaración verbal.
Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros
técnicos para la utilización de servicios de la sociedad de la información, o cualquier
otra declaración o conducta que indique claramente en este contexto que el interesado
acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las
casillas ya marcadas o la inacción no deben constituir consentimiento. El
consentimiento debe darse para todas las actividades de tratamiento realizadas con el
mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el
consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a
raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no
perturbar innecesariamente el uso del servicio para el que se presta.”
A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11:
“11) «consentimiento del interesado»: toda manifestación de voluntad libre,
específica, informada e inequívoca por la que el interesado acepta, ya sea
mediante una declaración o una clara acción afirmativa, el tratamiento de datos
personales que le conciernen;”
Por su parte, el artículo 7 del RGPD consagra las condiciones para el consentimiento
en los siguientes términos:
“1. Cuando el tratamiento se base en el consentimiento del interesado, el
responsable deberá ser capaz de demostrar que aquel consintió el tratamiento
de sus datos personales.
2. Si el consentimiento del interesado se da en el contexto de una declaración
escrita que también se refiera a otros asuntos, la solicitud de consentimiento se
presentará de tal forma que se distinga claramente de los demás asuntos, de
forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No
será vinculante ninguna parte de la declaración que constituya infracción del
presente Reglamento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/35
3. El interesado tendrá derecho a retirar su consentimiento en cualquier
momento. La retirada del consentimiento no afectará a la licitud del tratamiento
basada en el consentimiento previo a su retirada. Antes de dar su
consentimiento, el interesado será informado de ello. Será tan fácil retirar el
consentimiento como darlo.
4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta
en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de
un contrato, incluida la prestación de un servicio, se supedita al consentimiento
al tratamiento de datos personales que no son necesarios para la ejecución de
dicho contrato.
Por tanto, de acuerdo con las Directrices 5/2020 sobre el consentimiento en el sentido
del Reglamento (UE) 2016/679, el consentimiento debe ser, entre otros aspectos,
expreso (un claro ejercicio afirmativo), esto es, sin que quepa, por tanto, el
consentimiento tácito.
Por otra parte, aun cuando pudiera ser verbal, en la medida en que debe ser
demostrable por el responsable, ha de en algún medio que permita su acreditación. Lo
anterior se encuentra estrechamente ligado a las exigencias derivadas del principio de
responsabilidad proactiva consagradas en el artículo 5.2 del RGPD, desarrollado en el
artículo 24 del RGPD, que exige que el responsable no solo cumpla con la normativa,
sino que ha de ser capaz de demostrarlo.
En el presente supuesto, no consta acreditado que el responsable contara con el
consentimiento de la parte reclamante para proceder al adeudo de una cuantía en una
cuenta corriente de su titularidad, distinta de la inicialmente autorizada para la
domiciliación.
De este modo, en atención a los hechos presentes en el caso que nos ocupa, desde
esta Agencia se considera que BBVA ha realizado un tratamiento de datos de la parte
reclamante sin mediar su consentimiento y sin que conste acreditada ninguna otra
base de legitimación de las previstas en el artículo 6 del RGPD.
Por tanto, se considera que los hechos conocidos son constitutivos de una infracción,
imputable a BBVA, por vulneración del artículo 6 del RGPD.
VII
Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de
prescripción
El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del
artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;"
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/35
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:
"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679."
VIII
Sanción por el incumplimiento del artículo 6 del RGPD
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/35
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/35
Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las
multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones
debe tener como punto de partida, tres elementos: el volumen de negocios, la
categorización de las infracciones según su propia naturaleza (es decir, si se trata de
una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en
cada caso concreto (de acuerdo con el artículo 83.2 a), b) y g)). En cualquier caso, la
multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y
disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.
En este sentido, se considera, con carácter previo, que el beneficio de BBVA en el año
2023 ha ascendido a 8.019.000.000 millones de euros, según consta en el informe
anual de 2023.
Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser
de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía
equivalente al 4% como máximo del volumen de negocio anual, optándose por la de
mayor cuantía. El 4% del volumen de negocio de BBVA es de 320.760.000 euros.
Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones
habrá de estar forzosamente entre los 0 y los 320.760.000 euros.
