Müşteri Bilgilendirmesi ve Rıza Süreçleri

1/146

 Procedimiento Nº: PS/00070/2019

- RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los
siguientes

ANTECEDENTES

PRIMERO: Con fecha 16/10/2018, tuvo entrada en esta Agencia una reclamación presentada
por D. A.A.A. (en lo sucesivo el reclamante 1), contra la entidad BANCO BILBAO VIZCAYA
ARGENTARIA, S.A. (en lo sucesivo BBVA), por el envío a su línea de telefonía móvil, en
fecha 11/10/2018, de un SMS promocional. Añade que no ha autorizado el envío de tales
mensajes y que figura inscrito en Lista Robinson desde hace tiempo.

Con su reclamación, aporta únicamente copia del SMS objeto de la misma, cuyo texto
es el siguiente:

“Publi BBVA: Tu prestamos HASTA 9.000 EUROS para poner en marcha ya tus proyectos. Info
912975969. https://bbva.info/2xLgPps. No+publi envia BAJA al 217582”.

Esta reclamación fue trasladada a la entidad BBVA. En respuesta a lo manifestado por
el reclamante 1, BBVA informa a esta Agencia que el mismo prestó su conformidad al
contenido del documento “Identificación del cliente, tratamiento de datos personales y firma
digitalizada”, suscrito por el reclamante en fecha 07/06/2016, en virtud del cual el cliente
consintió el envío de publicidad por parte de BBVA “a través de cualquier medio”.

Añade BBVA que, no obstante, vista la reclamación formulada, ha procedido a
inhabilitar la opción relativa al envío de comunicaciones comerciales al reclamante 1.

BBVA aporta el documento “Identificación del cliente, tratamiento de datos personales
y firma digitalizada” suscrito por el denunciante en fecha 07/06/2016.

SEGUNDO: Con fecha 09/12/2018, tuvo entrada en esta Agencia una reclamación presentada
por D. B.B.B. (en lo sucesivo el reclamante 2), contra la entidad BBVA, señalando que la App
BBVA para sistemas Android de la entidad no cumple los requisitos legales relativos al
consentimiento libre e informado. En dicha reclamación pone de manifiesto que el pasado
09/11/2018 la citada App, mediante una pantalla emergente, requirió la prestación de
consentimiento cuyo alcance debía conocerse mediante un enlace a otra página, en la que
aparecía activada por defecto la opción de cesión de datos a terceros.

Añade que el 6 de junio anterior, BBVA reconoció por carta el derecho de oposición del
reclamante al tratamiento de sus datos con fines comerciales (aporta copia de esta
comunicación), y que esta circunstancia debiera haberse tenido en cuenta por BBVA antes de
requerirle nuevamente la prestación de su consentimiento al tratamiento de datos a través de
la App BBVA.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

2/146

Por otra parte, advierte el reclamante que se dirigió a la citada entidad exponiendo las
mismas circunstancias y que dicha reclamación fue desestimada con fecha 29/11/2019.

El reclamante aporta copia de uno de los correos que dirigió a BBVA, de fecha
09/11/2018, en el que expresamente indica lo siguiente:

“Estimado/a DPO de BBVA
El documento adjunto al anterior mensaje procede de la APP BBVA ofrecida en la plataforma Android.
La citada aplicación requiere al usuario, como paso previo a su uso, prestar consentimiento mediante la
firma electrónica de un documento que sólo ofrece la posibilidad de oponerse al tratamiento de datos
personales para fines distintos a los necesarios a los fines de la prestación de servicios financieros si el
cliente activa las casillas de oposición a un tratamiento que POR DEFECTO (véase artículo 25 del
RGPD) debieran considerarse como activadas. El texto informativo resulta poco coherente con el
principio de transparencia del artículo 12 del RGPD y sobre todo porque tras activar las citadas casillas
de oposición aparece una pantalla emergente con una nueva advertencia que claramente coarta la
libertad del consentimiento en los términos del artículo 7 del RGPD.
Espero haber descrito con mayor claridad el problema relacionado con la citada APP y el documento
de consentimiento generado por la misma.
Finalmente, quisiera adjuntarle su comunicación relativa a mi ejercicio del derecho de oposición al
tratamiento de datos personales ya registrada por su departamento, y que debiera haberse tenido en
cuenta en lo relativo a la operativa de la APP BBVA”.

BBVA responde a dicho correo mediante otro de fecha 29/11/2018 en el que
literalmente indica:

“La forma en que se recaba el consentimiento al que usted hace referencia ha sido considerada válida
no solo en los análisis internos de nuestra propia entidad, sino en todos aquellos foros donde se ha
planteado la cuestión, ya que el interesado tiene la opción de escoger de una manera sencilla y
fácilmente entendible la opción que prefiera. Acerca de las pantallas emergentes que usted nos
comenta, BBVA entiende que debe proporcionar a los interesados la información necesaria para que
sepan qué sucede al activar dichas casillas, para que con toda la información en su mano, decidan la
opción que más les satisfaga”.

El reclamante acompaña, asimismo, el documento generado por la App, con el rótulo
“Declaración de actividad económica y política de protección de datos personales” (en lo
sucesivo también “Política de Privacidad”), en cuyo apartado 1 constan los datos
identificativos del cliente (el reclamante) y su declaración de actividad económica. Entre otros
datos, figuran los relativos a nombre, apellidos, identificador fiscal, fecha de nacimiento,
nacionalidad, domicilio, estado civil, régimen matrimonial, datos de contacto, ingresos fijos y
variables, entidad en la que presta servicio, ingresos brutos anuales.

El apartado 2 de ese documento está dedicado a la “política de protección de datos
personales”. El contenido íntegro de este apartado, la “información ampliada” que se ofrece al
interesado y parte del “glosario de términos” que conta en el mismo documento, el cual se
declara reproducido en este acto, se acompaña como Anexo 1.

En el documento aportado por el reclamante 2 figuran marcadas todas las opciones
habilitadas para que el interesado preste su consentimiento al tratamiento de los datos
personales con las finalidades que en dichas opciones se expresan:

“. Productos y precios más ajustados a ti
[x] NO quiero que BBVA trate mis datos para ofrecerme productos y servicios de BBVA, del Grupo
BBVA y de otros personalizados para mí.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

3/146

[x] NO quiero que BBVA comunique mis datos a sociedades del Grupo BBVA para que me puedan
ofrecer productos y servicios propios personalizados para mí.

Mejora de calidad

[x] NO quiero que BBVA trate mis datos para mejorar la calidad de los productos y servicios nuevos y
existentes. Queremos recordarte que siempre podrás cambiar o suprimir fácilmente el uso que
hacemos de tus datos”.

TERCERO: Con fecha 13/02/2019, tuvo entrada en esta Agencia una reclamación presentada
por D. C.C.C. (en lo sucesivo el reclamante 3), contra la entidad BBVA, señalando que para el
desbloqueo de su cuenta fue necesario suscribir el documento de protección de datos
personales, que le fue remitido telemáticamente, y que no tuvo posibilidad de marcar las
opciones sobre el tratamiento de la información.

Aporta impresión de la información disponible en la App de BBVA, en el área personal
del reclamante (1 a 6 de febrero de 2019), que incluye un apartado “Uso de datos personales”
en el que se pone a disposición del interesado una casilla que puede marcar con la indicación
“He leído, comprendo y acepto la Política de Protección de Datos Personales para ser cliente
de BBVA”.

Asimismo, aporta copia de un correo electrónico remitido a la dirección del reclamante
desde la dirección [email protected], con un archivo adjunto denominado
“LOPDDAE”, en formato pdf, y el texto “Tienes una firma pendiente… (nombre y apellido del
Reclamante 3), tienes un documento pendiente de firma. Te recomendamos que leas con
calma el documento que te adjuntamos, antes de firmarlo”. A continuación, se incluye un
botón con la leyenda “Firma ahora”. Posteriormente se informa al interesado que dispone de
otros canales para la firma del documento en cuestión (oficina, App, web y banca telefónica).

Dicho documento, que también se acompaña a la reclamación, corresponde a la
“Declaración de Actividad Económica y Política de Protección de Datos Personales”, cuyo
contenido coincide con el que consta reproducido en el Anexo 1, salvo el detalle relativo a la
casilla mediante la que se ofrece al cliente la opción “No quiero que BBVA trate mis datos
para ofrecerme productos y servicios de BBVA, Grupo BBVA y de otros personalizados para
mí”, que permite marcar los canales siguientes:

[ ] Por email
[ ] Por SMS
[ ] Por teléfono (llamada telefónica)
[ ] Por correo postal

El documento aportado aparece fechado el 11/02/2019 y sin firma. De las opciones
habilitadas en este documento para que el interesado preste su consentimiento al tratamiento
de sus datos personales con las finalidades que se expresan en cada caso, figura marcada la
opción “No quiero que BBVA trate mis datos para ofrecerme productos y servicios de BBVA,
del Grupo BBVA y de otros personalizados para mí por email”.

La citada reclamación fue trasladada a BBVA para que analizase la misma y remitiera
la información pertinente a esta Agencia. El plazo concedido a BBVA para dar respuesta a
dicho traslado transcurrió sin que en esta Agencia se haya recibido respuesta alguna.

CUARTO: Con fecha 23/05/2019, tuvo entrada en esta Agencia una reclamación presentada
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

4/146

por D. D.D.D. (en lo sucesivo el reclamante 4), contra BBVA, señalando que, con el pretexto
de haber sido informado mediante un documento que no ha firmado, dicha entidad le remite
comunicaciones comerciales que no ha solicitado ni autorizado. Añade que le informó sobre la
adopción de medidas para impedir que continuara recibiendo comunicaciones comerciales,
que cesaron los envíos de correos electrónicos, pero continuó recibiendo SMS, en los que no
se facilitan mecanismos de baja.

Aporta varios SMS en los que se le ofrecen préstamos preconcedidos; copia de un
escrito en el que BBVA estima el derecho de oposición ejercitado por el reclamante, de
10/04/2019; otro escrito anterior, de 25/02/2019, en el que BBVA le informa que sus datos
personales son tratados conforme al documento que adjunta, suscrito el 26/11/2018, en el que
se le ofrecía la posibilidad de negarse a las citadas finalidades. El documento que se adjunta
al último escrito reseñado corresponde a la “Declaración de Actividad Económica y Política de
Protección de Datos”, en el que figuran los datos del denunciante como cliente de BBVA. En
este documento no figura marcada ninguna de las opciones que se ofrecen al interesado para
consentir el tratamiento de sus datos personales,

Esta reclamación fue trasladada a la entidad BBVA. En respuesta a lo manifestado por
el reclamante 4, BBVA informa a esta Agencia que se remitieron comunicaciones comerciales
al mismo, que no se opuso a este tratamiento de datos en el documento suscrito el
26/11/2018. Advierte que las comunicaciones cesaron después del ejercicio del derecho de
oposición por el reclamante, si bien la línea de telefonía móvil que se cita en la reclamación
como destinataria de comunicaciones comerciales no figura asociada a los datos de éste en
su sistema de información.

Posteriormente, BBVA manifestó que los SMS se enviaron manualmente por un gestor
comercial desde el teléfono móvil corporativo sin comprobar previamente que el cliente estaba
incluido en el listado Robinson.

QUINTO: Con fecha 27/08/2019, tuvo entrada en esta Agencia una reclamación presentada
por D. E.E.E. (en lo sucesivo el reclamante 5), contra la entidad BBVA, por la realización de
llamadas telefónicas y envío de SMS publicitarios, para ofrecer seguros, tarjetas de crédito y
financiación de recibos, a pesar de que ejerció el derecho de oposición a la cesión de sus
datos con fines promocionales y que el mismo fue atendido por dicha entidad. En su
reclamación detalla las líneas de telefonía emisoras de las llamadas y mensajes, la línea
receptora y la fecha y hora de la última llamada.

Con su reclamación, aporta copia de una factura correspondiente a la línea receptora
de las llamadas y mensajes, emitida a nombre del reclamante; escrito de BBVA dirigido al
mismo, de fecha 07/03/2018, en el que se estima su solicitud de oposición a la utilización y
cesión de sus datos a terceros con fines de prospección comercial o publicitaria de la entidad
u otras empresas del Grupo; transcripción de mensajes remitidos a BBVA advirtiendo
nuevamente sobre su deseo de no recibir publicidad, de 26/05/2019, respondido el día
siguiente por la responsable con un mensaje de disculpa; impresión de pantalla, de
27/08/2019, sobre la inclusión de su línea de telefonía móvil en Lista Robinson; y detalle de
llamadas recibidas (consta una llamada procedente del número objeto de la reclamación,
realizada en fecha 27/08/2019.

Esta reclamación fue trasladada a la entidad BBVA. En respuesta a lo manifestado por
el reclamante 5, BBVA informa a esta Agencia que, en fecha 18/06/2018, el interesado firmó
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

5/146

digitalmente el documento “Declaración de Actividad Económica y Política de Protección de
Datos Personales”, prestando su consentimiento al tratamiento de sus datos con fines
comerciales, a pesar de que se le daba la oportunidad de oponerse a la utilización de sus
datos para ofrecerle productos y servicio de BBVA y de entidades del Grupo. Esta opción la
formalizó el reclamante mediante la firma de ese documento con posterioridad a través de la
banca a distancia. Añade que las líneas a las que se refiere la reclamación pertenecen a
BBVA Seguros, de la que es cliente el reclamante, la cual realizó tres llamadas en agosto de
2019 (días 20, 21 y 27); y que BBVA trasladó el escrito de oposición del reclamante a BBVA
Seguros, que tomó las medidas oportunas para el cese de las comunicaciones comerciales el
mismo día 27/08/2019.

BBVA aporta los documentos “Declaración de Actividad Económica y Política de
Protección de Datos Personales”, suscritos por el reclamante en fechas 18/06/2018 y
27/05/2019. En el primero de ellos no consta ninguna marca en las casillas habilitadas para
que el cliente manifieste su consentimiento a los tratamientos siguientes:

. Productos y precios más ajustados a ti
[ ] NO quiero que BBVA trate mis datos para ofrecerme productos y servicios de BBVA, del Grupo
BBVA y de otros personalizados para mí.
[ ] NO quiero que BBVA comunique mis datos a sociedades del Grupo BBVA para que me puedan
ofrecer productos y servicios propios personalizados para mí.
Mejora de calidad

[ ] NO quiero que BBVA trate mis datos para mejorar la calidad de los productos y servicios nuevos y
existentes. Queremos recordarte que siempre podrás cambiar o suprimir fácilmente el uso que
hacemos de tus datos”.

En el firmado en fecha 27/05/2019 constan esas tres casillas marcadas.

SEXTO: Las reclamaciones a las que se refieren las actuaciones fueron admitidas a trámite
mediante resoluciones de fecha 01/02/2019 (las relativas a los reclamantes 1 y 2), 06/08/2019
(la relativa al reclamante 3), 13/09/2019 (la relativa al reclamante 4) y 30/10/2019 (la relativa
al reclamante 5).

SEPTIMO: Con fecha 21/11/2019, por la Subdirección General de Inspección de Datos se
accede a la web de BBVA (“bbva.com”) y se obtiene información disponible sobre la entidad.

En dicha web se indica:

“BBVA en España
Como una de las entidades líderes en el país, con más de 10 millones de clientes y cerca de 30.000
empleados, prestamos servicios financieros a través de nuestra red de 3200 oficinas”.

Se obtiene, asimismo, información financiera, de la que cabe destacar la relativa a la
Cuenta de Resultados, que “a 30/09/2019” refleja un “Margen neto” de 9.304 millones de
euros. En el apartado “Diversificación geográfica” se indica el desglose por países,
correspondiendo a España el 23,4%.

Según la información que consta en el Registro Mercantil Central, el “Capital suscrito”
asciende a 3.267.264.424,20 euros.

OCTAVO: Con fecha 02/12/2019, la Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

6/146

acordó iniciar procedimiento sancionador a la entidad BBVA, de conformidad con lo previsto
en el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de
27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento
de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de
Protección de Datos, en lo sucesivo RGPD), por la presunta infracción del artículo 13 del
RGPD, tipificada en el artículo 83.5.b) del citado Reglamento; y por la presunta infracción del
artículo 6 del RGPD, tipificada en el artículo 83.5.a) del citado Reglamento, determinando que
la sanción que pudiera corresponder ascendería a un total de 6.000.000,00 euros
(3.000.000,00 euros por cada una de las infracciones imputadas), sin perjuicio de lo que
resulte de la instrucción.

Las imputaciones indicadas resultan del análisis del formulario de recogida de datos
personales utilizado por la entidad BBVA con posterioridad a 25/05/2018, denominado
“Declaración de actividad económica y política de protección de datos personales”, mediante
el que BBVA da a conocer los términos aplicables a la protección de datos personales y
requiere el consentimiento de los interesados. Los motivos que fundamentan las imputaciones
indicadas son, sucintamente, los siguientes:

a) Infracción del artículo 13 del RGPD:

. Empleo de una terminología imprecisa para definir la política de privacidad.
. Insuficiente información sobre la categoría de datos personales que se someterán a
tratamiento, especialmente, en relación con los datos que BBVA dice obtener del uso por el
cliente de productos, servicios y canales; los datos económicos y de solvencia obtenidos de
productos contratados con BBVA o de los que BBVA es comercializador; y los datos
personales que se cederán a empresas del Grupo BBVA.
. Incumplimiento de la obligación de informar sobre la finalidad del tratamiento y base jurídica
que lo legitima, especialmente en relación con los tratamientos de datos personales que
BBVA basa en el interés legítimo.
. Insuficiente información sobre sobre el tipo de perfiles que se van a realizar, los usos
específicos a que se van a destinar

b) Infracción del artículo 6 del RGPD:

. Inexistencia de un mecanismo específico para la recogida de los consentimientos de los
clientes para el tratamiento de los datos personales. Las opciones del interesado se
limitan a la marcación de una casilla mediante la cual deja constancia de su
oposición a los tratamientos de datos.
. Incumplimiento de los requisitos establecidos para la prestación de un
consentimiento específico, inequívoco e informado.
. Insuficiente justificación de los tratamientos de datos personales basados en el interés
legítimo del responsable.

Asimismo, a los efectos previstos en el artículo 58.2.d) del RGPD, en dicho acuerdo de
inicio se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la
imposición a la entidad BBVA de la obligación de adoptar las medidas necesarias para
adecuar a la normativa de protección de datos personales las operaciones de tratamiento que
realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos
prestan su consentimiento para la recogida y tratamiento de sus datos personales, con el
alcance expresado en los Fundamentos de Derecho del repetido acuerdo y sin perjuicio de lo
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

7/146

que resulte de la instrucción.

NOVENO: Notificado el citado acuerdo de inicio, BBVA presentó escrito de alegaciones en el
que solicita que se dicte resolución por la que se declare la nulidad de pleno derecho del
procedimiento por los motivos que se exponen en su alegación primera siguiente o, en su
defecto, se acuerde su archivo. En síntesis, la citada entidad basa su petición en las
consideraciones siguientes:

1. La fijación del importe de la sanción en el acuerdo de inicio del procedimiento, que se
justifica en el Fundamento de Derecho VI, produce indefensión al interesado que vicia de
nulidad el mismo. Entiende que determinar en dicho acto el reproche sancionador, evaluando
incluso las agravantes concurrentes sin motivarlas mínimamente, sobre las que no ha tenido
ocasión de manifestarse, afecta a la aplicación de los principios fundamentales del derecho
penal, aplicables con ciertas matizaciones al procedimiento administrativo sancionador, como
ha puesto de manifiesto reiterada jurisprudencia.

Considera que el acuerdo de inicio excede del contenido legalmente previsto, por cuanto
únicamente debería incorporar los límites de la posible sanción que pudiera imponerse, y no
determinar una cuantía específica que implica la valoración sumaria de las circunstancias
concurrentes. El acuerdo dictado va más allá de lo admitido en el artículo 68.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los
Derechos Digitales (en lo sucesivo LOPDGDD).

Esta valoración anticipada y carente de motivación de la responsabilidad de BBVA, indicando
incluso las atenuantes y agravantes, aunque sea por su mera mención, y aun cuando se
pretenda dejar a salvo lo que proceda finalmente en función de la instrucción, a juicio de esa
entidad, se realiza inaudita parte, sin alegación alguna de la imputada que permitiera al
órgano sancionador valorar las circunstancias apreciadas a la luz de dichas alegaciones,
generando indefensión a la parte.

Produce, igualmente, indefensión el hecho de que la cuantía procede de la mera enumeración
de circunstancias, sin exponer el modo en que afectan a la responsabilidad.

Se trata de una cuestión que afecta a la imparcialidad del órgano instructor designado en el
mismo acuerdo de inicio de procedimiento, que conoce antes de iniciar el procedimiento el
criterio del órgano al que finalmente elevará el expediente, del que depende jerárquicamente.
Ello supone una ruptura del principio de separación entre la fase instructora y de sanción
(artículo 63.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas -en lo sucesivo LPACAP), privando al instructor de un
conocimiento objetivo de los hechos y de la posibilidad de realizar una valoración de las
circunstancias derivadas de la instrucción.

Por otra parte, se cita el artículo 85 de la LPACAP para especificar en la parte dispositiva del
acuerdo de apertura las reducciones que conlleva el reconocimiento de la responsabilidad o el
pago voluntario de la sanción. Sin embargo, considera la entidad BBVA que este precepto
establece que la cuantía de la sanción pecuniaria podrá determinarse “iniciado el
procedimiento sancionador” y que el mismo sólo es aplicable a supuestos que dan lugar a la
imposición de una multa de carácter fijo y objetivo. En el presente caso, la sanción no es fija y
tampoco necesariamente de carácter pecuniario, dado que el RGPD establece una amplia
gama de posibles sanciones y medidas correctoras, incluida la realización de una advertencia.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

8/146

2. Es causa que justifica el archivo de las actuaciones la inexistente vinculación entre las
reclamaciones formuladas con el objeto del procedimiento y el contenido del expediente
administrativo, por cuanto los hechos supuestamente infractores que se invocan no pueden
ser el fundamento en que se apoya la AEPD para la apertura del presente procedimiento, ni
las supuestas vulneraciones pueden sustentar la sanción pretendida.

Se analiza el alcance de la Política de Privacidad sin vincular ningún razonamiento al
contenido de las reclamaciones y sin que conste ninguna actuación desarrollada por la AEPD
que motive la apertura del procedimiento. A este respecto, señala que la Agencia se ha
limitado, en las fases previas, a trasladar la reclamación a la DPD de la entidad, salvo la
relativa al reclamante 2, y a acordar su admisión a trámite una vez recibidas las aclaraciones
de la citada DPD.

Así lo entendió la Audiencia Nacional en Sentencia de 23/04/2019 (recurso 88/2017), que
anula la sanción de la AEPD, entre otras razones, por existir discrepancia entre lo denunciado
y el objeto de la resolución sancionadora:

“Considera esta Sala, que los hechos probados de la resolución no resultan ajustados a las exigencias
que, a tenor de los principios expuestos, deben respetarse en un procedimiento sancionador.
En primer lugar porque tales hechos probados, aparecen totalmente desconectados de los hechos
denunciados, y que motivaron la apertura de unas actuaciones previas de investigación, ya que
ninguna mención se hace en dichos hechos probados acerca de las conductas denunciadas por los
tres intervinientes en el procedimiento, prescindiendo totalmente la AEPD del resultado de las
investigaciones realizadas a raíz de dichas denuncias, así como de las numerosas pruebas
practicadas.
El relato de “hechos probados”, tanto en el procedimiento penal como en el administrativo sancionador,
resulta fundamental para fijar los hechos y las conductas tipificadas, ya que solo así se viene a respetar
el principio de tipicidad, que, según la doctrina es “la descripción legal de una conducta específica a la
que se conectará la sanción administrativa”. Este principio es solo la proyección de la necesidad de
certidumbre que debe guiar el ejercicio de la potestad sancionadora de la Administración que recoge el
artículo 25.1 CE y su fundamento se encuentra en el respeto de otros dos valores como son la libertad
y la seguridad jurídica”.