Asimismo, en relación con el nivel de gravedad en los términos del RGPD, estima que
concurren las circunstancias siguientes:
• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido (artículo 83.2, letra a), del RGPD): los hechos controvertidos
afectan a un elemento básico del derecho a la protección de datos personales,
por cuanto sustenta la legalidad del tratamiento de datos y cuya violación entraña
un riesgo importante para los derechos del afectado. En este sentido, los hechos
afectan directamente al control que el afectado ejerce sobre sus datos, eje
vertebrador del RGPD y excede las expectativas razonables que el afectado
pudiera tener respecto al tratamiento de datos personales efectuado por el
responsable.
No obstante, se subraya la existencia de un único afectado por el tratamiento
ilícito. Así como, a efectos de determinar la duración en el tiempo de la infracción,
que se corresponde con una única orden de adeudo.
Asimismo, se subraya que la ausencia de acreditación de la base legitimadora de
un tratamiento supone una violación del principio de responsabilidad proactiva
consagrado en el artículo 5.2 del RGPD.
• Las categorías de los datos de carácter personal afectados por la infracción
(artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del Comité Europeo de
Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/35
24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al
requisito de tener en cuenta las categorías de los datos personales afectados:
“(…)el RGPD destaca claramente los tipos de datos que merecen una protección
especial y, por tanto, una respuesta más estricta en lo que respecta a las multas.
Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9
y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos
cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo,
datos de localización, datos sobre comunicación privada, números de
identificación nacionales o datos financieros, como resúmenes de transacciones o
números de tarjetas de crédito”). En el presente caso, datos personales tratados
se corresponden con los de la cuenta bancaria de la parte reclamante.
Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:
• Toda infracción anterior cometida por el responsable o el encargado del
tratamiento (artículo 83.2, letra e), del RGPD). La entidad ha sido sancionada
anteriormente por otras infracciones del RGPD. Se pueden citar, a modo de
ejemplo, los siguientes:
PS/00677/2022: dos infracciones del artículo 6.1 del RGPD, tipificadas en el
artículo 83.5 del RGPD.
PS/00546/2022: por una infracción del artículo 6.1 del RGPD, tipificada en el
artículo 83.5 del RGPD.
• La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD: BBVA
como consecuencia de su actividad empresarial realiza de forma habitual y
continua tratamientos de datos de carácter personal de un elevado número de
interesados (clientes y potenciales clientes). En definitiva, la realización de
actividades financieras, que es la actividad principal de BBVA, implica
forzosamente operaciones de tratamiento de datos personales de las personas
físicas clientes (o potenciales clientes) de dicha entidad. Así, la infracción se
produce en el marco de un tratamiento de datos personales que habitualmente
realiza el responsable en su negocio y que se encuentra estrechamente
vinculado a este
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD,
permite fijar una sanción de multa administrativa de 100.000,00 euros.
IX
Pago voluntario
De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución se le permitía llevar a cabo el pago voluntario de la sanción
propuesta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/35
La parte reclamada ha hecho uso de la facultad contemplada en el artículo 85.2 de la
LPACAP, tras haberse notificado la propuesta de resolución, lo que supone una
reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción
queda establecida en 80.000 euros y su pago implica la terminación del procedimiento,
sin perjuicio de la imposición de las medidas correspondientes.
Tras la propuesta de resolución, y antes de que se dictase resolución por parte de esta
autoridad, BBVA, en fecha 17 de octubre de 2025 procedió a realizar el pago
voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del
artículo 85 de la LPACAP, la efectividad de la citada reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la comisión de la infracción y CONFIRMAR la sanción
determinada en la parte dispositiva recogida en la presente resolución. La cuantía
citada asciende a 100.000 euros. Tras haber procedido la parte reclamada al pronto
pago, antes de dictarse resolución, y sin reconocimiento de responsabilidad, se
procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total
mencionado, lo cual supone la cantidad definitiva de 80.000,00 euros.
SEGUNDO: DECLARAR la terminación del procedimiento EXP202408496 de
conformidad con lo establecido en el artículo 85 de la LPACAP.
TERCERO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA
ARGENTARIA, S.A.
CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona
la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o
recurso en vía administrativa, la presente resolución será firme en vía administrativa y
plenamente ejecutiva a partir de su notificación.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6
de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer recurso contencioso administrativo ante la Sala de lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
35/35
Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el
artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de
13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de
dos meses a contar desde el día siguiente a la notificación de este acto, según lo
previsto en el artículo 46.1 de la referida Ley.
938-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es