Al propio tiempo, la AEPD ha puesto de manifiesto a lo largo de todo el expediente una
manifiesta inactividad, teniendo en cuenta que admitió a trámite la reclamación de los
reclamantes 1 y 2 con fecha 01/02/2019, la última de ellas sin su traslado previo a la DPD, y
que ni siquiera se respondió la solicitud remitida por BBVA el 21/02/2019 solicitando
información sobre el estado de la reclamación (no se informó sobre su admisión a trámite).
Posteriormente, sin ninguna actuación adicional, se admitieron otras tres reclamaciones antes
de dictar el acuerdo de inicio. Es decir, se mantuvo abierta la fase previa de investigación
durante diez meses sin ninguna actuación tendente a investigar el contenido de la
reclamación. Podría considerarse que la AEPD esperó que se produjera un número de
reclamaciones que estimara significativo, en este caso, cinco, aunque versaran sobre
cuestiones distintas, para reactivar un procedimiento que permanecía “suspendido” desde las
primeras admisiones a trámite, y que versa únicamente sobre la “Declaración de Actividad
Económica y Política de Protección de Datos”, en poder de la AEPD desde la presentación de
la reclamación por el reclamante 2, en fecha 09/12/2018. Nos encontramos ante un supuesto
en que la autoridad considera necesario dejar transcurrir un lapso de tiempo desde la
admisión a trámite de una reclamación relacionada con un tratamiento concreto, para
constatar si la conducta se debe a un fallo puntual o estructural del responsable.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

9/146

Durante ese tiempo, BBVA actuó con la confianza de que, siendo la Agencia conocedora de
las circunstancias manifestadas en las reclamaciones y no habiendo tenido lugar actuaciones
de investigación u otra índole, no se apreciaba la existencia de irregularidad. Cabría
plantearse si no ha sido la inacción de la AEPD durante esos diez meses la que ha agravado
el reproche que ésta aprecia concurrente en BBVA, dado que la Agencia conocía la Política
de Privacidad y no advirtió sobre la admisión a trámite de las reclamaciones o la eventual
ilicitud de esa Política de Privacidad. El reproche derivado de su mantenimiento en el tiempo
debería ser imputable a quien mantuvo oculta esa opinión.

Sobre las concretas reclamaciones formuladas, señala que muestran elementos comunes que
ilustran el buen hacer de BBVA en el respeto a la normativa de protección de datos
personales, que representan un porcentaje ínfimo e irrelevante del amplio universo de
tratamientos que lleva a cabo y el número de clientes. A este respecto, aporta certificado
emitido por la DPD relativo al año 2019, señalando que, de un total de clientes personas
físicas de ocho millones treinta y un mil, recibió novecientas seis comunicaciones y solamente
seis se referían a comentarios sobre la Política de Privacidad. Entiende que ello demuestra
que los clientes no han considerado vulnerados sus derechos, a excepción de los cinco
reclamantes.

Como elementos comunes a todas las reclamaciones, destaca los siguientes:

. Todos los interesados/reclamantes pudieron optar entre todas las alternativas ofrecidas y
gestionar su consentimiento al tratamiento de sus datos cuando formalizaron el documento y
pudieron cambiar sus preferencias a través de múltiples canales, respetando así el poder de
disposición de los afectados.
. Ha respetado los derechos ejercitados, dando respuesta en tiempo y forma a las
revocaciones de consentimientos o ejercicios de derechos de oposición. Así ha ocurrido en el
caso de alguno de los reclamantes.
. En los supuestos en que el reclamante muestra su disconformidad con la forma de obtener
el consentimiento, el mismo había hecho uso de los mecanismos puestos a su disposición, ya
fuera en el momento de suscribir la “Declaración” o posteriormente de forma telemática.
Resulta contradictorio, a juicio de BBVA, que la firma del documento acompañada de la
marcación de las casillas deba considerarse una acción afirmativa y la misma firma del
documento sin marcar las casillas no tenga, según la Agencia, el mismo alcance o naturaleza
de acción afirmativa (consentimiento implícito, distinto del tácito, presunto o inacción).
. Cuando ha tenido lugar un error, como en el caso del reclamante 4, ha sido reconocido y
reparado con diligencia máxima, habiendo dado lugar al desarrollo de un gran número de
actuaciones para dar pleno cumplimiento de la normativa (también con ocasión de las
reclamaciones).

Seguidamente, BBVA dedica una parte de esta alegación segunda a poner de manifiesto
algunas consideraciones específicas de cada una de las reclamaciones:

a) El reclamante 1 se refiere al envío de publicidad a través de SMS, realizado con el
consentimiento del interesado, como se puso de manifiesto en la respuesta efectuada en el
marco del E/08334/2018, y se atendió de inmediato su derecho de oposición. No existe
ninguna queja o reclamación posterior.

b) La reclamación presentada por el reclamante 2 no fue conocida por BBVA hasta la apertura
del procedimiento, por lo que no ha tenido oportunidad de desvirtuar las acusaciones
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

10/146

realizadas sobre la Política de Privacidad, el funcionamiento de la aplicación o la licitud del
tratamiento de los datos. En este caso, se atendió el derecho de oposición al tratamiento de
los datos con fines comerciales; y así aparecía marcado en el documento cuya firma le fue
requerida al descargar la APP. El proceso de descarga ofrece al cliente la posibilidad de
decidir sobre los tratamientos y finalidades, tal y como realizó el reclamante, e informa de las
consecuencias de esas decisiones, sin que ninguno de los mensajes que aparecen
condicione al interesado. El resultado fue que, a través de la aplicación, durante el proceso de
obtención del consentimiento, pudo gestionar el uso de los datos de forma libre e informada.
Aporta copia impresa del proceso “hazte cliente” que sigue la aplicación, que incluye la
contratación de una cuenta online. Este proceso ofrece al interesado información básica en
materia de protección de datos, cuyo contenido coincide con el recogido en Anexo 1, y un
enlace a la información ampliada. Asimismo, en ambos procesos se solicita el consentimiento
al interesado para el tratamiento de sus datos… y se ofrece al mismo la posibilidad de marcar
distintas opciones sobre el consentimiento para el tratamiento de sus datos personales, que
coinciden con las habilitadas en la “Declaración de Actividad Económica y Política de
Protección de Datos”.

c) En contra de lo que se indica en el acuerdo de inicio, BBVA dio respuesta al traslado
efectuado por la AEPD de la reclamación presentada por el reclamante 3 (expediente
E/04690/2019) y también respondió al propio reclamante, si bien estas respuestas no han
sido incorporadas al expediente. BBVA bloqueó la cuenta de este cliente conforme a lo
previsto en la Ley 10/2010, de 28 de abril, de Prevención de Blanqueo de Capitales y de
Financiación del Terrorismo, hasta la firma de la “Declaración de Actividad Económica y
Política de Protección de Datos Personales”, que tuvo lugar en dos ocasiones (en oficina y a
través de la aplicación móvil), y en ambas el interesado incorporó sus preferencias sobre la
negativa a recibir publicidad. Plantea nuevamente si no ha de considerarse una acción
afirmativa la suscripción de la política de privacidad y la marcación de una de las casillas
habilitadas, o si existe diferencia entre esa acción y la suscripción de dicha política sin marcar
ninguna de las casillas; todas ellas fácilmente accesibles, inteligibles, sencillas y claras.
Añade que no consta ninguna queja de este cliente, más allá de la reclamación formulada
ante la AEPD.

Aporta copia de un escrito de respuesta al traslado de la reclamación efectuado en el marco
del expediente E/ 4690/2019, fechada el 21/06/2019 y un justificante de su envío a esta
Agencia a través de correo postal en la misma fecha. Esta respuesta, cuyo contenido
coincide, básicamente, con lo expresado anteriormente, acompaña copia de las declaraciones
de actividad económica y política de protección de datos personales cumplimentados con los
datos personales del reclamante 3, fechada 17/01/2019 y 11/02/2019; la primera de ellas
firmada y la segunda sin firmar. En ambas declaraciones figuran marcada la opción “No
quiero que BBVA trate mis datos para ofrecerme productos y servicios de BBVA, del Grupo
BBVA y de otros personalizados para mí por email”.

d) Los antecedentes relativos al reclamante 4 constan en el expediente E/06420/2019, que
explican suficientemente los hechos. En este caso, hasta el momento de la oposición BBVA
estaba habilitado para el envío de comunicaciones comerciales como la denunciada y cesó en
estos tratamientos tras el ejercicio del derecho, si bien se envió un SMS con posterioridad
debió a un error puntual de escasa injerencia, cometido por un gestor de una oficina, que fue
subsanado de inmediato y dio lugar al envío de comunicaciones sobre las políticas adoptadas
a la red de oficinas. Estos hechos no justifican el reproche que se pretende. Añade que BBVA
no tuvo constancia del archivo de actuaciones o de la admisión a trámite hasta el acuerdo de
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

11/146

inicio del expediente sancionador.

Dice Aportar documentación acreditativa de los extremos indicados. Sin embargo, únicamente
aporta lo que parecen ser mensajes dirigidos a clientes particulares, pymes o autónomos con
información relativa a protección de datos personales, a la entidad o comerciales. Algunos de
ellos tienen fecha de mayo y julio de 2018, febrero de 2019 y uno final de 24/09/2019, pero no
incluyen ninguna indicación que relaciones estos supuestos mensajes con el reclamante 4.

e) Se remite al contenido de la información facilitada con ocasión del expediente
E/08740/2019, que demuestra que BBVA fue respetuoso con las decisiones del reclamante 5
en relación con la utilización de sus datos. En este caso, el reclamante 5 suscribió la repetida
declaración en dos ocasiones, no manifestando su negativa a los tratamientos en la primera
ocasión y haciéndolo en la segunda.

3. Sobre el cumplimiento del principio de transparencia y del derecho de información a sus
clientes acerca del tratamiento de sus datos, BBVA expone lo siguiente:

A) Con carácter previo, se refiere dicha entidad al alcance, contenido y obligaciones derivadas
del principio de transparencia, según aparece regulado en la normativa aplicable e
interpretado por la propia AEPD, el conjunto de las Autoridades europeas, el Grupo de Trabajo
del artículo 29 y, posteriormente, el Comité Europeo de Protección de Datos. Realiza una
exposición sobre los requisitos de la información que derivan del citado principio, la
información que ha de facilitarse, el modo en que debe proporcionarse y sobre el sistema de
niveles o capas que puede utilizarse.

De lo expresado en estos apartados, cabe significar las indicaciones que BBVA incluye sobre
cuestiones o aspectos reseñadas en el acuerdo de inicio del procedimiento que, a su juicio,
no se corresponden con las exigencias establecidas por las normas analizadas. En concreto,
BBVA señala que la obligación de informar a los interesados acerca de los datos o categorías
de datos objeto de tratamiento no está prevista en el artículo 13 del RGPD; y solo se exige en
el artículo 14 del mismo texto para supuestos en que los datos no se recaban del interesado,
si bien esta obligación se refiere a las categorías de datos y no a los concretos datos objeto
de tratamiento.

Asimismo, destaca también que los artículos 12 a 14 del RGPD no exigen “al responsable del
tratamiento proveer a los interesados de información tan detallada que incluya las
características que no posee el tratamiento, es decir, no procederá informar acerca de, por
ejemplo qué datos o categorías de datos no son objeto de tratamiento o de las finalidades
para las que no se tratarán los datos, como por ejemplo, del hecho de que no se elaboran
perfiles”.

Y tampoco exigen aquellos artículos, “cuando un tratamiento esté basado en el interés
legítimo del responsable o de un tercero, se incluya en la información que se proporcione a
los interesados el juicio de ponderación llevado a cabo para comprobar que los derechos o
intereses de los afectados no prevalecen sobre dicho interés legítimo, pese a que la AEPD
reprocha a esta parte en el Acuerdo de Inicio el no haber informado acerca de la mencionada
ponderación”.

B) BBVA relata en este apartado los trabajos y estudios previos que, desde noviembre de
2016, llevaron a cabo para la adecuación de sus actuaciones al RGPD, la implementación de
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

12/146

medidas y la definición de la Política de Privacidad, que contemplaron la revisión de sus
procesos para el ejercicio de derechos, obtención del consentimiento de los interesados,
portabilidad de los datos, medidas de seguridad y establecimiento de procesos internos y
externos. En marzo de 2017 se revisó la política de privacidad en una nueva “Cláusula
LOPD”, se analizó cómo obtener el consentimiento inequívoco de nuevos clientes, incluyendo
una serie de casillas en la citada Cláusula LOPD con un texto claro y sencillo, y se diseñó una
estrategia para informar a los interesados, para acabar aprobando en junio de ese año el plan
definitivo de elaboración de la nueva cláusula, que fue sometida a investigación por terceros
para ser testada con clientes. Las conclusiones se presentaron en octubre de 2017 y en
marzo de 2018 se presentó el modelo definitivo del texto incluido en la Cláusula LOPD para la
obtención del consentimiento.

BBVA aporta copia del análisis llevado a cabo por la propia entidad sobre el impacto del
RGPD en su actividad y las líneas de trabajo, medidas y actuaciones que conforman el plan
de adaptación; copia del plan definitivo de elaboración de la nueva Cláusula LOPD; y un
extracto de la presentación realizada en octubre de 2017 sobre las conclusiones de estos
trabajos.

Según BBVA, el mencionado plan consistía en la redacción de un borrador del texto de dicha
cláusula y en la realización por terceros externos de una investigación con clientes,
diferenciando entre clientes que se relacionan con la entidad por medios electrónicos y los
que no, a efectos de validar el contenido y formato de dicho texto, testar la comprensión del
mismo y analizar los canales óptimos para contactar con los interesados y recabar su
consentimiento.

En concreto se realizaron dos investigaciones:

. Manifiesta BBVA que la primera investigación consistía en optimizar la eficacia de la
comunicación a clientes, de modo que, respetando en todo caso las exigencias del RGPD, la
cláusula permitiera captar la atención de los clientes para lograr la aceptación de los
tratamientos basados en el consentimiento. Se llevaron a cabo entrevistas a usuarios de
banca online (web y app) presentando los nuevos modelos de cláusula.

Según BBVA, los resultados de esta investigación mostraron que casi el 90% de los
entrevistados aceptaban los diversos tratamientos basados en su consentimiento y que, en
los casos en que no lo hacían, el rechazo se centraba exclusivamente en la recepción de
comunicaciones comerciales, sobre todo de terceros.

Sobre esta investigación, en el documento aportado por BBVA, correspondiente al extracto de
la presentación realizada en octubre de 2017 sobre las conclusiones de estos trabajos, se
dice lo siguiente:

13/146

provocando el rechazo de más finalidades y no solo las comunicaciones comerciales; la no aceptación
de las finalidades se centra en el rechazo de cualquier tipo de comunicación comercial (especialmente
de terceros); se echa en falta el beneficio cliente: cuesta identificar el beneficio en el día a día al
aceptar el uso de sus datos, la aceptación o rechazo de las condiciones no tendrá ninguna repercusión;
en mobile se presta menos atención: se vincula a una actualización y se lee menos (se acepta
directamente)”.
“Consideraciones generales: en general los clientes no se detienen en la pantalla y los que lo hacen
leen en “diagonal”. Aceptan sin leer ya que la confianza en BBVA es elevada y propicia un análisis
menos exhaustivo de la cláusula”.

. Sobre la segunda investigación, BBVA señala en su escrito de alegaciones que tenía por
objetivo determinar la estructura y diseño óptimo de la Cláusula LOPD a efectos de mostrar el
mensaje de forma que no desvíe la atención de la intención principal del cliente y adaptar el
texto de las casillas para prestar el consentimiento de forma que los clientes sean plenamente
conscientes de las consecuencias que tendrá su otorgamiento o su denegación. Para ello se
realizaron entrevistas a clientes y no clientes.

En relación con esta investigación, en el extracto de las conclusiones se dice lo siguiente:

“Objetivo: adaptar los mensajes para que el cliente acepte las condiciones consciente de la pérdida que
supondría no hacerlo”.

En esta investigación se comprueba el porcentaje de aceptación según la estructura y
contenido del “checkbox”. En todos los casos analizados se solicita la marcación de la casilla
en caso de no autorizar el uso de los datos con la finalidad de que se trate.

C) Sobre el contenido de la Política de Privacidad, destaca que sigue las recomendaciones
contenidas en la Guía elaborada por la AEPD. Se organiza en torno a una serie de preguntas
y se agrupan las finalidades, con una información básica y otra adicional, ambas con los
mismos apartados.

En relación con la finalidad 2 “Para conocerte mejor y personalizar la experiencia”, advierte
que no implica la remisión de ofertas comerciales personalizadas, sino que los tratamientos
que se describen se refieren al análisis y valoración de los datos de los clientes, pero no al
envío de publicidad. Las únicas comunicaciones que se mencionan en este apartado son las
felicitaciones. En la información ampliada se informa que la base de legitimación es el interés
legítimo y se indica el concreto interés que se persigue. En ambos apartados se recuerda la
posibilidad de oponerse a este tratamiento.

La finalidad 3 “Ofrecerte productos y servicios de BBVA, del Grupo BBVA y de otros
personalizados para ti” es la que se refiere al envío de todo tipo de comunicaciones con fines
comerciales, a través de los canales que se indican.

La finalidad 4 también hace referencia a fines comerciales, pero se describe la comunicación
de los datos a otras entidades del Grupo para que sean éstas las que directamente se
comuniquen con el cliente, siempre que así lo haya autorizado. Se identifican las entidades
receptoras, la finalidad y las categorías de datos que serán comunicados.

La finalidad 5 detalla los tratamientos realizados por BBVA para “Mejorar la calidad de los
productos y servicios”, si bien, como se indica en la “Información Ampliada”, la información
obtenida del uso de productos, servicios y canales de BBVA está anonimizada y, por tanto,
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

14/146

excluida del ámbito de aplicación de la normativa. Aun así, se decidió someter esta finalidad al
consentimiento del cliente.

D) En relación con las valoraciones llevadas a cabo en el Acuerdo de Inicio sobre la Política
de Privacidad, BBVA manifiesta lo siguiente:

. Como consideración previa, reitera que no entiende los criterios que han determinado el
inicio de procedimiento y los importes de sanción propuestos por unas reclamaciones que no
guardan relación con los hechos que justifican dicha apertura; y que de entre los distintos
poderes correctivos se haya optado por el más grave, en lugar de otras alternativas que
hubiesen permitido la corrección de una hipotética situación de incumplimiento.

Entiende que es necesario tener presente el entorno y la problemática que ha supuesto la
interpretación de las previsiones del RGPD, a la que no se ha abstraído la propia Agencia; y
cita el “Informe sobre políticas de privacidad en Internet. Adaptaciones al RGPD” para señalar
que es una muestra de esas dificultades, si bien sus conclusiones no supusieron el mismo
reproche.

Además, entiende BBVA que se utiliza el procedimiento para la adopción de criterios
generales de interpretación de las normas de protección, lo cual no es admisible a la luz de la
doctrina de la Audiencia Nacional.

. Dedica este subapartado a analizar el contenido del Acuerdo de Inicio en lo que respecta a
la información facilitada a los clientes por BBVA.

El procedimiento se inicia por vulneración el artículo 13 del RGPD, pero se hace referencia al
incumplimiento de la obligación de informar a los interesados sobre las categorías de los
datos personales tratados, que se exige en el artículo 14 de dicho Reglamento y no en el 13.
Aun así, BBVA incluye las categorías de datos al inicio de la información ampliada, siguiendo
el ejemplo publicado en la “Guía para el cumplimiento del deber de informar” de la AEPD,
añadiendo, además, una descripción de la tipología de datos, ofreciendo información más
exhaustiva de lo que la propia EAPD sugiere en la mencionada Guía.

Por otra parte, la Agencia, en el repetido acuerdo, da a entender que debería informarse
sobre qué datos concretos se utilizan para cada tratamiento, a pesar de que esta exigencia no
está prevista en el RGPD ni en ninguna directriz publicada por la Agencia, el GT29 o el EDPB.

De la misma forma, tampoco ningún texto indica que deba informarse sobre los datos o
tratamientos que no realiza el responsable. Considera meras conjeturas sin prueba alguna las
indicaciones sobre qué podría ocurrir si entre la información recabada por el Banco a partir del
uso de productos, servicios y canales del BBVA integrara información relativa a “la cuota
sindical… o cuotas abonadas a partidos políticos, o entidades de carácter religioso, o por el
uso de servicios prestados por entidades sanitarias o religiosas”, esto es, categorías
especiales de datos personales. Lo cierto, añade BBVA, es que la política de privacidad no
hace alusión a estos datos o tratamientos simplemente porque no se realizan.

Si se añadiesen todos los detalles que ahora parece exigir la AEPD, daría lugar a un texto
extenso y previsiblemente poco comprensible, dando lugar a cansancio o fatiga informativa,
que proscriben tanto la Agencia como el GT29.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

15/146

En la misma línea, la Agencia indica que la información facilitada no permite al interesado
tener una idea clara sobre los datos que se comunicarán a las entidades del Grupo. A este
respecto, el citado artículo 13 del RGPD exige informar sobre los destinatarios o categorías
de destinatarios de los datos personales, sin mencionar la categoría de datos. Aún así, se
informa que se facilitarán los datos identificativos, de contacto y datos transaccionales, para
que pueda el interesado recibir ofertas comerciales. Los datos transaccionales se detallan en
la descripción de la finalidad 4 (importes de ingresos y gastos, saldos y utilización de nuestros
canales).

La AEPD lleva a cabo una interpretación del artículo 13 del RGPD que excede de su
contenido y de su propia interpretación. Con ello, estaría dictando nuevas directrices sobre el
contenido del deber de informar más exigente que el indicado en su Guía, utilizando para ello
un procedimiento sancionador en claro perjuicio de BBVA. A este respeto, cita la Sentencia de
la Audiencia Nacional de 23/04/2019 (recurso 88/2017), que declaró contrario a los principios
del derecho sancionador el establecimiento de criterios generales en el seno de un
procedimiento sancionador.

También la Agencia considera inadecuada o insuficiente la información facilitada en relación
con la finalidad 2 “Conocerte mejor y personalizar tu experiencia”, y señala dicha Autoridad de
control que se informa sobre la realización de ofertas personalizadas y la mejora de productos
y servicios con base legal en el consentimiento del interesado y en el interés legítimo. Sin
embargo, en la descripción de esa finalidad se habla de valorar nuevas funcionalidades,
productos y servicios y valorar ofertas personalizadas, pero no se hace alusión a la remisión
de ofertas comerciales o publicitarias. La finalidad 2 permite conocer el canal que prefiere el
cliente, qué productos tienen un mejor funcionamiento, qué nuevos productos podrían ser
interesantes para los clientes, responder a un cliente que se interesa por los productos de la
entidad ofreciendo aquellos que se ajustan a sus necesidades. En este sentido, la descripción
realizada en la finalidad 2 se refiere únicamente a la realización de un perfilado interno de
clientes para personalizar su experiencia o responder más eficientemente a sus solicitudes.
La remisión de publicidad, que puede estar basada en dicho perfil, se enmarca en la finalidad
3, cuya base de legitimación es el consentimiento.

Sólo la finalidad 2 se refiere al uso del perfil. En este sentido, añade BBVA, las expresiones
poco claras e imprecisas a las que se refiere la Agencia, tales como “personalizar tu
experiencia”, “ofrecerte productos y servicios personalizados” o “perfil comercial”, son
sustancialmente parecidas a las contenidas en el ejemplo de segunda capa de la página 11
de la “Guía para el cumplimiento del deber de informar” de la AEPD: “poder ofrecerle
productos y servicios de acuerdo con sus intereses”, “mejorar su experiencia de usuario”,
“elaboraremos un perfil comercial”.

En definitiva, la finalidad 2 describe los tratamientos para realización de perfiles y su uso no
comercial; mientras que la finalidad 3 los tratamientos que, pudiendo aprovechar dicho perfil,
conlleva la remisión de ofertas comerciales.

Adicionalmente, y en contra de lo señalado por la AEPD, en la finalidad 2 se informa de cómo
se elabora el perfil del cliente y que para lograrlo se analizan diferentes datos, que se detallan
a continuación, y se expresa la posibilidad de oponerse al tratamiento.

Por otra parte, en cuanto a los reparos indicados por la AEPD por no informar sobre los
concretos intereses legítimos en que se basa el BBVA para estos tratamientos, advierte que
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

16/146

esa información se incluye en el apartado “¿Por qué razón utilizamos tus datos personales?”,
en el que se detallan las bases que legitiman el tratamiento (“… para que desde BBVA
podamos atender mejor tus expectativas y podamos incrementar tu grado de satisfacción
como cliente al desarrollar y mejorar la calidad de productos y servicios propios o de terceros,
así como realizar estadísticas, encuestas o estudios de mercado que puedan resultar de
interés… para ser un banco cercano a ti como cliente…”).

Por último, manifiesta que la política de privacidad no menciona la existencia de decisiones
automatizadas reguladas en el artículo 22 del RGPD dado que no se llevan a cabo. Las
decisiones a las que se refiere el apartado relativo a la finalidad 2 no encajarían en el régimen
establecido en el artículo 22 del RGPD, toda vez que no producirían efectos jurídicos en los
destinatarios de la publicidad que hubiera sido remitida ni podría considerarse que dicha
remisión afecte significativamente de modo similar a los clientes.

4. De la existencia de una base jurídica para el tratamiento de los datos de los clientes de
BBVA.

A) Licitud de los tratamientos de datos realizados sobre la base del interés legítimo
prevalente.

Como se ha indicado, esta cuestión tiene que ver con los tratamientos que se realizan con la
finalidad de “Conocerte mejor y personalizar tu experiencia” (finalidad 2), que en ningún
momento se refiere al envío de comunicaciones comerciales que BBVA basa en el
consentimiento del interesado. Aquellos tratamientos consisten únicamente en el análisis del
comportamiento de los clientes en relación con los canales, productos y servicios ofertados
por BBVA para obtener indicadores que le permitirán ajustar adecuadamente su modelo de
negocio, desarrollar y mejorar su cartera de productos y servicios, ajustándolos a las
preferencias de los clientes, así como la calidad de los servicios. Sólo si cuenta con el
consentimiento del interesado, podrá aplicar el resultado de ese tratamiento para la remisión
de comunicaciones comerciales a los clientes (finalidad 3). No existe, por tanto, confusión
alguna entre ambos tratamientos

A este respecto, la Agencia concluye que la base jurídica del artículo 6.1 f) del RGPD no es
aplicable a estos tratamientos considerando que no se exponen claramente los intereses
legítimos de BBVA (a partir de una definición incompleta del interés legítimo contenida en el
glosario), no se informa de la evaluación de la prevalencia del interés legítimo y porque la
cláusula explicita las expectativas razonables de los interesados que BBVA aprecia que
concurren en los mismos.

Considera BBVA que ninguno de esos argumentos permite alcanzar la conclusión pretendida
por la Agencia debido a que el interés legítimo no fundamenta, como se ha dicho, el envío de
comunicaciones comerciales.

Además, la información ampliada detalla el interés legítimo de BBVA (atender mejor las
expectativas del cliente e incrementar su grado de satisfacción, desarrollar y mejorar la
calidad de sus productos y servicios, así como realizar estadísticas, encuestas o estudios de
mercado); la AEPD no ha probado que no se haya realizado la prueba de ponderación y la
norma no exige que esta información se traslade a los interesados. BBVA considera que no
debe ser de conocimiento público.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

17/146

Por otra parte, entiende contradictorio que se objete la ausencia de la ponderación y se
considere, al tiempo, excesivo que BBVA explicite qué entiende que los clientes esperan de
su entidad financiera, cuál es su expectativa razonable, elemento capital para determinar la
prevalencia del interés legítimo de un responsable del tratamiento.

En base a ello, entiende la Agencia que dicha expectativa es inducida por BBVA y que los
clientes no esperan razonablemente que se utilicen sus datos para mejorar los productos y
servicios y mejorar la experiencia del cliente. A este respecto, en un estudio realizado en
2018 por BBVA entre sus nuevos clientes, consultados sobre lo que esperan de la entidad, las
primeras respuestas fueron, por este orden, la obtención de un trato personalizado, en buen
servicio en la oficina, herramientas y productos sorprendentes o la oferta de productos de
ahorro o inversión adaptados (según el documento aportado por BBVA, este resultado
corresponde a la pregunta “¿Qué aspectos son para usted más importantes y qué espera
recibir de BBVA en esta nueva relación?”). Así, la referencia efectuada en la Política de
Privacidad a la expectativa razonable responde al resultado del análisis efectuado por la
propia entidad.

Entender que la expectativa razonable ha de permanecer oculta, que al ponerla de manifiesto
en la cláusula informativa pierde su carácter de expectativa, es contrario a la lógica y
perjudica la obligación de garantizar la mayor claridad de la información.

En relación con las afirmaciones de la Agencia sobre la posibilidad de que la utilización de los
datos con la finalidad de conocer mejor al cliente puede conllevar un análisis exhaustivo sobre
el mismo, que se funda en la posible utilización de datos ajenos a los productos contratados,
recabados del uso de productos, servicios y canales de BBVA; entiende la entidad que se
trata de meras conjeturas que no responden a la realidad de los tratamientos llevados a cabo.
BBVA no realiza estos tratamientos, tal y como se expone en la información relacionada con
un proyecto de BBVA, denominado “Customer Data Cube”, en el que se indican los datos que
se utilizan en el marco de las finalidades basadas en el interés legítimo para realizar modelos
predictivos sobre las propensiones de los clientes a determinados productos o
recomendaciones, que no guardan relación con la identificación de emisores de las ordenes
de cargo o abono ni se tratan de forma agregada, y solo se diferencia si se trata de “recibos
básicos” o “recibos no básicos”. Ninguno de esos datos incluye información que no se refiera
al comportamiento del cliente en relación con los productos financieros comercializados por
BBVA y únicamente se incluye como dato adicional el riesgo referido al cliente, obtenido de la
CIRBE.

Según el detalle que consta en el documento “Customer Data Cube”, BBVA utiliza las
variables que se indican a continuación, las cuales se calculan sobre un período de tiempo
determinado, sobre la evolución en un período (porcentaje por diferencia entre períodos de
tiempo) o sobre los saldos a una fecha determinada (último día del mes). Además de las
variables que identifican al cliente y las sociodemográficas (edad, clasificación nacional de
ocupaciones, sección censal, sexo, indicador de empleo, se toman en consideración las
variables siguientes (se citan algunos ejemplos):

18/146

indirecto…).
. De recursos (importe, evolución y media trimestral en plan de pensiones, fondos, renta variable o fija,
seguros de ahorro…).
. De transaccionalidad
. Tarjetas (importes y media trimestral con tarjeta de crédito o débito en comercios, cajeros…).
. Ingresos (importe, tenencia o número de meses de nómina, pensión…).
. Cuentas (media mensual, evolución de los líquidos, descubiertos…).
. Recibos (importe total en un año de recibos básicos y no básicos, número de recibos en un año,
recibos devueltos, media mensual…).
. De seguros (prima, tenencia, número de meses de seguro de hogar, vida…).
. Empresas (importe, evolución y media de avales; de cartera; cesión de nóminas; comercio exterior;
factoring; leasing; pagos certificados; renting…).
. Digitalización e interacción del cliente
. General (bbvanet; banca_mvl, multicanal)
. Uso de canales (días en los que hay eventos de contratación, operación o consulta, según canal
-incluido oficina y telefónico).

Así, el tratamiento analizado se encuentra vinculado al interés legítimo y permite a BBVA
optimizar el modelo de negocio; mejorar la calidad de los productos y servicios ofertados;
perfeccionar la gestión interna y la relación personalizada con el cliente; determinar la
propensión de los clientes a un determinado producto las preferencias en cuanto a canales a
través de los que se relacionan y los colectivos a los que pueden ofrecerse determinados
productos (a éstos no se remiten comunicaciones comerciales salvo que hubiesen otorgado
su consentimiento conforme a la finalidad 3).

En este sentido, considera lógica la existencia de una expectativa razonable de los clientes
sobre el tratamiento de sus datos para diseñar productos que pueden redundar en su interés.

Además, para ello no se tratan datos de terceros vinculados con el cliente en las
transacciones que realiza. Únicamente los datos referidos al comportamiento en relación con
los productos y canales, los cuales cumplen el principio de idoneidad y de necesidad.

Esta conclusión coincide con el criterio sustentado por la AEPD en su informe 195/2017,
emitido a instancia de la Asociación Española de Banca. En el apartado VII analiza la
prevalencia del interés legítimo de las entidades financieras para el análisis de los
movimientos transaccionales y/o capacidad de ahorro del cliente, para realizar observaciones
y ofrecer recomendaciones sobre productos y servicios. Y el mismo informe también se refiere
al tratamiento de la totalidad de las transacciones a fin de poder realizar un perfilado más
detallado que permita concretar con precisión los productos que deben ofrecerse. Y
contempla la adopción de garantías adicionales, como detallar de forma más minuciosa el
tratamiento que va a llevarse a cabo, y particularmente, el hecho de que los datos
transaccionales van a ser empleados para la elaboración de perfiles y ofrecer al interesado la
posibilidad de oponerse específicamente a este tratamiento. Por ello, entiende que la Agencia
estaría actuando contra sus propios actos y vulnerando el principio de confianza legítima.

Finalmente, sobre esta cuestión, señala que la Agencia conjetura sobre los tratamientos que
BBVA estaría realizando, sin disponer de prueba que lo acredite.

B) De la licitud de los tratamientos realizados por BBVA sobre la base del consentimiento de
sus clientes y la conformidad de dicho consentimiento con las normas de protección de datos.

a) Sobre el poder de control del afectado sobre sus datos
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

19/146

El cliente, desde el mismo momento en que gestiona su alta y mientras mantiene la relación,
dispone de un poder y un control absoluto sobre el tratamiento de sus datos, por cuanto se le
ofrece la posibilidad de optar y elegir sus preferencias en relación con las operaciones de
tratamiento que se llevan a cabo, en cualquier momento y a través de los distintos canales
puestos a su disposición presenciales y digitales.

Este poder de control es lo que pretende garantizar la normativa y así se ha pronunciado la
AEPD. En su reciente documento “Control del usuario en la personalización de anuncios en
Android”, al referirse al deber de proporcionar al usuario un control real sobre sus datos
personales, y en el documento “Guía sobre el uso de las cookies” cuando afirma “… la
necesidad de implantar un sistema en el que el usuario sea plenamente consciente de la
utilización de aquellos dispositivos y de la finalidad de su utilización, siendo en definitiva
conocedores del destino de sus datos y las incidencias que este sistema implica en su
privacidad”.

Este resultado es el que se obtiene con los procesos y medios habilitados por BBVA,
ajustados a lo dispuesto en el artículo 7.2 del RGPD, en los que el interesado tiene absoluta
libertad de elección y control sobre sus datos, se presentan las distintas opciones para los
distintos tratamientos y finalidades de forma separada, no remite a documentos que no sean
fácilmente accesibles y utiliza una estructura granular a la hora de suministrar la información,
promovida por el legislador, la AEPD y el GT29 en sus “Directrices sobre el consentimiento en
el sentido del Reglamento (UE) 216/679” en su versión revisada de 10/04/2018.

Se respetan, igualmente, las previsiones del Considerando 32, que admite muchas y distintas
fórmulas para obtener el consentimiento, en la medida en que quede claro que el interesado
acepta la propuesta de tratamiento de sus datos, separadamente para las distintas
actividades de tratamiento realizadas con el mismo o mismos fines; así como la prohibición
contenida en el artículo 7.4 del RGPD, referida a la supeditación de la ejecución de un
contrato a que el afectado consienta el tratamiento de sus datos con finalidades que no
guarden relación con el mantenimiento, desarrollo o control de la relación contractual; y la
referencia del Considerando 43 cuando afirma que “se presume que el consentimiento no se
ha dado libremente… cuando el cumplimiento de un contrato, incluida la prestación de un
servicio, sea dependiente del consentimiento, aun cuando este no sea necesario para dicho
cumplimiento” o a la autorización por separado de las distintas operaciones de tratamientos
de datos personales.

No existe en el Acuerdo de Inicio ningún reproche a estas cuestiones capitales, de modo que
solo parece discutirse la forma en que se ha obtenido el consentimiento.

b) Sobre la obtención del consentimiento mediante la realización de una acción afirmativa de
los clientes.

El GT29, en relación con el carácter inequívoco del consentimiento, se refiere a una acción
por parte del afectado que revele un comportamiento, una manifestación de voluntad o, como
se dice en el RGPD, “una clara acción afirmativa”, lo que supone que el interesado debe
haber actuado de forma deliberada. Por su parte, la “Guía del RGPD para Responsables del
Tratamiento” de la AEPD se refiere a una manifestación del interesado o una clara acción
afirmativa.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

20/146

A este respecto, señala BBVA que ha optado por esta clara acción afirmativa:

. A través de cualquiera de los canales dispuestos, BBVA habilita la firma de la “Declaración
de Actividad Económica y Política de Protección de Datos”, que ofrece al interesado las
distintas opciones en relación con las finalidades adicionales a la gestión de la relación
contractual. La suscripción de este documento es una clara acción afirmativa, que se lleva a
cabo con pleno conocimiento del alcance y consecuencias que conlleva (los propios
reclamantes han gestionado efectivamente sus preferencias). Además, a través de la
aplicación, el interesado tiene a su disposición un procedimiento sencillo para gestionar en
todo momento sus preferencias (reclamante 2).

. El proceso de alta, a través de canales digitales y presenciales indicados, cumple los
requisitos expresados en la “Guía del RGPD para responsables del tratamiento” de la AEPD,
que recuerda que el consentimiento “puede ser inequívoco y otorgarse de forma implícita
cuando se deduzca de una acción del interesado”. Es más, el Acuerdo de Inicio incurre en
contradicción dado que la AEPD, en relación con el reclamante 2, ha considerado válido el
proceso en el que el cliente ha marcado alguna de las casillas habilitadas para la prestación
del consentimiento, pero no cuando no ha marcado esas casillas y autoriza con su firma el
tratamiento de sus datos personales para las finalidades que se ponen a su disposición. La
firma ológrafa o digital del documento es una clara acción afirmativa que se lleva a cabo con
pleno conocimiento de su alcance, considerando el contenido claro de esas casillas y que, por
su posicionamiento, son claramente visibles y directamente accesibles.
En el ámbito de la gestión de las cookies o tecnologías similares, la autoridad de control ha
admitido como gestiones afirmativas actuaciones tales como navegar en una sección distinta
del sitio web que las utilizaría, cerrar el aviso de privacidad de la primera capa o pulsar sobre
algún contenido del servicio que se ofrece en la web. En este ámbito, el Documento 02/2013
del GT29 señala que “asegurarse de que el comportamiento activo esté cerca de la ubicación
donde se presenta la información es esencial para estar seguro de que el usuario debe remitir
la acción a la información solicitada”. La “Guía sobre el uso de las cookies” de la Agencia
admite como válido un enlace o botón para administrar preferencias junto con la posibilidad
de “aceptar” o “rechazar”, o admite “la pulsación de teclas concretas” como acción afirmativa.
De la misma forma, la no marcación de las casillas y la posterior suscripción del precitado
documento comportan un “movimiento físico” que puede considerarse como una acción
afirmativa clara con arreglo al RGPD, con la que el interesado logra el control sobre sus datos
personales.
Es más, en el régimen del consentimiento explícito, que refuerza el consentimiento “ordinario”
en atención a los tratamientos y datos sometidos al mismo, las Directrices sobre el
consentimiento del GT29 admiten como consentimientos explícitos válidos formulas o
procesos menos exigentes que el implementado por BBVA. Así, en una declaración escrita,
estas Directrices citan un supuesto que podría asimilarse, en el que admite un “si” o un “no”
(ejemplo 17: “Un responsable del tratamiento puede obtener también consentimiento explícito
de una persona que visita su sitio web ofreciendo una pantalla de consentimiento explícito
que contenga casillas de Sí y No, siempre que el texto indique claramente…”). También se
cita como ejemplo, en el contexto digital o en línea, aquel en que un interesado puede emitir
la declaración requerida rellenando un impreso electrónico, enviando u correo electrónico,
cargando un documento escaneado con si firma o utilizando una forma electrónica.

. El consentimiento habilitado por BBVA no puede considerarse un consentimiento por omisión
o por inacción al existir en todo caso una conducta activa del interesado: en soporte papel
inserta la firma en el mismo lugar o teniendo a la vista las opciones que se ofrecen; en el
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

21/146

canal digital, en muchas ocasiones el afectado habrá accedido, navegado por las distintas
pantallas habilitadas para gestionar su consentimiento, habiendo optado, o no, por rechazar
determinados tratamientos.
En este último caso, el proceso comporta la realización de dos acciones:
En primer lugar, el afectado dispone de un documento interactivo incluido como hiperenlace
en el texto que acompaña a una casilla (“he leído y acepto el tratamiento de datos
personales”), cuya marcación es bloqueante para poder continuar con el proceso de alta; el
reiterado documento que se utiliza en este canal está configurado en dos capas: una primera
que incorpora las casillas objeto de discusión, y una segunda capa con información ampliada;
En segundo lugar, tras la recogida de datos personales, el interesado vuelve a tener
disponible el documento con el resultado de la acción afirmativa de forma que, de estar
conforme, debe proceder a su firma.

Por tanto, no hay inactividad o “silencio” que se interprete como un acto de aquiescencia o
aceptación, hay una concreta actividad o, cuando menos, la opción de llevarla a cabo. BBVA,
ni ningún otro responsable, no puede materialmente asegurar que la firma del cliente tiene
lugar después de la lectura pausada de la política de privacidad. No obstante, a fin de
garantizar que dicha acción tenga lugar, facilita reiterados e insistentes mensajes recordando
esa necesidad, de modo que el interesado es responsable de sus decisiones. Y no puede el
responsable completar o sustituir la autonomía de la voluntad del afectado.

Tampoco tiene lugar un consentimiento presunto pues no se produce una declaración o acto
positivo que suponga la aceptación de la política de privacidad en toda su extensión. El
interesado conoce dicha política y opta por elegir sus preferencias ya sea marcando las
casillas, ya sea suscribiendo dicha política de privacidad sin marcarlas.

No hay inacción, por las mismas razones y tampoco se trata de un supuesto de casillas
premarcadas, la continuidad de un servicio o funcionalidad como consecuencia del silencio o
la obtención de un consentimiento en el contexto de la aceptación de un contrato o de los
términos y condiciones de un servicio. Es más, la suscripción del documento es necesaria
para darse de alta como cliente de BBVA, lo que comporta la necesidad de que los clientes
accedan a los documentos, opten por cualquiera de las alternativas que se ofrecen y
suscriban el documento, manifestando su acuerdo o desacuerdo con las concretas
operaciones de tratamiento sometidas a su consentimiento.

C) Del consentimiento solicitado por BBVA como reforzamiento del derecho de los clientes en
tratamientos que podían estar basados en el interés legítimo prevalente de la entidad.

El tratamiento de los datos para la mayoría de finalidades respecto de las que se recaba el
consentimiento de los clientes podía haberse fundado por BBVA en la concurrencia del interés
legítimo prevalente de BBVA, de modo que la entidad, al recabar el consentimiento de los
interesados ha adoptado medidas reforzadas de responsabilidad activa.
Se refiere la entidad a las finalidades 3 y 5 de la Política de Privacidad (ofrecer productos y
servicios personalizados de BBVA, del Grupo BBVA y de otros; y para mejorar la calidad de
los productos y servicios).
A este respecto, recuerda el informe 195/2017 de la AEPD, citado en el apartado A) del
presente punto 4, cuyos apartados VII y VIII son aplicables al supuesto ahora analizado,
referido los tratamientos que una entidad financiera puede amparar en el interés legítimo en
relación con finalidades que, a juicio de BBVA, encajan con las enumeradas como 3 y 5 de la
información básica contenida en la cláusula informativa.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

22/146

A la vista de lo expuesto en ese informe, cabe concluir que la AEPD considera que, en
determinados supuestos y bajo determinadas circunstancias, el tratamiento de datos con la
finalidad de conocer las preferencias del cliente y su comportamiento en relación con los
productos, así como para el establecimiento de perfiles que permitan la remisión de
comunicaciones comerciales personalizadas, se encontraría amparado en el artículo 6.1.f) del
RGPD, lo que excluiría la necesidad de que los clientes prestasen su consentimiento.

Así, la entidad ha reforzado el poder de disposición de los interesados sobre sus datos
personales, permitiendo expresar su negativa u oposición al tratamiento desde el mismo
momento de la recogida de sus datos, sin tener que hacer uso del derecho de oposición en un
momento posterior. Además, el ejercicio de este derecho debe justificarse en algunos
supuestos (“motivos relacionados con su situación particular”), mientras que en la opción
ofrecida el cliente se funda en su única y exclusiva voluntad.

Por ello, de seguirse el razonamiento del acuerdo de inicio, la AEPD estaría considerando
más lesivo solicitar el consentimiento cuando no resulta exigible que informar sobre los
tratamientos que la entidad responsable pretende basar en el interés legítimo prevalente.

En base a todo lo expuesto en el presente punto 4 de las alegaciones de BBVA, esta entidad
concluye que el tratamiento llevado a cabo para la finalidad 2 se encuentra plenamente
fundado en el interés legítimo; los realizados para las finalidades 3, 4 y 5 se fundan en el
consentimiento otorgado por los interesados con todas las exigencias establecidas; y que en
el caso de las finalidades 3 y 5 esa solicitud del consentimiento constituye una medida
reforzada de responsabilidad activa adoptada por BBVA.

DÉCIMO: Mediante escrito de 02/07/2020, notificado a BBVA el día 6 del mismo mes, el
instructor del procedimiento acordó la apertura de un período de práctica de pruebas,
teniéndose por reproducidas a efectos probatorios las reclamaciones interpuestas y su
documentación anexa, así como los documentos y declaraciones obtenidos por la
Subdirección General de Inspección de Datos en relación con dichas reclamaciones en el
trámite de solicitud informativa previa a la admisión a trámite. Asimismo, se tuvieron por
presentadas las alegaciones al acuerdo de inicio formuladas por BBVA y la documentación
que a ellas acompaña.

Por otra parte, se acordó requerir a la entidad BBVA para que en un plazo de diez días
hábiles aportase la información y/o documentación siguiente:

a) Copia del registro de todas las actividades de tratamiento de datos personales efectuadas bajo la
responsabilidad de BBVA a las que se hace mención en el formulario de recogida de datos personales
denominado “Declaración de actividad económica y política de protección de datos personales”, en su
versión inicial, junto con cualquier adición, modificación o exclusión en el contenido del mismo.

b) Copia de la/s evaluación/es del impacto en la protección de datos personales relativa/s a cualquier
tipo de operaciones de tratamiento de datos personales efectuadas bajo la responsabilidad de BBVA,
de las mencionadas en el formulario “Declaración de actividad económica y política de protección de
datos personales”, que entrañen un alto riesgo para los derechos y libertades de las personas físicas,
en su versión inicial y, en su caso, con el detalle de las modificaciones o actualizaciones que pudieran
haberse realizado.

Asimismo, de haberse producido un cambio del riesgo que representen las operaciones de tratamiento
y de haberse estimado necesario, se solicitó el resultado del examen que BBVA haya podido realizar
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

23/146

para determinar si el tratamiento es conforme con la evaluación de impacto relativa a la protección de
datos (artículo 35.11 del RGPD).

c) Copia de los documentos en los que conste la evaluación realizada por la entidad BBVA sobre la
prevalencia o no de los intereses y derechos fundamentales de los interesados frente a los intereses de
BBVA en relación con las operaciones de tratamiento de datos personales efectuadas bajo la
responsabilidad de BBVA, de las mencionadas en el formulario “Declaración de actividad económica y
política de protección de datos personales”, con las que se pretenda la satisfacción de intereses
legítimos perseguidos por la propia entidad BBVA o por un tercero.

d) Copia del informe en el que se recogen los resultados del estudio de opinión realizado entre los
meses de enero y febrero de 2018 entre nuevos clientes, al que BBVA se refiere en la página 44 de su
escrito de alegaciones y el Documento 9 adjunto a dicho escrito.

En atención a lo solicitado por BBVA, el plazo concedido fue ampliado en cinco días
hábiles.

Una vez rebasado el plazo total concedido, con fecha 03/08/2020, se recibió escrito de
respuesta al que BBVA acompañó la documentación siguiente:

A) Evaluación de impacto en la protección de datos personales de los tratamientos
relacionados con la realización de perfilados comerciales.

En este documento se indica lo siguiente:

“La tecnología es la palanca de cambio para redefinir la propuesta de valor centrada en las
necesidades reales de los clientes y ofrecerles una experiencia sencilla, agradable y acorde con sus
intereses, sin disminuir la seguridad. En banca minorista el principal cambio está en la manera en la
que los clientes acceden a los servicios financieros en el futuro. En canales de acceso, el móvil es
fundamental y seguirá creciendo.

En este punto, BBVA se replantea la experiencia del usuario, siendo fundamental la confianza de los
clientes, para poder ofrecerle productos y servicios “personalizados” en base a sus preferencias, y
ayudarle así a tomar decisiones de forma inteligente.

Los datos son la base de la economía digital, y el Banco continúa avanzando en la implantación de las
distintas recomendaciones y sugerencias del defensor del cliente relativas a la adecuación de los
productos al perfil de los clientes y en la necesidad de la información transparente, clara y responsable.

En este contexto se enmarcan los tratamientos de datos que se van a analizar en el presente
documento, cuya base de legitimación es el interés legítimo de BBVA.

No obstante, y para una mejor comprensión, hemos dividido los tratamientos de perfilado de cliente en
cuatro módulos:

. Tratamientos de datos personales para módulos de propensión y uso de canales.
. Tratamientos de datos personales para hechos relevantes.
. Tratamientos de datos personales para analítica de negocio, carterización y encuestas.
. Tratamientos de datos personales para el módulo “ofrecimientos” e insighst.

A continuación se analizan los cuatro módulos mencionados.

I.- Descripción del tratamiento para módulos de propensión y uso de canales

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

24/146

Descripción
Los datos personales se tratan para el diseño de módulos analíticos de propensión a la contratación de
productos y servicios por parte de los clientes de BBVA.
Asimismo, se analiza el uso de canales de comunicación con BBVA por parte del cliente, para
determinar sus preferencias.

Categorías de datos
. Identificativos y de contacto: principalmente para validaciones y uso de direcciones para realizar
deducciones o inferencias tales como, p. e. estimar que una persona que vive en una zona cara tiene
más probabilidades de tener recursos económicos.
. Económicos y de solvencia patrimonial, en particular datos de productos y servicios contratados e
información derivada de ellos.
. Datos transaccionales.
. Datos sociodemográficos.
. Datos incluidos en los servicios de agregación e iniciación de pagos.
. Datos de comunicaciones.
. Datos recogidos sobre el uso de canales”.

Tanto en el modelo de propensión a la contratación de productos y servicios, como en el
relativo a las preferencias de canales, en el apartado “Intervinientes involucrados” se refiere a
“titulares activos”; en “Destrucción” se indica “24 meses (profundidad del tratamiento)” y
“Datos personales usados en el modelo 10 años x Ley de Prevención de Blanqueo de
Capitales”.

En el apartado “Descripción sistemática de las operaciones y finalidades de tratamiento”
correspondiente a estos tratamientos para módulos de propensión y uso de canales se indica:

“Procedimiento para cumplir el deber de información: Se encuentra en el documento de política de
protección de datos personales, que es un documento independiente a cualquier contrato, y de
obligada firma por el interesado en el momento de hacerse cliente…”.
“Procedimiento para la solicitud del consentimiento: No aplica. La base de legitimación es el interés
legítimo”.
“Procedimiento para el ejercicio de derechos: Se explican todos los canales para el ejercicio de
derechos… en el documento de política de protección de datos personales… Este documento está
publicado en su versión más reciente en la página web de BBVA… Además, en cualquier oficina
(sucursal) de BBVA se puede solicitar su ejercicio”.

Apartado “Beneficios para los interesados”:
“Estos tratamientos benefician al interesado en cuanto permiten a BBVA ofrecerle mejor servicio desde
el conocimiento del cliente en particular, pudiendo proponer diferentes modelos de gestión (un gestor
remoto, un gestor presencial o gestores especializados) así como ofrecer al cliente soluciones
personalizadas que le ayuden a gestionar mejor sus finanzas”.

Apartado “Beneficios para la entidad en general”:
“. BBVA puede entender con estos tratamientos qué producto o servicio puede encajar mejor a cada
cliente, anticipándose a las necesidades de éste, siendo esta información muy valiosa para la
planificación del Banco.
. Se trata de una personalización de la tendencia de cada cliente hacia la posible contratación de un
determinado producto o servicio, por lo que el Banco se acerca al comportamiento potencial del cliente,
y esto le ayuda a entenderlo mejor.
. Por otro lado, conocer mejor las preferencias de uso de canales permite a la entidad poder mejorar
aquellos que tienen más éxito, mejorar su calidad y plantearse nuevos canales o el cierre de alguno
existente”.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

25/146

“II.- Descripción del tratamiento para hechos relevantes

Descripción
Se realiza un análisis comportamental de la actividad de las cuentas y tarjetas de cliente, teniendo
en cuenta factores tales como movimientos categorizados por BBVA, frecuencia, periodicidad y
recurrencia, lo que nos permite anticiparnos y predecir movimientos y saldos del cliente, con
impacto potencial en sus finanzas. Esto se conoce como generación de "hechos relevantes",
información muy relevante para el cliente y gracias a este análisis podemos informar a cada uno
en particular de los suyos, permitiéndole actuar y tomar decisiones en beneficio de su economía y
a su debido tiempo.

Categorías de datos
. Identificativos y de contacto.
. Económicos y de solvencia patrimonial (datos de BBVA sin acudir a fuentes externas)
. Datos transaccionales.
. CIRBE
. Ficheros de solvencia patrimonial y de crédito.

Análisis del Tratamiento
Contexto
(…)
Con objeto de atender mejor sus expectativas, y como consecuencia de ello, mejorar su
satisfacción con el servicio de BBVA, para fidelizarlo y que deposite en nosotros su confianza, el
área de DATA en el Banco trabaja en distintos proyectos.

En este contexto interno nace este análisis comportamental que permite la generación de hechos
relevantes, ofreciendo una gran "personalización" de las finanzas de cada cliente, adelantándonos a
sus posibles necesidades financieras para comunicárselo, y ayudarle así a tomar decisiones de forma
más inteligente”.

“los hechos relevantes que se generan se pueden comunicar en dos modos diferentes:
. Vía mensaje de tipo Push en la aplicación móvil del cliente, o
. En un espacio de la aplicación móvil”.

En el apartado “Intervinientes involucrados” se refiere a “titulares activos”; en
“Uso/tratamiento” se indica “Análisis comportamental para generación de hechos relevantes.
Presentación al cliente”; en “Destrucción” se indica “24 meses (profundidad del tratamiento)” y
“Datos personales usados en el modelo 10 años x Ley de Prevención de Blanqueo de
Capitales”.

En el apartado “Descripción sistemática de las operaciones y finalidades de tratamiento” se
incluye la misma información sobre procedimiento para cumplir el deber de información,
procedimiento para la solicitud del consentimiento y procedimiento para el ejercicio de
derechos ya indicada en relación con los tratamientos para módulos de propensión y uso de
canales.

“Beneficios para los interesados
Se trata de realizar análisis sobre las finanzas del cliente orientados a ayudarle con situaciones
financieras que le hayan podido pasar desapercibidas, y que podrían tener un impacto en su
economía, como podría ser la predicción de un pago que pueda generar un descubierto en su
cuenta. También se le podría comunicar un ahorro más alto de lo habitual en sus finanzas, para
que sepa que cuenta con más recursos de lo normal.

Beneficios para la Entidad en General
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

26/146

El Banco amplía y mejora su cartera de productos, con un claro foco en ofrecer lo que el cliente
necesita y en hacerlo con calidad”.

“III.- Descripción del tratamiento para analítica de negocio y encuestas

Descripción
Con objeto de atender mejor las expectativas de los clientes e incrementar su grado de
satisfacción, lo que redunda en la mejora de la calidad de productos y servicios, BBVA realiza
tratamientos de datos para el análisis de su negocio, lo que le permite tomar decisiones para el fin
indicado.
Esto implica perfilar al cliente, para conocer mejor nuestra cartera, identificando nichos de clientes
con un perfil financiero determinado que puedan ser de mayor o menor interés para la entidad. Se
trata de una segmentación por bolsas de valor para BBVA o, internamente, "carterización".
Así, cada nicho tiene distintos objetivos y necesidades respecto de sus finanzas, y este
conocimiento permite tomar decisiones al negocio.
Esto se complementa con la realización de estadísticas, encuestas y en algunos casos, estudios
de mercado.

Categorías de datos

. ldentificativos y de contacto: principalmente para validaciones y uso de direcciones para realizar
deducciones o inferencias tales como, p.e. estimar que una persona que vive en una zona cara
tiene más probabilidad de tener recursos económicos.
. Económicos y de solvencia patrimonial, en particular datos de productos y servicios contratados
e información derivada de ellos (datos internos de BBVA).
. Datos transaccionales.
. Datos sociodemográficos.
. Datos recogidos sobre el uso de canales.
. Datos de agregación e iniciación de pagos.
. Datos de comunicaciones.
. Datos sobre ti (uso canales, tus productos y servicios)”.

En relación con el “tratamiento de analítica del negocio para satisfacer al cliente y mejora de
la calidad de los servicios”, en el subapartado “Intervinientes involucrados” se refiere a
“titulares”; en “Uso/tratamiento” se indica “Analítica de seguimiento de negocio”; en
“Destrucción” se indica “24 meses (profundidad del tratamiento)” y “Datos personales 10 años
x Ley de Prevención de Blanqueo de Capitales”.

En relación con el “tratamiento de encuestas para atender las expectativas de los clientes y
mejorar su satisfacción con BBVA”, en el subapartado “Intervinientes involucrados” se refiere
a “titulares”; en “Uso/tratamiento” se indica “Encuestas para mejorarla satisfacción del cliente”;
en “Destrucción” se indica “24 meses (profundidad del tratamiento)” y “Datos personales 10
años x Ley de Prevención de Blanqueo de Capitales”.

“Beneficios para los interesados
La analítica de negocio y las encuestas están orientadas a tener un mejor conocimiento del perfil
del cliente, lo que nos permite mejorar la cartera de productos e incrementar la calidad de los
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

27/146

servicios. Esto redunda en una mayor satisfacción de los clientes con BBVA.

Beneficios para la Entidad en General
La entidad fideliza a los clientes, se gana su confianza con productos que interesan más y son de
mejor calidad”.

IV.- Descripción del tratamiento para el módulo "Ofrecimientos" (modo reactivo y modo proactivo) e
lnsights

“Descripción
En el Contact Center se realizan acciones comerciales con los clientes que llaman para preguntar
por sus dudas o inquietudes. Dichas acciones se llevan a cabo durante la llamada del cliente,
siempre después de atender la cuestión por la que éste ha contactado.

. Modo reactivo: cuando es el cliente quien muestra interés en otro u otros productos o
servicios, y pregunta al agente. Éste entra en el módulo "ofrecimientos" de la plataforma
Nácar, que contiene la base de datos de clientes, y que funciona en modo online. Este
módulo carga en ese momento y en función del perfil de ese cliente en particular, después de
pasar filtros por la marca Robinson, los productos y servicios que podrían ser de interés para
ese cliente, por el perfilado que le hace.

. Modo proactivo: el agente entra en el módulo "ofrecimientos" de Nácar, que pasa filtros por la
marca Robinson, y le presenta en pantalla la información que ha cargado en función del
perfilado de ese cliente, sobre los productos y servicios que podrían ser de interés para dicho
cliente. En este caso, es el agente quien se los ofrece al cliente proactivamente. No obstante,
en este análisis se excluye la posible actividad comercial posterior, limitándose al tratamiento
de datos personales para el perfilado que en el módulo "ofrecimientos" se realiza.

Categorías de datos
Tanto en el modo reactivo como el proactivo, el módulo "Ofrecimientos" trata las mismas
categorías de datos personales, que son las siguientes:

. Datos identificativos.
. Datos económicos y de solvencia patrimonial (información de BBVA, sin acudir a fuentes
externas), datos de productos y servicios contratados.
. Datos transaccionales.
. Datos sociodemográficos.
. Datos uso de canales”.

En relación con el “tratamiento para ofrecimiento de productos y servicios en contac center a
clientes” se indica:
. “Intervinientes involucrados”: “Clientes Contac center”;
. “Uso/tratamiento”: <<El agente del proveedor entra en la ficha de cliente, “llama” al módulo
“ofrecimientos” y si no es Robinson de manera reactiva o proactiva le ofrece alguno de los productos o
servicios que le muestra la pantalla. Si el cliente decide contratar, el agente accederá al proceso de
contratación correspondiente”;
. “Destrucción” se indica “24 meses (profundidad del tratamiento)” y “Datos personales 10 años x Ley
de Prevención de Blanqueo de Capitales”.

En el apartado “Descripción sistemática de las operaciones y finalidades de tratamiento” se
incluye la misma información sobre procedimiento para cumplir el deber de información y
procedimiento para el ejercicio de derechos ya indicada en relación con los tratamientos para
módulos de propensión y uso de canales. Sobre el “procedimiento para la solicitud del
consentimiento” se indica “No aplica. No es objeto de análisis de este documento la posible
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

28/146

actividad comercial y el tratamiento de datos personales que conlleva y que requiere
consentimiento”.

“Beneficios para los interesados
Los clientes que estén interesados en contratar un servicio o producto no tienen que esperar
a que el agente valore sus necesidades y preferencias, porque el perfilado ya lo ha hecho,
facilitando la contratación, ya que se puede realizar durante la llamada, y ahorrando tiempo al
cliente.

Beneficios para la Entidad en General
El Banco maximiza su potencial de venta aprovechando la interacción del cliente con BBVA”.

En el apartado “Análisis de la necesidad del tratamiento” se indica:
“. Legitimación: por interés legítimo.
Justificación: ver informe de ponderación del interés legítimo donde se justifican detalladamente”.

Por otra parte, en este documento, en relación con todos los módulos expuestos, se
identifican, entre otras, las siguientes medidas para la reducción del riesgo:

“. Transparencia de los procedimientos: Cláusula de tratamiento de datos personales de clientes
vigente.
. Ejercicio de derechos: Procedimiento interno de respuesta a ejercicio de derechos; informado en las
cláusulas de tratamiento de datos personales.
. Ausencia de legitimidad en el tratamiento: Análisis de ponderación sobre interés legítimo para realizar
perfilados de riesgos”.

B) Evaluación de impacto en la protección de datos personales de los tratamientos
relacionados con la realización de perfilados de riesgo.

En este documento se analizan tratamientos que responden a modelos regulatorios y aquellos
que responden a modelos analíticos. Se omite la reseña de los primeros y se destacan a
continuación los aspectos principales de los modelos analíticos:

“La entidad debe cumplir con determinadas obligaciones normativas relativas al denominado
crédito responsable y de control de riesgo financiero. Ello supone una continua evaluación de la
solvencia financiera de sus clientes mediante el tratamiento de los datos personales que más
adelante se detallan, y que como resultado asigna un límite de potencial de endeudamiento a
cada cliente, en modo dinámico.

Con esta finalidad de evaluación continua de la solvencia de sus clientes, BBVA genera y aplica a
los mismos sistemas y algoritmos (modelos analíticos) que permiten prever o predecir el
cumplimiento del cliente frente a la posible contratación de un producto de activo (normalmente
préstamos), definiendo unos parámetros de concesión y puntos de cortes para decidir, en su caso,
qué financiación puede ser la idónea para el cliente particular y qué cuantías máximas podría
asumir sin ver comprometida su estabilidad financiera.

De esta forma, el Banco otorga al consumidor la posibilidad de acceder a financiaciones óptimas
en relación a su solvencia particular, redundando todo ello en mejores condiciones crediticias, en
un acceso rápido a líneas de financiación y en una particularización o personalización de
estas líneas de crédito, minimizando las situaciones de incumplimiento.

La aplicación de estos modelos analíticos permite, además, a la entidad mantener unos umbrales
de riesgo convenientemente establecidos, lo que evitaría, como ya se indicaba, una posible
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

29/146

desestabilización financiera de la compañía y por ende, potencialmente del sistema financiero
español”.

“… el despliegue de modelos de riesgo por parte de BBVA redunda en la obtención de una
información completa de las circunstancias que concurren en un potencial prestatario, actuando el
sistema como herramienta esencial para garantizar el cumplimiento de los principios de crédito
responsable impuestos por la… legislación”.

“Categorías de datos
Las categorías de datos personales tratados para la creación y gestión de modelos de riesgo
analíticos son:

. Identificativos.
. Económicos y de solvencia patrimonial, en particular datos de productos y servicios contratados.
. Datos transaccionales.
. Datos sociodem ográficos.
. Central de Información de Riesgos del Banco de España (CIRBE).
. Ficheros de solvencia y crédito”.

En relación con el “tratamiento para modelos analíticos” se indica:
. “Intervinientes involucrados”: “titulares y garantes”;
. “Uso/tratamiento”: “Tratamiento de perfilado predictivo económico de cliente”;
. “Destrucción” se indica “Resultado del modelo: mensual”; “Los datos para la elaboración del modelo:
10 años x Ley de Prevención de Blanqueo de Capitales”.

En el apartado “Descripción sistemática de las operaciones y finalidades de tratamiento”
correspondiente a estos tratamientos para módulos de propensión y uso de canales se indica:

“Flujos de datos entre sistemas del modelo analítico: proactivos pasivos y motor de límites proactivos
los datos provienen interna e íntegramente de los sistemas de información de BBVA y de solvencia de
crédito externos.
Procedimiento para cumplir el deber de información: Se encuentra en el documento de política de
protección de datos personales, que es un documento independiente a cualquier contrato, y de
obligada firma por el interesado en el momento de hacerse cliente…”.
“Procedimiento para la solicitud del consentimiento: No aplica. La base de legitimación en los modelos
de riesgo analíticos es el interés legítimo”.
“Procedimiento para el ejercicio de derechos: Se explican todos los canales para el ejercicio de
derechos… en el documento de política de protección de datos personales… Este documento está
publicado en su versión más reciente en la página web de BBVA… Además, en cualquier oficina
(sucursal) de BBVA se puede solicitar su ejercicio”.

“Beneficios para los interesados
Modelos Analíticos: el principal resultado es, generalmente, la preconcesión de operaciones
de crédito, incluyendo la delimitación del importe y plazo de devolución, lo que facilita la
disposición y reduce la documentación necesaria para la tramitación, en caso de que el
interesado solicite efectivamente la contratación, lo que redunda en una mayor rapidez y
comodidad para el contratante.

Beneficios para la Entidad en General

. Permite medir y gestionar los riesgos como base de solvencia de la entidad.
. Además, asegura el cumplimiento normativo.
. Sumado a otras variables, el Banco puede cumplir con su obligación de proporcionar un
crédito responsable a sus clientes, en beneficio de la sociedad y del sistema bancario”.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

30/146

En el apartado “Análisis de la necesidad del tratamiento. Justificación” se indica:
“Modelos de riesgos analíticos: ver informe de ponderación del interés legítimo donde se justifican
detalladamente”.

Por otra parte, se identifican, entre otras, las siguientes medidas para la reducción del riesgo:

“. Transparencia de los tratamientos: Cláusula de tratamiento de datos personales de clientes vigente.
. Ejercicio de derechos: Procedimiento interno de respuesta a ejercicio de derechos; informado en las
cláusulas de tratamiento de datos personales de los clientes.
. Ausencia de legitimidad en el tratamiento: Análisis de ponderación sobre interés legítimo para realizar
perfilados de riesgos”.

C) Informe de ponderación de la prevalencia del interés legítimo en los tratamientos a los que
se refiere la finalidad numerada como 2 en el apartado “¿Para qué finalidades los
usaremos?”, contenido en el formulario de recogida de datos personales “Declaración de
actividad económica y política de protección de datos personales”.

1. Después de una breve introducción, en la que se hace mención al artículo 6.1 f) del RGPD
y sus Considerandos 47 a 49; al “Dictamen 6/2014, sobre el concepto de interés legítimo del
responsable del tratamiento de datos en virtud del artículo 7 de la Directiva”, del Grupo de
Trabajo del artículo 29 de la Directiva 95/46/CE, emitido el 09/04/2014; y el Informe 195/17,
emitido por el Gabinete Jurídico de la AEPD, de fecha 24/07/2017; se añade lo siguiente:

<<Por medio del presente documento (en adelante, el "Informe") se procede a la ponderación del
interés legítimo como base jurídica de los tratamientos que se describen a continuación.

2. Descripción de la actividad de tratamiento

2.1. Referencia al reflejo del tratamiento en el Registro de Actividades de Tratamiento (en
adelante, "RAT") de BBVA

Los tratamientos analizados en el presente informe aparecen recogidos en el RAT de BBVA con las
siguientes finalidades del tratamiento:

. Asignación límites preconcedidos
. Aplicación perfil
. Modelos de Propensión
. Contact Center - Módulo de ofrecimientos
. Hechos Relevantes e insights
. Análisis y propuestas de rentabilización de cartera de tarjetas

2.2. Finalidad perseguida por el tratamiento

La actividad de tratamiento analizada en el presente Informe tiene como finalidad la configuración por
BBVA de modelos analíticos para, a través de modelos de propensión, tener un mejor conocimiento de
sus clientes, pudiendo así optimizar su modelo de negocio, ofrecer una atención más personalizada a
aquellos y determinar sus preferencias, a fin de mejorar la calidad de los productos y servicios
ofertados y realizar las mejores sugerencias acerca de los mismos, que podrían ser posteriormente
comunicadas -únicamente a los clientes que así lo hubieran consentido- a través de los distintos
medios de interacción con la Entidad. Estas sugerencias pueden no referirse únicamente a productos
financieros sino, por ejemplo, a la forma de interactuar con la entidad (e.g. en caso de que el cliente
sea usuario habitual de los canales digitales se podría sugerir la no recepción de envíos postales).

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

31/146

De este modo, el mencionado tratamiento tiene como objeto el análisis del comportamiento de los
clientes y de su interacción con BBVA en relación con los canales, productos y servicios ofertados por
la Entidad, lo que exigirá igualmente conocer su nivel de riesgo financiero. A partir de dicha
información, BBVA podrá obtener distintos indicadores que le permitirán ajustar adecuadamente su
modelo de negocio, determinando modelos de propensión de sus clientes hacia determinado tipo de
productos y servicios o hacia la utilización de distintos canales de interrelación con el Banco,
ofreciéndoles un trato más personalizado mediante la aplicación del modelo.

Por tanto, la actividad de tratamiento examinada se limita a analizar el comportamiento de los
clientes de BBVA, sin llevar a cabo ninguna actividad de tratamiento adicional que implique
interrelación con dichos clientes.

Como se ha indicado, este tratamiento únicamente supondría el mejor conocimiento del cliente
mediante la generación y aplicación del modelo analítico, pero en ningún caso supondrá la realización
de comunicaciones comerciales a los clientes. Sólo una vez generados los mencionados modelos y
realizado por tanto el tratamiento analizado en el presente informe, BBVA podría realizar un tratamiento
de datos, diferenciado de aquél, que consistiría en la remisión de dichas comunicaciones comerciales
de los productos y servicios de la Entidad, en su caso.

2.3. Delimitación de los colectivos de afectados y de los datos objeto de tratamiento

Los datos personales tratados para la realización de la actividad de tratamiento objeto del presente
Informe son los relativos a los clientes de BBVA, entendiendo por tales aquéllos que mantienen con la
Entidad un contrato en vigor.

En cuanto a los datos sometidos a tratamiento, incluye los referidos a categorías que son previamente
objeto de tratamiento por BBVA al amparo del artículo 6.1 b) del RGPD, al derivarse de las relaciones
contractuales que el cliente ya mantiene con BBVA como consecuencia de la contratación de otros
productos o servicios o de su interacción con la Entidad con ocasión del desarrollo de la relación
contractual. Estos datos serían los siguientes:

i. Datos ldentificativos y de contacto, tales como el nombre, apellidos, fotografía, DNI, pasaporte o NIE,
nacionalidad, direcciones postales, direcciones electrónicas, teléfono fijo, teléfono móvil, voz e imagen.
ii. Datos económicos y de solvencia patrimonial, tales como ingresos netos mensuales, saldo medio en
cuentas, saldo de activo, recibos domiciliados, nómina domiciliada, ingresos y gastos, así como los
relacionados con la calificación financiera del cliente.
iii. Datos transaccionales de forma categorizada, tales como saldos medios, ingresos medios, número
de recibos domiciliados, número de recibos referidos a la prestación de servicios básicos, tipología de
movimientos de cuentas y tarjetas. No se incluirían los datos referidos a los textos de los recibos por
inferencia desde el detalle de movimientos de cuentas y tarjetas (como por ejemplo, origen, destino,
concepto y tercero relacionado con la transacción).
iv. Datos sociodemográficos, tales como edad, estado civil, situación familiar, residencia, estudios y
ocupación (tipo de contrato, antigüedad en el empleo) o pertenencia a colectivos.
v. Datos de productos y servicios contratados, tales como número de contrato, límite asociado a los
productos contratados, tipología de productos y servicios contratados, datos de contrato (atributos
asociados al contrato), riesgo con BBVA, así como cualquier documentación asociada a cualquiera de
estos contratos.
vi. Datos de comunicaciones y del uso de los canales que BBVA pone a disposición del cliente para la
gestión de los productos y servicios.
vii. Datos sobre el uso de los canales digitales de BBVA,
viii. Datos resultantes de estadísticas y estudios de mercado llevados a cabo por BBVA.
ix. Datos estadísticos sociodemográficos procedentes del Instituto Nacional de Estadística (en
adelante, "INE"), obtenidos conforme a lo dispuesto en al artículo 21.1 de la Ley 12/1989, de 9 mayo,
reguladora de la Función Estadística Pública (en adelante, "LFEP").
x. Datos obtenidos de la Central de Información de Riesgos del Banco de España (en adelante,
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

32/146

"CIRBE"), regulada por el Capítulo VI de la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma
del Sistema Financiero (en adelante, "LMRSF").
xi. Datos obtenidos de ficheros de solvencia patrimonial y crédito, actualmente regulados por el artículo
29 de la Ley Orgánica 15/ 1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Los datos utilizados para la aplicación de los distintos perfiles vendrán referidos a los últimos
veinticuatro meses.

Los datos no serán comunicados a ningún tercero (ni siquiera a otras empresas del Grupo),
permaneciendo en todo caso en los sistemas de BBVA.

2.4. Modo en que se tratarán los datos y posibles transmisiones o comunicaciones de los mismos.

BBVA procederá al tratamiento de los datos a los que se ha hecho referencia en el punto anterior con la
finalidad de obtener algoritmos cuya configuración se determina mediante el análisis de tres fases
sucesivas a fin de garantizar la mejora y ajuste sucesivo del resultado arrojado en relación con los
distintos clientes:

i. La determinación general de la relación de los clientes tanto con los productos y servicios de BBVA
como con sus canales de comunicación (web, App, postal y oficinas), así como su nivel de riesgo
financiero (exclusivamente en relación con la posible oferta de créditos preconcedidos), que se
establece utilizando modelos de propensión diseñados internamente a partir de distintos modelos
matemáticos ejecutados sobre estudios probabilísticos. Para ello se utilizan los datos de los clientes
mencionados en el apartado 2.2.
ii. El comportamiento digital del usuario, con el que se completan y ajustan las recomendaciones.
iii. El resultado se optimiza con la inclusión del valor esperado de la hipotética contratación por cada
cliente. De este modo, puede tenerse un conocimiento más amplio acerca de la aceptación de la
cartera de productos y servicios de BBVA por sus clientes.

Adicionalmente, obtenido el mencionado algoritmo, BBVA procedería a un tratamiento diferenciado,
consistente en su aplicación con la finalidad de dirigir a aquellos clientes que hubieran prestado su
consentimiento para ello con arreglo a lo establecido en la política de privacidad, y únicamente a este
colectivo, ofertas de productos o servicios de BBVA o comercializados por el mismo.

Finalmente, el proceso de obtención de los algoritmos es evaluado y validado periódicamente por el
propio departamento encargado de la configuración de los modelos, dándose un control exhaustivo
sobre los outputs del algoritmo.

3. Descripción del interés legítimo al que responde el tratamiento

Con carácter general, el interés legítimo perseguido por el tratamiento consiste en lograr un mejor
conocimiento de los clientes y mejorar la cartera de productos y servicios BBVA, mediante modelos
analíticos de perfilado. Como ya se ha indicado, los modelos son desarrollados por BBVA y los datos
resultantes de su aplicación no son comunicados a ningún tercero, pertenezca o no al Grupo BBVA.

En este sentido, la política de privacidad de BBVA y la cláusula informativa facilitada a los clientes
señalan que este tratamiento tendrá por objeto "atender mejor (las) expectativas" del cliente e
"incrementar (su) grado de satisfacción como cliente al desarrollar y mejorar la calidad de productos y
servicios propios o de terceros, así como realizar estadísticas, encuestas o estudios de mercado que
puedan resultar de interés".

De este modo, a través del mencionado tratamiento se pretende satisfacer el interés legítimo de BBVA
consistente en llevar a cabo el estudio de la interacción de los clientes de la Entidad con sus productos
y servicios, lo que permitirá determinar:

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

33/146

. Cómo optimizar el modelo de negocio del BBVA.
. Cómo mejorar la calidad de los productos y servicios ofertados por BBVA.
. Cómo perfeccionar la gestión interna y la relación personalizada con el cliente.
. Cuál es el modelo de propensión de los clientes hacia un determinado producto o servicio.
. Cuáles son sus preferencias en cuanto a los canales a través de los que se relacionan con
BBVA.
. A qué colectivos de usuarios que hubieran dado su consentimiento para ello podrían
ofrecerse determinados productos o servicios específicos de la cartera de BBVA.

Debe tenerse en cuenta que el tratamiento analizado puede identificarse con la que fue objeto de
análisis por parte de la AEPD en su informe 195/17, dado que el mismo se refiere en su apartado
VII a la posible prevalencia del interés legítimo de las entidades financieras para el tratamiento de datos
consistente en el "análisis de los movimientos transaccionales y/o capacidad de ahorro del cliente, para
realizar observaciones y ofrecer recomendaciones sobre productos y/o servicios de la entidad bancaria en
beneficio de una mejor gestión de las finanzas de los clientes", a fin de facilitar al cliente, a partir de dicho
análisis información "sobre los productos o servicios que más se ajustasen a su perfil con la finalidad de
maximizar el rendimiento que pudiera obtener éste último u ofrecerle los mejores precios en productos o
servicios que tuviera contratados o pudiera contratar en el futuro".

El citado informe, antes de analizar el supuesto en cuestión, se refiere a otros dos ya analizados
con anterioridad, en que reconocía el interés legítimo prevalente para la realización de
determinados tratamientos…

Por otra parte, en lo que respecta a la determinación del nivel de riesgo del cliente, es preciso
poner de manifiesto que el análisis del mismo únicamente se llevará a cabo con la finalidad de
conocer cuál puede ser el umbral de crédito del interesado, sin que la información acerca del
cumplimiento de sus obligaciones dinerarias sea incluida para el análisis del resto del perfil del
cliente.

Dicho lo anterior, esta determinación se encuentra directamente vinculada al mejor conocimiento del
cliente y al ofrecimiento a aquél de un trato personalizado, que exige necesariamente que BBVA pueda
conocer adecuadamente el mencionado nivel de riesgo ante la eventual solicitud por aquél de
productos de crédito. Este tratamiento resulta necesario para dar pleno cumplimiento a las obligaciones
de cumplimiento de los principios de crédito responsable y de control del riesgo crediticio.

Estas obligaciones aparecen ya recogidas en la Ley 2/2011, de 4 de marzo, de Economía Sostenible,
cuyo artículo 29.1 establece…

El artículo 29.2 de la Ley facultaba al Ministro de Economía y Hacienda para, entre otras previsiones,
adoptar en el plazo de seis meses…

Esta habilitación se ejerció mediante la aprobación de la Orden EHA/2899/2011, de 28 de octubre, de
transparencia y protección del cliente de servicios bancarios, cuyo artículo 18.1 impone a las entidades
de crédito, antes de que se celebre cualquier contrato de crédito o préstamo, la obligación de “ evaluar
la capacidad del cliente para cumplir con las obligaciones derivadas del mismo, sobre la base de la
información suficiente obtenida por medios adecuados a tal fin, entre ellos, la información facilitada por
el propio cliente a solicitud de la entidad", para lo que “deberán contar con procedimientos internos
específicamente desarrollados para llevar acabo la evaluación de solvencia mencionada en el párrafo
anterior. Estos procedimientos serán revisados periódicamente por las propias entidades, que
mantendrán registros actualizados de dichas revisiones".

El apartado 2 del citado artículo 18 regulaba el alcance de estos procedimientos…

Por su parte, las obligaciones derivadas del principio de concesión del crédito responsable por parte de
las entidades financieras han sido posteriormente desarrolladas por la normativa reguladora de los
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

34/146

contratos de crédito.

Así, el artículo 14 de la Ley 16/2011, de 24 de junio, de contratos de crédito al consumo regula la
obligación de evaluación de la solvencia del consumidor…

Finalmente, el artículo 34.1, párrafo segundo, de la precitada Ley recuerda que "el incumplimiento de
las disposiciones relativas a (...) la obligación de evaluar la solvencia del consumidor prevista en el
artículo 14, siempre que no tengan carácter ocasional o aislado, se considerarán como infracciones
graves, pudiendo ser en su caso consideradas como infracciones muy graves atendiendo a los criterios
previstos en el artículo 50 del citado Texto Refundido (de la Ley General para la Defensa de los
Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo
1/2007, de 16 de noviembre)".

Lo anteriormente citado y descrito pone de manifiesto que la valoración del riesgo de sus clientes por
parte de BBVA redunda en la obtención de una información completa de las circunstancias que
concurren en los mismos, actuando el sistema como herramienta esencial para garantizar el
cumplimiento de los principios de crédito responsable impuestos por la precitada legislación, de forma
que en cualquier relación del Banco con el cliente pueda ser tenida en cuenta esta circunstancia en el
trato personalizado con aquél.

De todo lo antedicho cabe apreciar la existencia de un interés legítimo de BBVA en la configuración de
los modelos analíticos en que consiste el tratamiento.

4. Juicio de idoneidad y necesidad del tratamiento para la satisfacción del interés legítimo

Conforme a reiterada jurisprudencia del TC (por todas, STC 207/1996) "para comprobar si una
medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario
constatar si cumple los tres siguientes requisitos o condiciones: «si tal medida es susceptible de
conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de
que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia
(juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella
más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en
conflicto (juicio de proporcionalidad en sentido estricto)". Dado que el juicio de proporcionalidad
será el resultante del presente Informe, se analizará ahora la idoneidad y necesidad del
tratamiento.

4.1. Idoneidad
El tratamiento de los datos de los clientes detallados en el apartado 2.2 de este informe para la
generación de modelos analíticos de propensión resulta adecuado, y por tanto idóneo, para el mejor
conocimiento de los intereses y preferencias de sus clientes a fin de ofrecerles un trato personalizado y
mejorar la calidad de sus productos y servicios. Se garantiza así la mejor gestión comercial de la
entidad y la optimización de las políticas de comercialización de dichos productos y servicios.

4.2. Necesidad
Del mismo modo, el tratamiento de los citados datos resulta imprescindible para que la Entidad pueda
llevar a cabo una gestión adecuada y eficaz de sus recursos, adelantándose a las necesidades de los
clientes, que podrán ver atendidas sus necesidades presentes y futuras en relación con productos de
activo y de pasivo que puedan ajustarse a sus necesidades y situación financiera.

5. Ponderación del interés legítimo y el cumplimiento del principio de proporcionalidad en el
tratamiento de datos

5.1. Consideraciones generales

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

35/146

El tratamiento descrito en el presente Informe supone lógicamente una afección al derecho a la
protección de datos de los interesados, toda vez que sus datos personales serán tratados para llevar a
cabo un análisis de sus preferencias e intereses en relación con los productos y servicios propios de la
Entidad o comercializados por la misma, llevándose a cabo así una valoración de cuáles pueden
ajustarse mejor a sus necesidades.

Sentada la mencionada premisa, y una vez puesta de manifiesto la idoneidad y necesidad del
tratamiento de los datos para el cumplimiento del interés legítimo perseguido por BBVA, es preciso
analizar si la citada afectación supondría una prevalencia de los derechos de los interesados sobre el
interés legítimo de BBVA o si, por el contrario, prevalecería ese interés legítimo sobre los derechos de
los interesados, en los términos establecidos por el artículo 6.1 f) del RGPD.

Como se ha indicado, el tratamiento analizado en el presente informe permite el desarrollo de modelos
analíticos y la generación de algoritmos que permitirán conocer a sus clientes, su nivel de riesgo, la
aceptación por los mismos de los productos y servicios de la Entidad, y, en consecuencia, detectar las
mejoras de su modelo de negocio y su cartera de productos y servicios, que permitan una mayor
satisfacción de las necesidades de sus clientes. De este modo, BBVA utiliza para estos fines los datos
descritos en el apartado 2.2 de este Informe. El tratamiento de estos datos con la finalidad de generar
los modelos de propensión puede suponer una intromisión en la esfera privada de los clientes,
debiendo tenerse en cuenta que BBVA no solicitará el consentimiento de sus clientes para el
tratamiento de los datos en el proceso de generación de los modelos, sino sólo para, en su caso, la
remisión de comunicaciones comerciales.

No obstante, como se ha indicado con anterioridad, la AEPD, en su informe 195/17 ya viene a
reconocer la prevalencia del interés legítimo de las entidades financieras en relación con los
tratamientos consistentes en el "análisis de los movimientos transaccionales y/o capacidad de
ahorro del cliente, para realizar observaciones y ofrecer recomendaciones sobre productos y/o
servicios de la entidad bancaria en beneficio de una mejor gestión de las finanzas de los clientes",
siempre que se adopten garantías adicionales, es decir, aquéllos a través de los cuales la entidad
logra adquirir un mejor conocimiento del cliente para personalizar su relación con el mismo.

En particular, el mencionado informe indica que "deberá detallarse de forma más minuciosa el
tratamiento que va a llevarse a cabo, y particularmente, el hecho de que los datos transaccionales
van a ser empleados para la elaboración de perfiles y deberá igualmente ofrecerse al interesado
la posibilidad de oponerse específicamente a este tratamiento adicional".

El tratamiento objeto de análisis en este informe adopta expresamente las mencionadas garantías,
dado que, como se analizará con más detalle en el apartado 5.3, BBVA:

. Informa detalladamente a los interesados acerca de las finalidades del tratamiento, de modo que
el mismo sea claramente comprensible por sus clientes, tal y como se analizará posteriormente.

. Diferencia claramente, mediante su inclusión en apartados separados en la cláusula informativa, el
tratamiento consistente en la elaboración de los modelos analíticos y su aplicación a los interesados,
de cualquier interacción comercial con los mismos, para la que en todo caso se recabará su
consentimiento.

. Individualiza pormenorizadamente las categorías de datos que serán sometidos a tratamiento, aun
cuando ello no sea exigible conforme a lo dispuesto en el artículo 13 del RGPD, con expresa referencia
a los datos transaccionales mencionados por el informe de la AEPD, indicando que entre los mismos
se encontrarían datos tales como "ingresos, pagos, transferencias, adeudos, recibos, así como
cualquier otra operación y movimiento asociado a cualesquiera productos y servicios que tengas
contratados con BBVA o de los que BBVA es comercializador".

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

36/146

. Refuerza los canales para garantizar el adecuado ejercicio por los interesados de los derechos
establecidos en la legislación de protección de datos, estableciendo tanto el cauce postal como el
electrónico o el presencial, sin perjuicio de que, conforme a lo establecido en la normativa de
protección de datos, el interesado podrá ejercer sus derechos a través del canal que estime
conveniente.

En cuanto a la antigüedad de los datos objeto de tratamiento en la elaboración y aplicación de los
modelos, ésta sería de veinticuatro meses. No obstante, ello, a juicio de BBVA no impide considerar
que el modelo resulta acorde a las garantías establecidas en el informe 195/17 de la AEPD ni supone
una merma de la prevalencia del interés legítimo de la entidad que permite fundamentar el tratamiento
de los datos.

En efecto, es preciso señalar que las relaciones de las entidades bancarias con sus clientes no pueden
considerarse de un modo esporádico, sino que se trata de vínculos caracterizados por la continuidad y
la permanencia en el tiempo. De este modo, la contratación de un producto o servicio no es sino el
comienzo de una relación estable (y generalmente a largo plazo) entre BBVA y sus clientes que puede
llevar aparejada la contratación de posteriores productos o servicios, directamente relacionados o no
con el que fue objeto de una primera contratación y que, además, se funda en la necesidad de que la
entidad pueda adelantarse a las necesidades del cliente, lo que exige, como se ha venido indicando a
lo largo del presente informe, un conocimiento profundo y personalizado de aquél.

Este conocimiento únicamente puede lograrse si se excluyen de la valoración que pudiera hacerse del
cliente, y particularmente de su situación de riesgo, hechos que pudieran afectarle de un modo
esporádico o transitorio, minimizando el impacto de dichas circunstancias sobre la evaluación global de
las necesidades del cliente. Así, por ejemplo, para la valoración de la situación de riesgo financiero del
cliente debería poder rebajarse el impacto de una situación transitoria en que se hubiera producido una
situación de mayor dificultad financiera, lo que no resulta especialmente relevante en situaciones de
crisis económica como la sufrida a principios de la presente década, atendiéndose a una imagen más
global del mismo que a una que tendría un carácter mucho más coyuntural.

Además, no debe olvidarse que las autoridades bancarias (Banco de España, Banco Central Europeo y
Autoridad Bancaria Europea) imponen a las entidades financieras de crédito obligaciones específicas
relacionadas con la realización de exámenes de evaluación de riesgos de sus clientes,
estableciéndose en los mismos la obligación de tomar en consideración su comportamiento financiero
durante un período de cinco años. Si bien los modelos actualmente analizados no incluyen esta
profundidad temporal, dado que no responden a una solicitud expresa del cliente, ello no excluye la
necesidad de atender a un plazo razonable, adecuado y proporcionado que se ha estimado en los
veinticuatro meses a los que se refiere el tratamiento.

A todo ello, deben añadirse dos tres elementos que también coadyuvan a considerar prevalente el
interés legítimo de BBVA como base jurídica del tratamiento de los datos personales para los fines
analizados en este informe:

. Los datos objeto de tratamiento ya vienen siendo objeto de tratamiento por BBVA como consecuencia
del adecuado desenvolvimiento de la relación contractual que mantiene con sus clientes. Es decir, no
se procede al enriquecimiento de la información con otros datos procedentes de terceras fuentes, sino
que los modelos analíticos se fundan en la relación ya existente entre el cliente y BBVA.

. El tratamiento de los datos relacionados con el perfil de riesgos del cliente resulta necesario para que
BBVA pueda garantizar adecuadamente el cumplimiento de las obligaciones de crédito responsable y
control del riesgo financiero, tal y como se ha analizado en un lugar anterior.

. Igualmente, tal y como se analizará separadamente y con mayor detalle en el punto siguiente de este
informe, cabe apreciar que en el presente supuesto concurre el principio de expectativa razonable del
interesado, al que se refiere con particular énfasis el RGPD cuando en su considerando 47.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

37/146

De todo ello cabe concluir que existen en el tratamiento analizado elementos de tal entidad que
permiten considerar la prevalencia del interés legítimo de BBVA sobre los derechos de los
interesados, que además, son protegidos mediante la adopción de garantías adicionales, como
posteriormente se indicará.

5.2. Aplicación del principio de expectativa razonable del interesado

Concurre en el presente caso, como acaba de indicarse, el principio de expectativa razonable
establecido en el Reglamento General de Protección de Datos como criterio para la ponderación
del interés legítimo prevalente.

En efecto, con carácter general la relación entre el cliente de una entidad financiera de crédito y
la propia entidad se basa en la mayoría de los supuestos en el establecimiento de un vínculo de
confianza con aquélla, de forma que el cliente espera de la entidad que pueda aconsejarla de
forma personalizada acerca de los productos que mejor puedan ajustarse a su situación o a sus
necesidades, lo que necesariamente exige un mayor conocimiento del cliente que únicamente
puede alcanzarse mediante la generación y aplicación de los modelos en que consiste el
tratamiento.

En este sentido, es preciso indicar que BBVA ha consultado a sus nuevos clientes acerca de sus
expectativas en relación con la propia Entidad. En este sentido, ante la pregunta "¿Qué aspectos
son para Usted más importantes y que espera recibir de BBVA en esta nueva relación?" (es decir,
cuál era su "expectativa razonable" en relación con la misma) la primera respuesta fue la
obtención de un trato personalizado (con un 40,3%), apareciendo igualmente entre los primeros
resultados el "buen servicio en oficina", con un 33%, "herramientas y productos sorprendentes",
con un 17,3%; o la oferta de "productos de ahorro o inversión adaptados", con un 16,5%.

De ello se desprende que el cliente que mantiene una relación con BBVA espera de dicha Entidad que
pueda asesorarle acerca de los productos y servicios que mejor puedan satisfacer sus necesidades
financieras a partir de una información individualizada del propio cliente. Es decir, que la Entidad de
crédito pueda adelantarse a las necesidades del cliente ofreciéndole productos o servicios que el
mismo puede posteriormente considerar los más relevantes para su perfil.

Pues bien, el conocimiento y trato personalizado del cliente sólo puede, en definitiva, conseguirse
si con carácter previo BBVA puede analizar el comportamiento del mismo y su riesgo financiero,
determinando qué productos podrían ser interesantes para él o, dicho de otro modo, qué puede
esperar el cliente que la entidad pueda ofrecerle a partir de la información con que cuenta de
aquél.

Es decir, el tratamiento es necesario para que el cliente vea colmada su expectativa razonable de que
BBVA conozca sus necesidades y le pueda recomendar (previa su solicitud en caso de que no haya
prestado su consentimiento para la remisión de comunicaciones comerciales) productos que se ajusten
a sus intereses, adelantándose a sus propias necesidades. Así, si bien esta oferta comercial
únicamente se realizará a los clientes que así lo consientan, no cabe duda que la finalidad esperada de
trato personalizado por el cliente sólo podrá cumplirse en caso de que se lleve a cabo previamente el
tratamiento que se viene analizando que permita la posterior aplicación del modelo a las circunstancias
de un cliente concreto.

Por indicarlo de una forma más gráfica, cuando el cliente de BBVA se dirige a su gestor espera que el
mismo tenga un conocimiento suficiente de su situación que le permita hacerle las sugerencias de
productos o servicios que mejor se puedan ajustar a sus necesidades y a su nivel de riesgo, partiendo
de la propia experiencia adquirida por la Entidad.

Por tanto, es posible entender que los clientes de una entidad financiera como BBVA, no sólo poseen
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

38/146

una expectativa razonable de que se lleve a cabo el tratamiento de sus datos personales con la
finalidad de realizarles la oferta de productos de la Entidad o que son comercializados por ésta, sino
que además, en atención a los usos del mercado, serán perfectamente conscientes de la posibilidad de
que tales comunicaciones se ajusten a sus concretas necesidades y puedan redundar en una mejora
de la rentabilidad de su ahorro o en una atenuación de las circunstancias adversas que pudieran
acontecer en el futuro.

No debe olvidarse que este tipo de acciones ha venido llevándose a cabo de forma ininterrumpida
en los últimos años sin que hayan existido prácticamente reclamaciones en que se invoque la
ilicitud de este tratamiento. En definitiva, el consumidor medio puede razonablemente esperar que,
cuando reúna las características oportunas (por ejemplo, saldos elevados en cuentas de pasivo) será
informado por BBVA acerca de la existencia de productos de ahorro e inversión que le permitan
rentabilizar los fondos de que dispone, obteniendo así una información que no sólo redunda en interés
de la entidad, sino en el suyo propio. De este modo, la cesación en este tratamiento supondría
precisamente una quiebra de la expectativa del interesado, que podría considerar que BBVA se ha
desatendido de su cometido de ofrecerle las mejores soluciones financieras que se ajusten a su
concreta situación.

Al propio tiempo, no debe olvidarse que, como se ha indicado en varias ocasiones a lo largo de este
informe, el considerando 47 del RGPD, tras hacer expresa referencia al principio de expectativa
razonable, recuerda que el interés legítimo "podría darse, por ejemplo, cuando existe una relación
pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el
interesado es cliente o está al servicio del responsable". Ello refuerza, a nuestro juicio, la aplicación en
este caso del principio de expectativa razonable del interesado.

5.3. Garantías adoptadas por BBVA en el tratamiento de los datos

5.3.1. Responsabilidad proactiva

BBVA ha adoptado las medidas técnicas y organizativas necesarias para garantizar la integridad,
disponibilidad y confidencialidad de la información, habiendo asimismo designado un Delegado de
Protección de Datos, en cumplimiento de lo establecidos en el artículo 37 del RGPD.

5.3.2. Cumplimiento del derecho de información

BBVA siguiendo las directrices establecidas por la AEPD establece un sistema de información por
capas, indicando en la información básica comunicada al interesado no sólo acerca del tratamiento de
los datos para los fines objeto del presente análisis de ponderación, sino también de que la base
jurídica de dicho tratamiento es el interés legítimo de la Entidad.

Esta información se completa en la segunda capa informativa facilitada al interesado (información
ampliada), indicado…

De este modo, el cliente es plenamente conocedor del alcance del tratamiento, su base jurídica y las
finalidades para las que se lleva a cabo el mencionado tratamiento.

5.3.3. Minimización de la injerencia en la esfera privada de los interesados

Por otro lado, BBVA minimiza la intrusión en la esfera privada de sus clientes en la medida en la que en
la generación de los algoritmos, siguiendo las directrices derivadas del informe 195/17 de la AEPD,
únicamente procederá al tratamiento de la información generada por el cliente durante los últimos
veinticuatro meses.

En todo caso, la información empleada para el tratamiento únicamente comprenderá datos vinculados
a la relación entablada por el cliente con BBVA, sin incluir informaciones adicionales que pudieran
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

39/146

resultar de la misma, tales como el origen, destino o concepto de las transacciones realizadas ni datos
obtenidos de fuentes externas (con la única excepción de los procedentes de la CIRBE), tal y como se
indica en el apartado 2.2 de este informe.

5.3.4. Garantía del ejercicio por el interesado del derecho de oposición al tratamiento

Como se ha reproducido en el punto ii anterior, BBVA establece distintos cauces para garantizar el
ejercicio por el interesado de los derechos establecidos en la normativa de protección de datos,
habilitando dicho ejercicio a través de los canales presencial, electrónico y postal, con la finalidad de
reforzar el poder de decisión del interesado acerca del tratamiento de sus propios datos para el
cumplimiento de las finalidades que justifican el tratamiento analizado en este informe, y ello aun
cuando dicho tratamiento no afectará a los interesados, dado que sólo se producirá la remisión de
comunicaciones comerciales o sugerencias a aquellos interesados que lo hubieran consentido
específicamente.

6. Valoración final

En virtud de cuanto antecede, cabe concluir que el tratamiento de datos objeto de estudio en este
informe, con el alcance y para las finalidades indicadas en el mismo, se encuentra amparado en el
artículo 6.1 f) del RGPD>>.

D) Estudio sobre nuevos clientes de BBVA, llevado a cabo por el Área de Business en febrero
de 2018.

Incluye un apartado sobre las expectativas del cliente en la nueva relación, con el resultado
siguiente:

. Trato personalizado en oficina: 40,3%
. Tranquilidad y seguridad: 39,2%
. Buen servicio en oficina: 33,0%
. Buen funcionamiento canales digitales: 30,6%
. Sencillez y transparencia en la información: 28,9%
. Herramientas y productos sorprendentes: 17,3%
. Productos ahorro/inversión adaptados: 16,5%
. Que no cobren comisiones: 1,6%

En el apartado “Conclusiones” se indica: “Alta satisfacción con el proceso para hacerse
cliente (NPS: +48%) y actualmente esperan personalización (trato/oferta),
tranquilidad/seguridad y buen servicio (oficina/canales digitales)”.

DECIMOPRIMERO: Mediante escrito de 11/08/2020, notificado a BBVA el 17/08/2020, se
concedió a BBVA un nuevo plazo de cinco días hábiles para que aportase copia de la
documentación señalada en el apartado a) del requerimiento indicado en el antecedente
anterior (registro de actividades de tratamiento), que no fue incorporado por BBVA a su
respuesta de 03/08/2020.

La respuesta a este segundo requerimiento se produjo también una vez rebasado el
plazo total concedido. Con fecha 16/09/2020, se recibió escrito de la citada entidad al que
acompañó el registro de actividades de tratamiento.

En este documento se describen los tratamientos con indicación de la finalidad, su
base de legitimación y los datos personales que se tratan, entre otros detalles.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

40/146

Con base de legitimación en el interés legítimo, se describen tratamientos con las
siguientes finalidades:

. Relacionadas con la finalidad 2 de la política de privacidad: encuestas, asignación de límites
preconcedidos, aplicación de perfil, modelo de propensión, contact center: módulo de
ofrecimientos, hechos relevantes e insights, análisis y propuestas de rentabilización de cartera
de tarjetas.
. Relacionadas con la finalidad 3 de la política de privacidad: elaboración de colectivos para
campañas comerciales de Banca Comercial y Consumer Finance.
. Relacionadas con la finalidad 4 de la política de privacidad: cesión de datos.
. Relacionadas con la finalidad 5 de la política de privacidad: anonimización.

DECIMOSEGUNDO: Con fecha 07/10/2020, se emitió propuesta de resolución en el sentido
siguiente:

“1. Que por la Directora de la Agencia Española de Protección de Datos se sancione a la
entidad BBVA, por una infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo
83.5.b) y calificada como leve a efectos de prescripción en el artículo 74.a) de la LOPDGDD,
con una multa por importe de 3.000.000 euros (tres millones de euros).

2. Que por la Directora de la Agencia Española de Protección de Datos se sancione a la
entidad BBVA, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) y
calificada como muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD,
con una multa por importe de 3.000.000 euros (tres millones de euros).

3. Que por la Directora de la Agencia Española de Protección de Datos se proceda a imponer
a la entidad BBVA, en el plazo que se determine, la adopción de las medidas necesarias para
adecuar a la normativa de protección de datos personales las operaciones de tratamiento que
realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos
deben prestar su consentimiento para la recogida y tratamiento de sus datos personales, con
el alcance expresado en el Fundamento de Derecho X de la propuesta de resolución”.

DECIMOTERCERO: Notificada a la entidad BBVA la citada propuesta de resolución, con
fecha 03/11/2020, se recibió en esta Agencia escrito de alegaciones en el que solicita
nuevamente que se declare la nulidad de pleno derecho del procedimiento o, en su caso, la
caducidad del mismo. Subsidiariamente, solicita que se acuerde su archivo o, en su defecto,
se imponga la sanción de apercibimiento o una reducción significativa de la cuantía
establecida en la propuesta de resolución.

Declara reproducidas en su totalidad sus alegaciones al acuerdo de inicio, que, a su juicio, la
propuesta de resolución no tiene en cuenta ni rebate; y formula las consideraciones
siguientes, que reproducen básicamente aquellas alegaciones a la apertura del
procedimiento:

1. Sobre la fijación del importe de la sanción en el acuerdo de inicio, señala nuevamente que
se incurre en vicio sustancial de nulidad, produce indefensión y quiebra el principio de
imparcialidad del órgano instructor. Considera que ello provoca una confusión entre las fases
de instrucción y resolución, como pone de manifiesto el hecho de que la propuesta de
resolución fija un importe idéntico al señalado por el órgano sancionador en el acuerdo de
inicio y reproduce las circunstancias concurrentes. Ello supone una quiebra de los principios
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

41/146

inspiradores del derecho sancionador que no se subsana por el mero hecho de que la entidad
haya podido emitir alegaciones a la apertura y a la propuesta de resolución.

Entiende BBVA que la propuesta incurre en una contradicción al considerar que la
determinación del importe de la sanción es una obligación impuesta por el artículo 64.2 de la
LPACAP y señalar después que “no solo se cumplen sobradamente las exigencias
mencionadas, sino que se va más allá ofreciendo razonamientos jurídicos que justifican la
posible calificación jurídica de los hechos valorados al inicio e, incluso, se mencionan las
circunstancias que pueden influir en la determinación de la sanción”. Considera BBVA que la
citada norma no impone esa obligación ni es dable a la Administración “ir más allá” de lo
previsto en la norma, lo que constituye una extralimitación de las competencias del órgano
sancionador que vulnera los derechos de la entidad contra la que se dirige el procedimiento.

Advierte que el artículo 64.2 de la LPACAP no supone una importante innovación del
ordenamiento jurídico respecto al régimen sancionador vigente con anterioridad, que ya
indicaba que el acuerdo de inicio debería incorporar “las sanciones que pudieran
corresponder, sin perjuicio de lo que resulte de la instrucción”, bajo cuya vigencia la AEPD
indicaba en sus acuerdos de inicio los límites máximo y mínimo de la infracción mencionada
en el acuerdo, sin establecer el importe o cuantía exacta de la sanción..

Asimismo, tampoco el artículo 85.1 de la LPACAP exige esa previa determinación del importe,
dado que no se refiere a una sanción preestablecida, sino a la imposición de la sanción que
proceda. Esta norma, aplicable “iniciado el procedimiento”, prevé que el reconocimiento de
responsabilidad podrá determinar la imposición de la sanción “que proceda”, de forma que
esa fijación parece preverse con posterioridad al propio reconocimiento de responsabilidad.

En su apartado 3, el mismo artículo prevé que las reducciones deberán adoptarse sobre la
sanción “propuesta”, lo que exige que efectivamente se haya determinado en el procedimiento
cuál es ese importe, y la dicción del propio precepto parece efectivamente referirse a la
propuesta de resolución como el lugar idóneo para la determinación del citado importe,
correspondiendo esta potestad al órgano instructor.

Según BBVA, esa conclusión no se ve contradicha por el hecho de que los descuentos que
procederían por el reconocimiento de la responsabilidad y pago anticipado de la sanción se
deban poner de manifiesto en el acuerdo de inicio. Ambos beneficios se pueden otorgar
aunque la sanción no se encuentre cuantificada.

2. Sobre la inexistente vinculación entre lo imputado a mi mandante y las reclamaciones a las
que se refiere la propuesta de resolución y sobre la inactividad de la AEPD.

En relación con esta cuestión, considera que los argumentos recogidos en la propuesta de
resolución no son admisibles, al no caber duda de la inactividad de la Administración, que ha
coadyuvado al mantenimiento de la conducta de BBVA y afecta a la validez del procedimiento.

La AEPD considera expresamente que no ha existido fase de actuaciones previas de
investigación, anteriores a la adopción del acuerdo de apertura, sino que las reclamaciones
fueron admitidas a trámite sin que se adoptase decisión alguna sobre las mismas hasta el
inicio del presente procedimiento, y que puede mantener esa situación con la única limitación
temporal de que dicha decisión no vulnere los plazos de prescripción de la presunta
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

42/146

infracción, que no comenzarían a computarse hasta que BBVA modificase su política de
privacidad. Sin embargo, esta situación es contraria a los principios del procedimiento
sancionador, generando una situación de inseguridad jurídica en perjuicio de BBVA.

En este sentido, los artículos 64.2 y 67 de la LOPDGDD establecen un procedimiento reglado
con unos límites temporales claramente marcados, diferenciando los que son consecuencia
de una reclamación de aquellos en los que la AEPD decide por su propia iniciativa. En el
primer caso, se establecen tres fases sucesivas, sin solución de continuidad: (i) la admisión a
trámite de la reclamación en un plazo de tres meses; (ii) la realización (potestativa) de
actuaciones de investigación durante un plazo máximo de doce meses; y (iii) la apertura de un
procedimiento sancionador, que tendrá una duración máxima de nueve meses.

La AEPD puede optar por prescindir de la realización de actuaciones de investigación, pero
esa decisión no puede implicar una paralización o estancamiento de la reclamación admitida
a trámite durante un período de tiempo indefinido, solo limitado por los plazos de prescripción,
dado que esta disponibilidad contraviene el principio de seguridad jurídica del administrado.
En caso de decidir no realizar ningún tipo de investigaciones, admitida a trámite la
reclamación deberá proceder de inmediato a la apertura de procedimiento sancionador.

En este caso, se ha producido una demora de diez meses, sin que existiese una decisión de
llevar a cabo actuaciones de investigación. La AEPD debería haber acordado la apertura del
procedimiento en el momento en que decidió admitir la reclamación del reclamante 2, esto es,
el 01/02/2019, con lo que el procedimiento debería haber concluido el 04/11/2019. Sin
embargo, esa apertura tuvo lugar el 02/12/2019, casi un mes después de la fecha en que
debería haber concluido el procedimiento mediante la correspondiente resolución. Entiende
BBVA que esta inactividad injustificada deviene en la caducidad del presente procedimiento,
dado que el plazo para resolver se encontraría vencido en la misma fecha en que se dictó el
acuerdo de inicio.

Resulta aplicable a este caso la doctrina sentada por la Audiencia Nacional (AN) en su
Sentencia de 17/10/2007 (recurso 180/2006), en la que ponía de manifiesto la ilicitud de la
prolongación inadecuada o infundada de las actuaciones previas de investigación:

“[…] cuando la demora en incoar el procedimiento sancionador se produce, como en el caso de autos,
durante un largo periodo de tiempo, en el que no se está investigando la pertinencia o no de dicha
iniciación, sino que no se lleva a cabo ninguna actuación por parte de la Administración y en definitiva,
no existe justificación alguna para tal demora, se incurre en una utilización espuria y fraudulenta de lo
previsto tanto en el artículo 12 del RD 1398/1993 como en el artículo 69.2 de la LRJ-PAC.
[…]
Y ello porque, como también se ha indicado, y una vez que la AEPD poseía información y datos
suficientes, proporcionados en los dos primeros meses de la tramitación de las repetidas actuaciones
previas, y podía ya dirigir la acusación en forma contra […], cumpliendo las exigencias legales, dejó sin
embargo transcurrir casi once meses más sin llevar a cabo ninguna actuación, manteniendo tal
solicitud de información abierta, pero completamente inactiva.
[…]
Consideramos por todo ello, […] que ha habido una utilización fraudulenta de la institución de las
diligencias previas. Nos hallamos en consecuencia ante un supuesto de fraude de Ley contemplado en
el artículo 6.4 del Código Civil, por cuanto se pretende burlar la aplicación del Art. 42.2 de la Ley
30/1992 usando la solicitud de información para, con ella, evitar la caducidad del expediente
sancionador.
Utilización fraudulenta que conlleva la nulidad del procedimiento sancionador y la consiguiente
estimación de la pretensión de la demanda, con revocación de la sanción impuesta a […] en la
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

43/146

resolución impugnada.”

La AEPD decide, de forma deliberada, no tramitar procedimiento alguno y esperar al momento
que estime oportuno para iniciar el procedimiento sancionador, lo que supone, teniendo en
cuenta la doctrina sustentada por la SAN que acaba de reproducirse, un fraude de Ley
encaminado a la vulneración de las normas reguladoras de los términos y plazos de
resolución establecidos tanto en la LPACAP como en la LOPDGDD, con el consiguiente
perjuicio a BBVA. Frente a ello no cabe alegar que la doctrina de la AN no es extrapolable por
el hecho de que la misma se refiere a un uso fraudulento de las actuaciones previas de
investigación cuya realización no se acordó en este caso, dado que precisamente el fraude de
ley deriva de la completa inacción de la Administración, que considera posible la prolongación
ad aeternum de la iniciación del procedimiento sancionador por unos hechos respecto de los
que ya ha recabado toda la información que, a su juicio, resulta pertinente para dirigir la
acción sancionadora contra BBVA.

La conducta de BBVA se ve agravada por el carácter continuado de la infracción, al menos
hasta el momento en que procedió a la modificación de la citada política en julio de 2020.
BBVA, actuó, desde el momento en que dio respuesta a los requerimientos que a la misma se
dirigieron hasta la fecha en que se acordó la iniciación de este procedimiento, en la confianza
legítima de que la AEPD consideraba que su Política de Privacidad resultaba conforme a la
legislación de protección de datos, al no haber dirigido reproche alguno ni llevase a cabo, con
conocimiento de mi mandante, ninguna actuación de investigación.

Todo ello deriva en la nulidad de pleno derecho de la actuación de la Administración, que
prescinde deliberadamente del procedimiento legalmente establecido en claro y palmario
perjuicio de los principios de confianza legítima y seguridad jurídica que asisten a BBVA.

Por otra parte, la citada entidad dedica un apartado de esta alegación segunda a la necesaria
vinculación entre el objeto del procedimiento sancionador y las reclamaciones formuladas, en
los supuestos de iniciación de oficio del procedimiento por denuncia, ya puesta de manifiesto
en sus alegaciones a la apertura del procedimiento.

Cuestiona que la AEPD pueda decidir la apertura de un procedimiento en relación con los
extremos que considere convenientes (la propia propuesta de resolución se permite advertir
sobre las cuestiones que no son objeto de tramitación).

La cuestión relevante se encuentra en el relato fáctico de la propuesta, que funda la
tramitación del procedimiento en la existencia de cinco reclamaciones contra BBVA, y no en la
decisión de la AEPD de iniciar su tramitación por propia iniciativa, en uso de sus poderes.
Siendo así, una vez admitida a trámite la reclamación, debe proseguir con su tramitación y
deberá existir un vínculo preciso y directo entre el contenido de dichas reclamaciones y el
reproche sancionador.

La AEPD equipara el hecho de que el procedimiento se inicie de oficio con el inicio “por propia
iniciativa”. Y en el presente caso, se inicia como consecuencia de cinco reclamaciones, a
cuyos términos debe ajustarse el procedimiento, que no puede suponer una suerte de
doctrina general dirigida contra BBVA. Señala BBVA que este argumento deriva de la doctrina
emanada de la Sentencia de la AN de 23/04/2019, ya expuesta en las alegaciones a la
apertura, de la que resulta que una propuesta que no hace referencia en su fundamentación a
las reclamaciones formuladas excede la necesaria congruencia exigible entre los hechos y las
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

44/146

infracciones, convirtiendo las cinco reclamaciones en una suerte de causa general contra
BBVA.

A juicio de BBVA, semejante conclusión afecta al principio de seguridad jurídica y supone una
flagrante vulneración del principio de interdicción de la arbitrariedad de los poderes públicos,
consagrado en el artículo 9.3 de la Constitución.

3. Sobre el cambio de tipificación de la sanción imputada a BBVA y algunas consideraciones
generales acerca de la aplicación de los artículos 13 y 14 del RGPD.

a) Sobre el cambio de tipificación de la infracción imputada a BBVA y la no aplicación al
presente caso del artículo 14 del RGPD.

Mientras en el Acuerdo de Inicio se consideraba vulnerado únicamente el artículo 13 del
RGPD, la Propuesta de Resolución amplía el reproche sancionador a lo dispuesto en el
artículo 14 del citado texto legal, que no resulta aplicable a este supuesto, teniendo en cuenta
lo establecido en el apartado 5 c) del mismo artículo 14 y en el artículo 2.1 del RGPD:

. Según se indica en el informe de ponderación aportado por BBVA, la información
sociodemográfica objeto de tratamiento se refiere únicamente a datos estadísticos
“obtenidos conforme a lo dispuesto en al artículo 21.1 de la Ley 12/1989, de 9 mayo,
reguladora de la Función Estadística Pública”, que no constituyen datos personales ni
revelan información sobre personas físicas identificadas o identificables.

. Respecto de los datos recabados de la CIRBE, también se indica en el Informe de
Ponderación que dichos datos se obtienen conforme a lo dispuesto en la Ley 44/2002, de
22 de noviembre, de Medidas de Reforma del Sistema Financiero, artículo 61.2, y en la
Ley 5/2019, de 5 de marzo, reguladora de los Contratos de crédito Inmobiliario (en
adelante, “LCCI”), artículo 12.1.

El mismo argumento ampara la exclusión del deber de informar respecto de los sistemas de
información crediticia, cuyo acceso viene previsto en el citado artículo 12.1 de la LCCI.

Añade BBVA que, no obstante, en su Política de privacidad informa sobre el tratamiento de
estos datos y, dentro de las categorías de datos que somete a tratamiento indica
expresamente “[d]atos económicos y de solvencia patrimonial (incluidos los relativos a todos
los productos y servicios que tienes contratados con BBVA o de los que BBVA es
comercializador)”.

b) Sobre la supuesta obligación de incluir las categorías de datos en la información que ha de
facilitarse al interesado.

BBVA ha llevado a cabo un esfuerzo de claridad en la elaboración de su Política de
Privacidad, incorporando a la misma las categorías de datos que serían objeto de tratamiento,
pese a no estar exigido en el artículo 13 del RGPD.

La AEPD indica que el citado artículo 13 impone la obligación de informar de todos y cada uno
de los datos sometidos a tratamiento, desglosando esa información para cada una de las
concretas finalidades, con independencia de que el origen de los datos sea el propio
interesado, en los supuestos en que el tratamiento pretenda fundarse en el interés legítimo de
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

45/146

BBVA o en el consentimiento de los interesados. Acude para ello a lo señalado en el
documento de “Directrices sobre el consentimiento”, adoptado por el Comité Europeo de
Protección de Datos (en adelante, por sus siglas en inglés, “EDPB”), “que ha sido actualizado
por el Comité Europeo de Protección de Datos el 04/05/20”, es decir, cinco meses después
del acuerdo de inicio, de modo que esta cuestión no merece consideración adicional alguna.

Se impone una obligación adicional que no está expresamente recogida en el RGPD. Y esto
no pueden modificarlo la AEPD en una resolución sancionadora ni el Comité Europeo de
Protección de Datos en un Dictamen, por la simple razón de que carecen de potestades
normativas. La LOPDGDD (artículo 55) atribuye a la AEPD la competencia para fijar sus
criterios de actuación en Circulares, que tendrán carácter obligatorio, pero ello no puede
implicar la imposición de una obligación no reconocida en la normativa.

En este caso, además, la AEPD modifica sus criterios respecto de lo sustentado en sus “Guía
sobre el cumplimiento del deber de informar” y lo hace en una resolución singular, vulnerando
el principio de interdicción de la arbitrariedad de los poderes públicos, al no exponer los
motivos que fundamentan tan sorprendentemente novedoso criterio, y del principio de
inderogabilidad singular de los reglamentos, consagrado por el artículo 37 de la LPACAP.

Finalmente, invoca de nuevo lo señalado por la AN en Sentencia de 23/04/2019, que no
admite que se haga uso de un procedimiento sancionador para establecer un criterio
interpretativo.

4. Sobre las valoraciones de la AEPD acerca de la presunta inadecuación, imprecisión e
indeterminación intencionadas de la información proporcionada por BBVA.

a) Valoraciones subjetivas realizadas por la AEPD en relación con la transparencia de la
Política de Privacidad de BBVA.

- Pronunciamientos respecto de la terminología y expresiones utilizadas.

A pesar de lo expuesto, BBVA formula alegaciones sobre las cuestiones anteriores en las que
se limita a afirmar que la Agencia basa sus conclusiones anteriores en apreciaciones
subjetivas; que los términos empleados son claros y precisos, de un uso extendido en la
actualidad y que cumplen con el requisito de inteligibilidad; que utiliza esas expresiones con la
intención de proporcionar a sus clientes un servicio adaptado a sus circunstancias concretas,
para lo que resulta imprescindible “conocerles”; y que el contexto en el que se facilita la
información, que viene determinado por la relación contractual, así como la sistemática del
documento en dos capas, posibilitan un mejor entendimiento de las expresiones empleadas.

Aporta una explicación de algunas expresiones a las que se refiere la AEPD:

. “aplicaremos métodos estadísticos y de clasificación para ajustar correctamente tu
perfil”. Supone una especificación de dos de las técnicas utilizadas para conocer mejor al
cliente, encuadrarle adecuadamente y poder, de esa manera, ofrecerle un servicio
correctamente adaptado a sus circunstancias personales.

. “analizando los usos de los productos, servicios y canales de BBVA”, utilizada en la
Política de Privacidad de BBVA en el contexto de la personalización de la experiencia del
usuario, a fin de poder ofrecerle un servicio adaptado a sus circunstancias y necesidades.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

46/146

La AEPD califica dicha expresión de poco clara, imprecisa y ambigua. Sin embargo, en
un punto posterior de la Propuesta (pág. 73), ella misma expone su significado: “[t]odo
ello se refiere a los datos tratados por razón de los productos y servicios contratados”.

Añade que algunas de las expresiones explicadas anteriormente guardan similitud con
expresiones ofrecidas como ejemplos en la “Guía sobre el uso de las cookies”:

. “Realizar estadísticas, encuestas, cálculos actuariales, medidas y/o estudios de
mercado que puedan ser de interés de BBVA o de terceros”, guarda similitud con la
expresión “para fines analíticos”.

. “Analizando los usos de los productos, servicios y canales de BBVA” guarda similitud
con la expresión “mostrarte publicidad personalizada en base a un perfil elaborado a
partir de tus hábitos de navegación”.

- Similitud entre las expresiones utilizadas en la Política de Privacidad de BBVA y las
incluidas en la “Guía para el cumplimiento del deber de informar” de la AEPD. Cambio
de criterio no justificado: vulneración de la confianza legítima y de la jurisprudencia de
la AN

La AEPD evita pronunciarse sobre la contradicción que supone el reproche efectuado a BBVA
y las recomendaciones incluidas en la Guía citada, que ofrece ejemplos de posibles fórmulas
para informar sobre las finalidades del tratamiento similares a las incluidas en la Política de
Privacidad.

La publicación de una Guía por parte de la AEPD genera una confianza legítima en sus
destinatarios, que adaptan su conducta en la creencia de que su aplicación coadyuva al
cumplimiento de la normativa, de modo que considerar ahora contrarias a derecho esas las
expresiones supondría actuar en contra de los propios actos y determinaría la vulneración de
la confianza legítima y la seguridad jurídica que deben proporcionar los documentos
publicados por una autoridad de control, así como la jurisprudencia de la AN recogida en la
Sentencia de 23/04/2019, ya citada, que declaró contrario a los principios del derecho
sancionador el establecimiento de criterios generales en el seno de un procedimiento
sancionador.

- Subrogación de la AEPD en la posición de los interesados. Reproche de una acción de
marketing llevada a cabo por BBVA bajo el amparo de la libertad de empresa.

La AEPD incurre en una conducta análoga a uno de los reproches que formula contra mi
representada, la suplantación de los interesados, cuando se pone en el lugar de los
receptores de la información para concluir no es fácil de entender para cualquier interesado ni
éste puede deducir el significado de las expresiones a partir del contexto.

A este respecto, consta como hecho probado que BBVA analizó durante 2017 y 2018 el
impacto del RGPD en su actividad y realizó dos investigaciones por terceros expertos para
valorar el contenido y formato del texto, o testar la comprensión del mismo, resultando
indiscutible que actuó con responsabilidad proactiva para conocer a las personas sobre las
que recaba información y determinar si dicha audiencia es susceptible de comprender,
adaptando la información proporcionada y la terminología para ello.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

47/146

El reproche de la Agencia alcanza a la manera de presentar el documento a los interesados,
señalando que pretende ofrecer una imagen de cortesía y buen trato al cliente, criticando con
ello lo que no es sino una simple decisión comercial de BBVA acerca de cómo presentar un
documento a sus clientes, para lo que el Banco está plenamente legitimado en virtud de su
derecho a la libertad de empresa consagrado en el artículo 38 de la CE.

b) Exigencias de información a los interesados que resultan excesivas y que podrían
ocasionar fatiga informativa.

Parece indicar la AEPD que la Política de Privacidad, al referirse a la tipología de los datos
personales afectados por los tratamientos que realiza, debería alcanzar un nivel de detalle
semejante al mostrado en (i) el Informe de Ponderación aportado por el Banco a
requerimiento del Instructor y (ii) la documentación correspondiente al proyecto “Customer
Data Cube”.

La incorporación de toda esa información relativa a la tipología de datos a un documento ya
de por sí excesivamente extenso, sería susceptible de ocasionar fatiga informativa en los
interesados, en contra de las Directrices del GT29, que recomienda una información eficiente
y sucinta; o de la propia AEPD, que ha destacado la importancia de no abrumar con la
información, como en la “Guía sobre el uso de cookies”.

c) Supuesta falta de determinación de los interesados afectados por la comunicación de datos
personales a las sociedades del Grupo BBVA.

Según se indica en la Política de Privacidad, los datos de representantes, garantes,
autorizados o beneficiarios se tratan únicamente para la gestión del contrato en que
intervengan a consecuencia de su relación jurídica con un cliente del Banco. En ningún caso
estos datos son comunicados a las sociedades del Grupo BBVA.

5. Sobre la realización de perfiles.

La finalidad 2 de la Política de Privacidad persigue personalizar la experiencia de sus clientes
y se concluye indicando la utilidad de dichos perfiles.

Se detalla el tratamiento realizado (analizar y valorar los datos), la tipología de datos que se
utiliza en dicho tratamiento (datos que permiten identificarte, evolución financiera y de los
productos y servicios contratados, operaciones –pagos, ingresos, transferencias, adeudos,
recibos- así como los usos de los productos, servicios y canales de BBVA) y la finalidad para
la que se realiza dicho análisis (elaborar un perfil y utilizarlo en los modelos de negocio).

Considera dicha entidad que el conocimiento de los clientes, el análisis de su interrelación con
los productos y servicios que se ofrecen y la valoración de sus preferencias manifestadas a
través del uso o no de los mismos, y la forma en que son usados, es la base de la información
que cualquier empresa utiliza para valorar su estrategia de negocio y mejorarla, en definitiva,
para diseñar sus modelos de negocio y para la gestión de la relación con el cliente.

Este tratamiento en ningún caso supondrá el análisis individualizado para la realización de
comunicaciones comerciales, que supone un tratamiento adicional y diferenciado, que solo
podría realizarse con clientes que hubieran prestado su consentimiento para ello.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

48/146

Parece entender esa AEPD que la única finalidad de la realización de perfiles es la
personalización de las ofertas, cuando dicho tratamiento puede igualmente tener por objeto
muchas otras finalidades, tales como la mejora del modelo de negocio, de la cartera de
productos y servicios ofrecidos por el responsable o de la experiencia del cliente. Por este,
motivo entiende esta parte que la Agencia confunde en este punto dos finalidades que
aparecen recogidas en dos apartados distintos de la Política de Privacidad.

6. Sobre la licitud de los tratamientos que BBVA ampara en el interés legítimo en su política
de privacidad.

Los argumentos sobre esta cuestión recogidos en la propuesta se presentan de forma
dispersa, haciendo complejo a BBVA comprender realmente los motivos en las que la AEPD
funda su reproche. No obstante, parece concluirse que, a juicio de la Agencia, no concurrirían
en este caso los requisitos derivados de los Considerandos 41 y 47 del RGPD. Entiende
BBVA que la AEPD pretende destacar que los intereses legítimos no están claramente
descritos, el tratamiento descrito en la finalidad 2 no se ajusta al principio de necesidad, no
concurre la expectativa razonable del interesado y, en definitiva, no se ha realizado una
adecuada ponderación de los derechos e intereses en juego.

a) Sobre los conceptos de interés legítimo y finalidad y su supuesta confusión por parte de
BBVA.

La AEPD en su Propuesta de Resolución pone de manifiesto la, a su juicio, sustancial
diferencia entre los conceptos jurídicos de finalidad e interés legítimo. Entiende BBVA que se
trata de elementos indisolublemente vinculados entre sí. Sólo así puede entenderse el artículo
6.1 f), que considera lícito el tratamiento basado en el interés legítimo; es decir, el interés
legítimo es la finalidad (a satisfacer) para la que procede el tratamiento de los datos.

Siguiendo el razonamiento de la AEPD, cualquier tratamiento llevado a cabo sobre la base del
interés legítimo en un entorno empresarial es ilícito porque la finalidad única es la mera
obtención de un beneficio económico (o la reducción de una pérdida). Incluso los tratamientos
que la AEPD ha considerado fundados en el interés legítimo serían contrarios a la Ley, pues
todos encajarían en el supuesto proscrito por la STS de 20/06/2020, que se refiere a
tratamientos de datos de personas destinatarias de bromas con finalidad meramente
crematística. Y lo mismo puede decirse de supuestos aceptados por el TJUE, la AN o la AEPD
cuando el tratamiento se lleve a cabo por una empresa (cita varios ejemplos: tratamiento para
el fomento de la libre competencia en un determinado sector -por ejemplo, el acceso por los
comercializadores eléctricos al Sistema de Información de Puntos de Suministro de los
distribuidores; tratamiento de datos por motores de búsqueda; tratamientos basados en la
libertad de información de los medios de comunicación; tratamientos llevados a cabo en el
ejercicio por el empresario de sus funciones de control empresarial; la creación de sistemas
comunes de prevención del fraude; los sistemas de información crediticia; incluso los
tratamientos para gestión y administración interna de los grupos empresariales o el
tratamiento de datos personales con fines de mercadotecnia -indicado en el Considerando 47
del RGPD).

El interés legítimo que pretende cumplir BBVA es el de mejorar continuadamente la relación
con sus clientes y la cartera de productos y servicios que ofrece, pudiendo responder
diligentemente a sus necesidades en caso de que los mismos las requieran.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

49/146

Evidentemente, este interés legítimo tiene por objeto la mejora continua del modelo de
negocio y lograr que los clientes estén satisfechos con el servicio prestado. En caso contrario
optarían por romper la relación de negocios con la entidad y contratar los servicios de un
competidor.

Como es lógico esta circunstancia llevará aparejada una pérdida para BBVA que, lícitamente,
pretende evitar. Pero eso no significa que el interés legítimo que justifica el tratamiento de los
datos por parte de BBVA no sea el de prestar el mejor servicio a sus clientes, poder
anticiparse a sus necesidades, ofrecerles, si lo consintieran los productos que puedan
ajustarse mejor a su perfil y, en lógica consecuencia, mejorar y perfeccionar continuadamente
su modelo de negocio.

BBVA tiene el legítimo interés en conocer lo mejor posible a sus clientes para poder prestar a
los mismos sus servicios con el mayor grado de excelencia posible, aun cuando ello lleve, en
su caso, aparejado (obvio es decirlo tratándose de una mercantil) la consecuencia de obtener
un beneficio económico. Y esa es también la descripción que realiza el Informe de
Ponderación, en el que no se hace referencia a la obtención de un beneficio, sino a la mejora
de la calidad, la relación con el cliente y la atención a sus necesidades.

b) Sobre la referencia al principio de necesidad efectuada en la Propuesta de Resolución.

La AEPD considera que el principio de necesidad exigido en el artículo 6.1 f) del RGPD en
relación con la satisfacción del interés legítimo, no se da en este caso. Y parte de la doctrina
sentada en la Sentencia del TEDH de 25/03/1983, referida a un supuesto de posible
vulneración del secreto de las comunicaciones, en el que el término “necesidad” no se
corresponde con el que resulta de la aplicación del RGPD.

En lo que atañe al principio de necesidad, la interpretación es mucho más sencilla y resulta
igualmente de la doctrina del TEDH, que ha sido aplicada y resumida reiteradamente en
España por nuestro Tribunal Constitucional a la hora de analizar la proporcionalidad de una
medida restrictiva de un derecho fundamental.

La STC 207/1996, citada por la AEPD en la exposición de motivos de su Instrucción 1/2006,
señala:

“[…] para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de
proporcionalidad, es necesario constatar si cumple los tres siguientes requisitos o condiciones: «si tal
medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es
necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal
propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada,
por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros
bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)”.

Pues bien, en el presente caso, la finalidad perseguida por BBVA solo puede llevarse a cabo
con las mismas probabilidades realizando el tratamiento que se ha descrito y estableciendo
modelos que permitan conocer realmente las preferencias de sus clientes.

Por este motivo, el Informe de Ponderación señala claramente que el tratamiento es
necesario para el cumplimiento de ese interés legítimo (de BBVA y de sus clientes), no
existiendo medios menos intrusivos, en el estado actual de la técnica, para llevarlo a cabo,
adoptando las medidas necesarias para minimizar la información tratada (excluyendo los
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

50/146

datos identificativos del cliente) y asegurar la plena garantía del ejercicio por el mismo de su
derecho de oposición.

c) Sobre la aplicación al presente caso del principio de expectativa razonable del interesado.

Como ya se indicó en nuestras alegaciones al Acuerdo de Inicio, el razonamiento de la
Propuesta de Resolución sólo puede ser calificado de contradictorio:

. La AEPD considera que el tratamiento debe poderse prever directamente por el interesado,
sin que esa previsión se mediatice por las indicaciones del responsable. No obstante, el
artículo 13 del RGPD impone a ese responsable la obligación de informar acerca del
tratamiento e indicar que el mismo se funda en un interés legítimo prevalente so pena de
incumplir dicha norma. BBVA se pregunta si la AEPD pretende decir que no han de informarse
los tratamientos basados en interés legítimo. Una vez producida la información resulta
imposible saber si el interesado pudo o no prever los tratamientos con anterioridad.

. La evaluación de la concurrencia de la expectativa razonable se puede derivar de la relación
del afectado con el responsable. No obstante, la AEPD considera que al interesado le es
irrelevante la excelencia que pueda existir en la relación del Banco con él.

. La realización de un estudio en que se plantea al cliente “qué espera” de su relación con mi
mandante no es suficiente para poder considerar que su respuesta responde a una
expectativa. Pues bien, el Diccionario de la Real Academia Española introduce como primera
acepción del término “expectativa” la de “esperanza de realizar o conseguir algo”. Y en
relación con el término “esperanza”, que indica que deriva del verbo “esperar”, el mismo
Diccionario señala que dicho término significa, en su primera acepción, “estado de ánimo que
surge cuando se presenta como alcanzable lo que se desea”. Teniendo en cuenta este
significado literal de los términos citados no se entiende cómo la AEPD considera que el
estudio no guarda relación con la “expectativa” del interesado el preguntar al mismo sobre lo
que “espera”. No se comprende cómo debería haberse planteado la cuestión para que el
estudio aportado pudiera tener alguna validez para la AEPD.

. En ningún momento toma en consideración la AEPD lo señalado en el Informe de
Ponderación, en que se pone claramente de manifiesto como el tratamiento de los datos ha
venido realizándose por BBVA sin que se haya producido ninguna reclamación
específicamente relacionada con la generación de este tipo de modelos, ni se contradice la
conclusión alcanzada en el informe en el sentido de indicar que “la cesación en este
tratamiento supondría precisamente una quiebra de la expectativa del interesado, que podría
considerar que BBVA ha desatendido su cometido de ofrecerle las mejores soluciones
financieras que se ajusten a su concreta situación”.

Finalmente, entiende BBVA que nada en la Propuesta contradice lo indicado en el Informe de
Ponderación a la vista de los usos que rigen las relaciones jurídicas entabladas por las
entidades de crédito con sus clientes, sobre el vínculo de confianza en el que se basa la
relación entre el cliente y la entidad financiera, así como lo que el cliente espera de la entidad.

d. Sobre la suficiencia del Informe de Ponderación aportado por BBVA.

La Propuesta de Resolución achaca al Informe de Ponderación diversos defectos, algunos de
los cuales ya han sido rebatidos a lo largo de esta alegación sexta.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

51/146

Junto con ellos, parece indicarse por la AEPD que el informe debería haber seguido la
estructura establecida por el GT29, incluyendo una suerte de ponderación provisional previa a
la determinación de las medidas adoptadas por BBVA para hacer prevalecer su interés
legítimo, a pesar de que una mera recomendación o ejemplo de informe no puede imponerse
de forma obligatoria como modelo si no existe una norma imperativa que así lo disponga.

Además, el Informe de Ponderación incluye una clara descripción del interés legítimo que
justifica el tratamiento (por mucho que la AEPD pretenda lo contrario), así como la incidencia
del tratamiento en los derechos de los interesados, valorando la idoneidad, necesidad y
proporcionalidad del tratamiento que conducen a la determinación de la prevalencia del
interés legítimo, con expresa inclusión de las garantías adoptadas en relación con el
tratamiento a fin de minimizar su impacto en los derechos de los interesados y garantizar el
ejercicio de los derechos, particularmente del derecho de oposición. En particular, a fin de
minimizar el impacto del tratamiento en los derechos de los interesados, “la información
empleada para el tratamiento únicamente comprenderá datos vinculados a la relación
entablada por el cliente con BBVA, sin incluir informaciones adicionales que pudieran resultar
de la misma, tales como el origen, destino o concepto de las transacciones realizadas ni
datos obtenidos de fuentes externas”.

Igualmente, la AEPD interpreta erróneamente lo señalado sobre el plazo de conservación de
los datos para la realización del tratamiento. Este plazo será de dos años, no utilizándose
datos que tengan una mayor antigüedad ni conservándose los datos para este tratamiento
durante un período superior. Cuestión distinta es que el formulario de recogida de datos del
interesado se utilice no sólo como iniciador de la relación del cliente con BBVA, sino también
para el cumplimiento de las obligaciones de diligencia debida establecidas en la legislación de
prevención del blanqueo de capitales. Los datos se conservan durante el plazo establecido en
esta legislación, a los fines previstos en la misma, pero no para el tratamiento controvertido.

No obstante, según parece desprenderse de la Propuesta de Resolución, los sujetos
obligados deberían solicitar del afectado el mismo dato en tantas ocasiones como
tratamientos del mismo vaya a llevar a cabo, lo que evidentemente no se ajusta a la norma, ni
sería razonable.

Finalmente, la Propuesta de Resolución considera inadecuada la referencia al Informe
195/2017 del Gabinete Jurídico de la AEPD, considerando que “las premisas valoradas en
dicho informe no se ajustan al supuesto presente. En los aspectos señalados, ese informe
analiza la realización de tratamientos con fines de mercadotecnia, siempre que la oferta se
refiera a productos similares a los contratados por el interesado, y se utilice únicamente la
información disponible como consecuencia de la gestión de los productos”. BBVA manifiesta
no comprender en qué se diferencia el supuesto mencionado del actualmente objeto de
análisis.

7. Sobre la obtención del consentimiento y su conformidad con el RGPD y la LOPDGDD.

a) Consideraciones previas; identificación precisa del eventual ilícito.

En relación con la condición de informado que se exige respecto del consentimiento, se
remite BBVA a lo señalado en los apartados anteriores.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

52/146

En cuanto a la forma de obtención del consentimiento, se refiere en primer término a las
consideraciones formuladas por esta Agencia sobre el “diseño consciente” realizado por BBVA
con el propósito de favorecer la prestación del consentimiento de la mayoría de sus clientes,
las cuales esa entidad no considera jurídicamente relevantes.

Aclara que la conclusión de aquellos trabajos al señalar que los interesados no leen los textos
motivó la necesidad de prestar más atención a la Política de Privacidad, diseñando los textos
y procesos contenidos en la misma de forma que se llamase la atención del interesado y en
definitiva plasmase en un sentido u otro el sentido de su decisión.

Pretender lícitamente tratar gran cantidad de datos para cuantas más finalidades es legítimo,
redunda en beneficio del interesado y no supone la inobservancia de la normativa, por lo que
no puede ser objeto de sanción ni ser considerado en la graduación de la responsabilidad.
Tendría relevancia para valorar el elemento de culpa, si BBVA hubiera diseñado el mecanismo
“a sabiendas” de que estaba infringiendo la normativa, lo cual niega categóricamente.

b) Sobre las características que debe reunir el consentimiento (distintas de la forma,
mecanismo o fórmula para su obtención).

La AEPD, considera que no se cumple el criterio contenido en el considerando 43 del RGPD,
que requiere que los procesos para aceptar los tratamientos permitan “autorizar por separado
las distintas operaciones de tratamiento de datos personales”, y reprocha que no existe una
adecuada separación de los distintos tratamientos, entendiendo que la firma de la Política de
Privacidad es el consentimiento o la “única acción” que realiza el interesado para autorizar los
tratamientos cuyo consentimiento solicita el BBVA.

Resulta paradójico que se argumente la “inacción” como base de la responsabilidad que se
imputa y se señale también que dicha “única acción” es asimismo sancionable.

En todo caso, es irrebatible que se diferencian las distintas finalidades para las que se
buscaba el consentimiento del interesado, como puede verse de la mera lectura del texto, que
prevé finalidades variadas y distintas. Se obtienen tantos consentimientos como finalidades o
usos se pretende realizar.

c) Sobre la forma en la que se ha obtenido el consentimiento.

La Agencia considera que el consentimiento no es inequívoco. Estima que no nos
encontramos ante una declaración o una clara acción afirmativa, que se pretende recabar un
consentimiento mediante la inacción del interesado (“no marcar las casillas en las que se
indica “No quiero…””).

No comparte este criterio la entidad BBVA, tal y como anticipó en el escrito de alegaciones al
Acuerdo de Inicio, en el que expuso una serie de consideraciones en relación al denominado
poder de control del interesado sobre sus datos, el cual se respeta si analizamos el
mecanismo ideado en su conjunto y no de forma aislada atendiendo únicamente a las casillas
contenidas en la Política de Privacidad. Cuestión esta sobre la que la AEPD nada argumenta.

Y es que, como ya se indicó, el RGPD admite muchas y distintas fórmulas para obtener el
consentimiento, siempre que de ellas se derive claramente que el interesado “acepta la
propuesta de tratamiento de sus datos”.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

53/146

La AEPD se basa exclusivamente en el carácter “negativo” de las casillas sin analizar si el
conjunto de acciones que el interesado puede realizar permite concluir si existe o no voluntad
deliberada de consentir o no determinados tratamientos, sabiendo que nunca puede lograrse
certeza absoluta de cuál fue la motivación del interesado. En este caso, cualquiera que sea la
opción del interesado (la marcación o no de las casillas), nunca será posible considerar que
ha existido una inacción del mismo, pues esa concreta inactividad no puede aislarse del
conjunto de actuaciones que debe realizar el interesado para su alta como cliente.

Seguidamente, destaca algunos aspectos esenciales de cualquier proceso de alta de un
interesado como cliente de BBVA:

. En cualquier proceso de alta, se facilita la suscripción y firma de la Política de
Privacidad, en la que se ponen a su disposición las opciones ofrecidas, manifiestas y
evidentes para el interesado. Es una clara acción afirmativa llevada a cabo con pleno
conocimiento del alcance y consecuencias. Además, el cliente tiene a su disposición, a
través de la aplicación, un procedimiento para gestionar sus preferencias.

. La fórmula establecida permite al interesado tomar distintas decisiones en relación al
tratamiento de sus datos, resultando obvio que si el interesado no hace uso de ellas no
es reprochable a la entidad.

Existe una clara acción afirmativa, dado que todo interesado suscribe digital o
presencialmente la Política de Privacidad, pero, de forma previa, el interesado toma
diversas decisiones, eligiendo las opciones o preferencias. En soporte papel, la firma se
inserta en un lugar en que se encuentran visibles las opciones ofrecidas, luego hay una
conducta que implica aceptación de lo que se firma; en soporte digital, el afectado accede
a distintas pantallas habilitadas para gestionar su consentimiento, dispone de un “Check
de aceptación” y tras la recogida de los datos vuelve a tener disponible el documento
para proceder a su firma, de estar conforme.

Tampoco tiene lugar un consentimiento presunto pues en ningún caso se produce una
declaración o acto de “silencio positivo” que suponga la aceptación de la Política de
Privacidad en toda su extensión; no se trata de casillas ya marcadas; ni la inactividad
supone la continuidad de un servicio o funcionalidad.

La reclamación formulada por el reclamante 3 es una muestra del cumplimiento por BBVA
de sus obligaciones.

En definitiva, los procesos de alta a través de canales digitales y presenciales cumplen con
los requisitos expresados en la Guía para responsables de la AEPD, que recuerda que el
consentimiento “puede ser inequívoco y otorgarse de forma implícita cuando se deduzca de
una acción del interesado”.

Por último, merece prestar de nuevo atención, en relación con la declaración por escrito, al
caso contemplado como “ejemplo 17” en las Directrices sobre el consentimiento del EDPB,
puesto que se trata de un supuesto que puede asimilarse al que es objeto de este expediente,
al admitir un escenario que contiene las opciones de marcación de un “si” y un “no”. Así,
señala que:

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

54/146

“Un responsable del tratamiento puede obtener también consentimiento explícito de una persona que
visita su sitio web ofreciendo una pantalla de consentimiento explícito que contenga casillas de Sí y No,
siempre que el texto indique claramente el consentimiento, por ejemplo, «Yo, doy mi consentimiento al
tratamiento de mis datos» y no, por ejemplo, «Tengo claro que mis datos van a ser tratados». Huelga
decir que deben cumplirse las condiciones del consentimiento informado, así como el resto de
condiciones necesarias para obtener un consentimiento válido”.

8. Aplicación al presente caso de los principios de culpabilidad proporcionalidad y
circunstancias modificativas de la responsabilidad concurrentes en el mismo.

a) De la no concurrencia de culpabilidad en la actuación de BBVA.

Ha actuado en todo momento con total diligencia, siguiendo las directrices de la AEPD e
incluyendo en su Política de Privacidad el contenido obligatorio establecido en el artículo 13
del RGPD y extremos que ni la norma ni su interpretación imponen; y en el convencimiento,
después de que informase sobre las reclamaciones formuladas, de que la Agencia no había
advertido elemento que contraviniera lo establecido en el RGPD y LOPDGDD.

Invoca la Sentencia de la AN de 19/11/2008, en la que se justifica la concurrencia del principio
de confianza legítima, al haber actuado en la creencia de que su conducta se ajustaba a la
legalidad.

Y la Sentencia, también de la AN, de 15/10/2012 (recurso 608/2011), en la que se valora “la
activa participación de la Administración”, que pudo llevar al interesado a la conclusión de que
su actuación era conforme a derecho; que su conducta no se halla amparada por una
interpretación jurídica razonable de las normas aplicables; y las dificultades en la
interpretación descritas por la Administración.

b) De la aplicación del principio de proporcionalidad.

Considera BBVA que ciertas agravantes apreciadas por la Agencia no serían aplicables a la
conducta de BBVA y que concurren determinadas circunstancias que reducen su
responsabilidad.

c) Circunstancias agravantes apreciadas por la AEPD.

- Naturaleza, gravedad y duración de la infracción (artículo 83.2 a) del RGPD).

La Agencia considera un elemento del tipo como circunstancia agravante, como es el
presunto incumplimiento del principio de transparencia, intrínsecamente relacionado con el
incumplimiento de los artículos 13 y 14 del RGPD, lo cual no es aceptable en derecho. Y lo
mismo puede decirse en relación con la vulneración del artículo 6 del RGPD, que según la
Agencia se ve agravado por afectar al principio de transparencia.

- Supuesta ausencia de procedimientos adecuados de actuación en la recogida y
tratamiento de los datos personales (artículo 83.2 k) del RGPD).

Puede concluirse en el mismo sentido expresado en el subapartado anterior, dado que el
hecho de que la Agencia considere que BBVA no tiene implantados procedimientos
adecuados de actuación deriva de su entendimiento de que la Política de Privacidad no
cumple con las obligaciones de información ni con los requisitos de obtención del
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

55/146

consentimiento.

- Presunta intencionalidad en la comisión de la infracción (artículo 83.2 b) del RGPD).

BBVA ha desarrollado desde 2016 una amplia labor, caracterizada por su diligencia y
proactividad, a fin de lograr una plena adaptación al RGPD de su organización y de los
tratamientos de datos que lleva a cabo. Para ello, diseñó un plan de trabajo con el objetivo de
adecuar toda su organización, así como los tratamientos de datos personales que realizaba, a
las disposiciones del citado reglamento, cuya ejecución dio comienzo en noviembre de 2016.
Adicionalmente, constituyó un Comité Directivo encargado de revisar bimensualmente el
avance de los trabajos y tomar decisiones de carácter estratégico.

En el marco del referido plan de trabajo, en marzo de 2017 BBVA había llevado a cabo una
revisión de su política de privacidad para clientes, con el objetivo de comprobar si la misma
reflejaba todos los tratamientos de datos que BBVA efectuaba. La revisión arrojó como
resultado que el referido documento contemplaba tales tratamientos y se concluyó que el
consentimiento de los interesados había sido obtenido de conformidad con los requisitos
impuestos por el RGPD.

Por lo que respecta a los nuevos clientes, era preciso que BBVA obtuviera su consentimiento
por medio de una política de privacidad actualizada conforme al RGPD. Con vistas a la
consecución de estos objetivos, se efectuó un análisis acerca de cómo obtener un
consentimiento inequívoco de acuerdo con la citada norma y cómo disponer de evidencias de
haberlo obtenido.

Diseñó una estrategia para informar a los interesados, elaborando una nueva Política de
Privacidad, que incluía una serie de casillas para la prestación del consentimiento por los
clientes cuyo texto fue previamente analizado para hacerlo claro y sencillo, y estableció un
plan para hacer llegar dicha Política de Privacidad a los interesados. Antes, se realizaron dos
modelos de Política de Privacidad, que fueron testados con los clientes.

Todo ello, que aparece recogido en las memorias anuales del Banco de 2016 a 2019, es
prueba de una firme y decidida voluntad de BBVA de lograr una plena adecuación al RGPD ya
desde antes de su aplicación, así como a la LOPDGDD. La antelación con la que se iniciaron
los aludidos trabajos, así como el hecho de haber involucrado a los propios interesados en la
elaboración de la nueva política de privacidad, dan fe de buena voluntad, la responsabilidad
proactiva y la diligencia de BBVA en cuanto al cumplimiento de la normativa de protección de
datos.

Se muestra la buena fe del Banco y la voluntad de adecuar sus actividades a la referida
normativa. Si la Agencia considerase que los trabajos de adecuación al RGPD y la LOPDGDD
son irregulares o insuficientes, la mencionada normativa contempla otros mecanismos
distintos a la imposición de una multa para corregir las deficiencias que pudieran apreciarse
por la autoridad de control.

No puede aceptarse que haber desarrollado actuaciones diligentes y proactivas a fin de
adaptar sus actividades al nuevo marco normativo sea utilizado en su contra y considerado
como una circunstancia agravante de su presunta responsabilidad. Especialmente, teniendo
en cuenta que BBVA ha ajustado su actuación a las directrices emanadas de la AEPD.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

56/146

- Supuesto carácter continuado de la infracción.

La Agencia era perfectamente conocedora de la Política de Privacidad de BBVA casi un año
antes de acordar el inicio del presente procedimiento sancionador. Dejó transcurrir diez meses
entre la primera admisión a trámite y el inicio del procedimiento, sin efectuar ningún reproche
formal a BBVA, que actuó con la confianza de que no se apreciaba por la autoridad de control
la existencia de vulneración alguna.

Pues bien, el reproche derivado del mantenimiento en el tiempo de la Política de Privacidad
de BBVA sólo debería ser imputable a quien, sabedora de que consideraba la conducta como
reprochable, mantuvo oculta esa opinión durante un período tan prolongado de tiempo. La
AEPD, mediante su inacción, facilitó que BBVA no adoptase medida alguna para subsanar o
modificar la Política de Privacidad.

d) Circunstancias atenuantes concurrentes en el supuesto objeto del presente procedimiento.

- Intencionalidad o negligencia en la infracción (artículo 83.2 b) del RGPD) y grado de
responsabilidad de BBVA habida cuenta de las medidas técnicas u organizativas
aplicadas (artículo 83.2 d) del RGPD): trabajos de adaptación al RGPD y la
LOPDGDD.

Las actuaciones desarrolladas desde 2016 para la adecuación de sus actividades al RGPD,
ya expuestas, dan cuenta de la especial diligencia y proactividad con la que hizo frente a la
aprobación y entrada en vigor del nuevo marco normativo. Dichas actuaciones no pueden
utilizarse en su contra como una circunstancia agravante, menos aún para señalar que fueron
efectuadas con la intención de vulnerar la norma.

Entiende que debe considerarse como atenuante la falta de intencionalidad en la comisión de
las infracciones que se imputan y el elevado grado de responsabilidad proactiva mostrado a
través de los citados trabajos.

- Medidas tomadas por BBVA para paliar los efectos de las presuntas infracciones.
Regularización diligente (artículo 83.2 c) del RGPD). Medidas de regularización
adoptadas en relación con las reclamaciones. Elaboración de una nueva versión de la
Política de Privacidad de BBVA.

BBVA ha desarrollado un gran número de actuaciones para dar pleno cumplimiento a la
normativa sobre protección de datos y subsanar los eventuales fallos puestos de manifiesto
por las precitadas reclamaciones. Puede mencionarse que el Banco atendió los deseos de
cada uno de los reclamantes tan pronto como tuvo conocimiento de los mismos, con
independencia de la validez o corrección de los argumentos esgrimidos por aquéllos,
implementando inmediatamente las acciones precisas y suficientes para evitar que sus datos
fueran tratados en contra de su voluntad.

Asimismo, BBVA llevó a cabo todo un conjunto de actuaciones internas que tenían por objeto
recordar de manera reiterada al conjunto de su red comercial, las políticas adoptadas en
materia de protección de datos; una muestra más de la diligencia empleada.

Conocida la apertura del procedimiento ha intensificado su actividad con el propósito de
reforzar la información proporcionada a los clientes y ha elaborado una nueva versión de la
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

57/146

Política de Privacidad, sin que ello implique en ningún caso el reconocimiento de las
infracciones que se imputan.

Según BBVA, esta nueva versión de la Política de Privacidad de BBVA dejaría sin contenido la
totalidad de los reproches realizados por la AEPD en relación con la transparencia de la
misma. Destaca los aspectos siguientes:

. Expone de manera aún más clara y diferenciada las finalidades del tratamiento de los
datos de representantes, garantes, autorizados o beneficiarios, separada de los clientes
(de este modo, la comunicación de datos figura únicamente entre las finalidades del
tratamiento de los datos de los clientes). Igualmente, la Nueva Política de Privacidad
especifica las categorías de datos afectadas en cada caso.

. Ofrece información más detallada en relación con las categorías de datos personales de
clientes objeto de tratamiento, distinguiendo entre aquéllos proporcionados directamente
por el interesado, los recogidos o generados por BBVA y los obtenidos de otras fuentes.

. Se desarrollan las finalidades relacionadas con la elaboración de perfiles comerciales y
de riesgo, indicando de forma sistemática los tipos y finalidades, la base de legitimación –
describiendo, en su caso, el interés legítimo de BBVA-, los datos utilizados y el período
de tiempo que comprenden, así como las fuentes de tales datos.

. Indica qué datos personales de los clientes se comunicarán a terceros, quiénes pueden
ser dichos terceros, la finalidad de la comunicación y la base de legitimación para la
misma. Para ello, se hace referencia a las comunicaciones como una finalidad específica
y diferenciada del tratamiento de los datos de los clientes de BBVA.

Finalmente BBVA señala que, pese a lo alegado en el presente expediente sancionador, dado
que la Agencia no comparte los criterios de esa entidad (pese a la completa legalidad de su
actuación), y exclusivamente atendiendo a las muy graves consecuencias que para BBVA
puede implicar el mantenimiento por la Agencia de este criterio, se ha modificado el
mecanismo de obtención del consentimiento del interesado, incluyendo en la primera capa
informativa casillas diferenciadas y granulares que el interesado debe marcar si desea
autorizar a BBVA para tratar sus datos con cada una de las finalidades que se indican. Cada
casilla va a acompañada de una descripción del tratamiento y de una remisión a la
información adicional sobre la finalidad contenida en la segunda capa.

BBVA considera que todo lo expuesto muestra la diligencia, proactividad y celeridad mostrada
para mejorar la información proporcionada a los clientes, representantes, garantes,
autorizados y beneficiarios y subsanar los defectos de los que, a juicio de la Agencia, adolecía
tal información. En consecuencia, en opinión de BBVA, para el supuesto de que la AEPD
considere que es responsable de las dos infracciones que se le imputan, las medidas
tomadas por el Banco deberían ser tenidas en cuenta como circunstancias atenuantes de su
eventual responsabilidad.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

58/146

1. Con fecha 16/10/2018, tuvo entrada en esta Agencia una reclamación formulada por el
reclamante 1 contra BBVA, por el envío a su línea de telefonía móvil, en fecha 11/10/2018, de
un SMS promocional sin su autorización.

En relación con esta reclamación, BBVA informó a esta Agencia que el reclamante 1 prestó su
conformidad al envío de publicidad mediante la suscripción, en fecha 07/06/2016, del
documento “Identificación del cliente, tratamiento de datos personales y firma digitalizada”,
aportado a las actuaciones por la propia entidad.

2. Con fecha 09/12/2018, tuvo entrada en esta Agencia una reclamación formulada por el
reclamante 2 contra BBVA, señalando que la App BBVA no cumple los requisitos legales
relativos al consentimiento libre e informado.

En relación con su denuncia, el reclamante 2 aportó copia de un correo electrónico que dirigió
a BBVA, de fecha 09/11/2018, en el que en el que expresamente indica lo siguiente:

BBVA respondió a dicho correo mediante otro de fecha 29/11/2018 en el que literalmente
indica:

El reclamante aportó a las actuaciones copia del documento generado por la App, con el
rótulo “Declaración de actividad económica y política de protección de datos personales”, en
cuyo apartado 1 constan los datos identificativos del cliente (el reclamante 2) y su declaración
de actividad económica. En este documento figuran marcadas todas las opciones habilitadas
para que el interesado preste su consentimiento al tratamiento de los datos personales con
las finalidades que en dichas opciones se expresan (“No quiero…”).

3. Con fecha 13/02/2019, tuvo entrada en esta Agencia una reclamación formulada por el
reclamante 3 contra BBVA, en la que pone de manifiesto que la citada entidad la requirió, para
el desbloqueo de su cuenta, suscribir el documento de protección de datos personales.

Dicho documento, que consta aportado a las actuaciones por el reclamante 3, se corresponde
con el denominado “Declaración de Actividad Económica y Política de Protección de Datos
Personales”. Este documento aparece fechado el 11/02/2019 y sin firma del interesado. De
las opciones habilitadas en este documento para que el interesado preste su consentimiento
al tratamiento de sus datos personales con las finalidades que se expresan en cada caso,
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

59/146

figura marcada la opción “No quiero que BBVA trate mis datos para ofrecerme productos y
servicios de BBVA, del Grupo BBVA y de otros personalizados para mí por email”.

Con su escrito de alegaciones, BBVA aportó, además, otro ejemplar de la citada “Declaración”
suscrito por el reclamante 3 en fecha 17/01/2019 y con la marca en la misma opción de los
consentimientos.

4. Con fecha 23/05/2019, tuvo entrada en esta Agencia una reclamación formulada por el
reclamante 4 contra BBVA, por el envío de comunicaciones comerciales que no ha solicitado
ni autorizado.

En relación con esta reclamación, BBVA informó a esta Agencia que el reclamante 4 no se
opuso al tratamiento de datos denunciado en el documento “Declaración de Actividad
Económica y Política de Protección de Datos”, suscrito por el mismo en fecha 26/11/2018.

En el documento citado, que ha sido aportado a las actuaciones por BBVA, no figura marcada
ninguna de las opciones que se ofrecen al interesado para consentir el tratamiento de sus
datos personales.

5. Con fecha 27/08/2019, tuvo entrada en esta Agencia una reclamación formulada por el
reclamante 5 contra BBVA, por la realización de llamadas telefónicas y envío de SMS
publicitarios.

En relación con esta reclamación, BBVA informó a esta Agencia que el reclamante 5, en fecha
18/06/2018, firmó el documento “Declaración de Actividad Económica y Política de Protección
de Datos Personales”, consintiendo el tratamiento de sus datos con fines comerciales. Añade
que dicho documento fue firmado por segunda vez por el reclamante 5, en fecha 27/05/2019,
manifestando su oposición a los tratamientos citados.

Ambos documentos constan aportados a las actuaciones por la entidad BBVA. En el primero
de ellos no consta ninguna marca en las casillas habilitadas para que el cliente manifieste su
consentimiento a los tratamientos que se indican y en el segundo el interesado marcó todas
las opciones (“No quiero…”).

6. Para la adecuación de sus actuaciones al RGPD, la entidad BBVA habilitó el formulario de
recogida de datos personales denominado “Declaración de actividad económica y política de
protección de datos personales”. En el apartado 1 de este documento constan los datos
identificativos del cliente y su declaración de actividad económica. Entre otros datos, figuran
los relativos a nombre, apellidos, identificador fiscal, fecha de nacimiento, nacionalidad,
domicilio, estado civil, régimen matrimonial, datos de contacto, ingresos fijos y variables,
entidad en la que presta servicio o ingresos brutos anuales.

Mediante este documento, establecido por BBVA como obligatorio para todos los clientes, la
citada entidad da a conocer los términos de su política de privacidad y establece los
mecanismos para que los clientes puedan prestar su consentimiento para el tratamiento de
sus datos personales con las finalidades que se indican en el citado documento.

La firma del documento por el cliente y la fecha se incluye al final del apartado 2 “Política de
protección de datos personales”, indicando expresamente al interesado que con el proceso de
firma presta su conformidad a la “Declaración de actividad económica y política de protección
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

60/146

de datos personales”.

Inmediatamente después de la firma se incluye la “Información ampliada” en materia de
protección de datos personales y un glosario de términos.

En relación con la prestación del consentimiento, inmediatamente antes del espacio habilitado
para la firma, se ofrece a los interesados la posibilidad de marcar las opciones siguientes:

“Te informamos que si no estás de acuerdo con la aceptación de alguna de las siguientes finalidades,
puedes seleccionarlas a continuación.

Mejora de calidad

(El contenido del formulario “Declaración de Actividad Económica y Política de Protección de
Datos Personales” aportado por el reclamante 3 es similar al reproducido en el Anexo 1, salvo
el detalle relativo a la casilla mediante la que se ofrece al cliente la opción “No quiero que
BBVA trate mis datos para ofrecerme productos y servicios de BBVA, Grupo BBVA y de otros
personalizados para mí”, que permite marcar los canales siguientes:

[ ] Por email
[ ] Por SMS
[ ] Por teléfono (llamada telefónica)
[ ] Por correo postal)

El contenido íntegro de esta “Declaración de actividad económica y política de protección de
datos personales” se declara reproducido en este acto a efectos probatorios (el apartado 2
“Política de Protección de Datos Personales” y la “Información ampliada” se incluye como
Anexo 1).

7. Durante 2017 y 2018, BBVA desarrolló diversas actividades para analizar el impacto del
nuevo RGPD en su actividad, entre las que figura el diseñó de un plan para la elaboración de
una nueva cláusula informativa en materia de protección de datos personales, que denomina
“Cláusula LOPD”. Este plan incluía la redacción de un borrador del texto de la citada cláusula
con la política de privacidad, el análisis del procedimiento para obtener el consentimiento
inequívoco de los clientes, incluyendo una serie de casillas en la propia cláusula, y la
realización por terceros externos de dos investigaciones a efectos de validar el contenido y
formato de dicho texto, testar la comprensión del mismo y analizar los canales óptimos para
contactar con los interesados y recabar su consentimiento.

Según BBVA, la primera investigación, que consistía en optimizar la eficacia de la
comunicación a clientes, mostró como resultado que casi el 90% de los entrevistados
aceptaban los diversos tratamientos basados en su consentimiento y que, en los casos en
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

61/146

que no lo hacían, el rechazo se centraba exclusivamente en la recepción de comunicaciones
comerciales, sobre todo de terceros.

Sobre esta investigación, BBVA aportó un documento correspondiente al extracto de la
presentación realizada en octubre de 2017 sobre las conclusiones de estos trabajos, en el
que se indica lo siguiente:

“Objetivo: Optimizar la comunicación a clientes (email y página de firma) para conseguir mayor número
de aceptación de las finalidades de tratamiento de datos”.
“Resultados generales: casi el 90% de los entrevistados acepta todas las condiciones, ya sea de
manera expresa o por defecto; dos tercios de los entrevistados aceptaron las condiciones GDPR de
manera instantánea, sin leer; la no aceptación se centra exclusivamente en la recepción de
comunicaciones comerciales, sobre todo de terceros”.
“Conclusiones: el modelo actual sería válido (tras las modificaciones), es eficiente para estimular la
aceptación de la política de protección de datos (casi 9 de cada 100 consultados acepta todas las
cláusulas); la mención a terceros genera rechazo y desconfianza, convirtiéndose en una barrera y
provocando el rechazo de más finalidades y no solo las comunicaciones comerciales; la no aceptación
de las finalidades se centra en el rechazo de cualquier tipo de comunicación comercial (especialmente
de terceros);… en mobile se presta menos atención: se vincula a una actualización y se lee menos (se
acepta directamente)”.
“Consideraciones generales: en general los clientes no se detienen en la pantalla y los que lo hacen
leen en “diagonal”. Aceptan sin leer ya que la confianza en BBVA es elevada y propicia un análisis
menos exhaustivo de la cláusula”.

. Sobre la segunda investigación, BBVA ha manifestado que tenía por objetivo determinar la
estructura y diseño óptimo de la Cláusula LOPD a efectos de mostrar el mensaje de forma
que no desvíe la atención de la intención principal del cliente y adaptar el texto de las casillas
para prestar el consentimiento de forma que los clientes sean plenamente conscientes de las
consecuencias que tendrá su otorgamiento o su denegación. En relación con esta
investigación, en el extracto de las conclusiones se dice lo siguiente:

“Objetivo: adaptar los mensajes para que el cliente acepte las condiciones consciente de la pérdida que
supondría no hacerlo”.

8. Según consta en la documentación aportada por BBVA, correspondiente al proyecto
“Customer Data Cube”, los tratamientos de datos realizados por dicha entidad sobre la base
del interés legítimo prevalente, utiliza las variables calculadas sobre un período de tiempo
determinado, sobre la evolución en un período (porcentaje por diferencia entre períodos de
tiempo) o sobre los saldos a una fecha determinada (último día del mes).

Según este documento, además de las variables que identifican al cliente y las
sociodemográficas (edad, clasificación nacional de ocupaciones, sección censal, sexo,
indicador de empleo), se toman en consideración las variables siguientes (se citan algunos
ejemplos):

. De vinculación y negocio generales (antigüedad del clientes, categoría, importe y evolución de pasivo
y activo…)
. Variables de activo:
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

62/146

. Saldos, tenencia y antigüedad (importe, evolución, media trimestral, porcentaje amortizado,
último vencimiento en préstamo consumo o hipotecario).
. Cirbe (riesgo, porcentaje de avales, cartera o leasing; riesgo a largo, a corto; riesgo directo o
indirecto…).
. De recursos (importe, evolución y media trimestral en plan de pensiones, fondos, renta variable o fija,
seguros de ahorro…).
. De transaccionalidad
. Tarjetas (importes y media trimestral con tarjeta de crédito o débito en comercios, cajeros…).
. Ingresos (importe, tenencia o número de meses de nómina, pensión…).
. Cuentas (media mensual, evolución de los líquidos, descubiertos…).
. Recibos (importe total en un año de recibos básicos y no básicos, número de recibos en un año,
recibos devueltos, media mensual…).
. De seguros (prima, tenencia, número de meses de seguro de hogar, vida…).
. Empresas (importe, evolución y media de avales; de cartera; cesión de nóminas; comercio exterior;
factoring; leasing; pagos certificados; renting…).
. Digitalización e interacción del cliente
. General (bbvanet; banca_mvl, multicanal)
. Uso de canales (días en los que hay eventos de contratación, operación o consulta, según canal
-incluido oficina y telefónico).

9. En respuesta al requerimiento de pruebas que le fue realizado por el instructor del
procedimiento, BBVA aportó a las actuaciones los documentos siguientes:

. Evaluación de impacto en la protección de datos personales de los tratamientos
relacionados con la realización de perfilados comerciales (El detalle del contenido de este
documento, en lo que interesa al presente procedimiento, consta reseñado en el Antecedente
Octavo).

. Evaluación de impacto en la protección de datos personales de los tratamientos
relacionados con la realización de perfilados de riesgos (El detalle del contenido de este
documento, en lo que interesa al presente procedimiento, consta reseñado en el Antecedente
Octavo).

. Informe de ponderación de la prevalencia del interés legítimo en los tratamientos a los que
se refiere la finalidad numerada como 2 en el apartado “¿Para qué finalidades los
usaremos?”, contenido en el formulario de recogida de datos personales “Declaración de
actividad económica y política de protección de datos personales” (El contenido de este
documento consta igualmente reseñado en el Antecedente Octavo).

. Registro de actividades de tratamiento (el contenido de este documento consta extractado
en el Antecedente Noveno).

Estos documentos se declaran reproducidos en este acto a efectos probatorios.

10. BBVA ha declarado en su escrito de alegaciones que el total de clientes personas físicas
asciende a ocho millones treinta y un mil. En la Web de la entidad se informa que el número
de clientes supera los diez millones.

FUNDAMENTOS DE DERECHO

I
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

63/146

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de
Control, y según lo establecido en los artículos 47, 48, 64.2 y 68.1 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para iniciar y
resolver este procedimiento.

El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la
Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE)
2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su
desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales
sobre los procedimientos administrativos.”

Con carácter previo, se estima oportuno analizar las cuestiones formales suscitadas
por BBVA en su escrito de alegaciones.

En primer término, considera BBVA que el acuerdo de inicio está viciado de nulidad
por la indefensión que produce la fijación del importe de la sanción en el propio acuerdo de
apertura, en lugar de expresar únicamente los límites de la posible sanción, y sin que en el
mismo se hayan motivado las agravantes ni la entidad haya tenido ocasión de manifestarse al
respecto. Por esta misma circunstancia, considera que el acuerdo de inicio excede el
contenido legalmente previsto, vulnerado el artículo 68 de la LOPDGDD, y entiende afectada
la imparcialidad del órgano instructor, que conoce antes de iniciar el procedimiento el criterio
del órgano al que deberá elevar el expediente, en clara ruptura del principio de separación de
la fase instructora y de sanción (artículo 63.1 de la LPACAP).

A este respecto, añade BBVA que el artículo 85 de la LPACAP, que se invoca en la
parte dispositiva del acuerdo de apertura del procedimiento para especificar las reducciones
que conlleva el reconocimiento de responsabilidad, determina que la cuantía de la sanción
pecuniaria podrá determinarse “iniciado el procedimiento sancionador” y que sólo es aplicable
a supuestos que dan lugar a la imposición de una multa de carácter fijo y objetivo.

Esta Agencia no comparte la posición expresada por BBVA en relación con el
contenido del acuerdo de apertura del presente procedimiento sancionador.

A juicio de esta Agencia, el acuerdo de inicio dictado se ajusta a lo previsto en el
artículo 68 de la LOPDGDD, según el cual bastará con que el acuerdo de inicio del
procedimiento concrete los hechos que motivan la apertura, identifique la persona o entidad
contra la que se dirige el procedimiento, la infracción que hubiera podido cometer y su posible
sanción (en este caso, de los distintos poderes correctivos que contempla el artículo 58.2 del
RGPD, la Agencia estimó procedente la imposición de multa, además de la adopción de
medidas para ajustar su actuación a la normativa, sin perjuicio de lo que pudiera resultar de la
instrucción del procedimiento).

En el mismo sentido se expresa el artículo 64.2 de la LPACAP, que establece
expresamente el contenido mínimo de acuerdo de iniciación. Según este precepto, entre otros
detalles, deberá contener “los hechos que motivan la incoación del procedimiento, su posible
calificación jurídica y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte
de la instrucción”.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

64/146

En este caso, no solo se cumplen sobradamente las exigencias mencionadas, sino
que se va más allá ofreciendo razonamientos que justifican la posible calificación jurídica de
los hechos valorada al inicio e, incluso, se mencionan las circunstancias que pueden influir en
la determinación de la sanción.

De acuerdo con lo expuesto, no puede decirse que señalar la posible sanción que
pudiera corresponder por las infracciones imputadas sea determinante de indefensión o que
suponga una ruptura del principio de separación de las fases de instrucción y resolución. Al
contrario, con ello se da cumplimiento a una de las exigencias previstas en las normas
reseñadas.

No puede olvidarse, asimismo, que el artículo 85 de la LPACAP contempla la
posibilidad de aplicar reducciones sobre el importe de la sanción si el infractor reconoce su
responsabilidad y en caso de pago voluntario de la sanción. Este precepto establece la
obligación de determinar esas reducciones en la notificación de iniciación del procedimiento,
lo que conlleva la necesidad de fijar el importe de la sanción correspondiente a los hechos
imputados.

En contra de lo señalado por BBVA, este artículo 85 de la LPACAP no establece que el
importe de la sanción se determine una vez iniciado el procedimiento. Es el reconocimiento de
la responsabilidad y el pago voluntario de la sanción lo que ha de producirse con posterioridad
a eso momento, y no la fijación de la cuantía de la sanción, como afirma BBVA.

De no producirse este reconocimiento de responsabilidad o pago voluntario, que
determinaría la terminación del procedimiento, se instruye el mismo y se dicta posteriormente
la propuesta de resolución, en la que se han de fijar de forma motivada los hechos que se
consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su
caso, aquéllos constituyan, la persona o personas responsables y la sanción que se
proponga, la valoración de las pruebas practicadas, en especial aquellas que constituyan los
fundamentos básicos de la decisión. Esta debe ser notificada a la parte interesada,
concediéndosele plazo para formular alegaciones y presentar los documentos e
informaciones que se estimen pertinentes. En ningún caso se adoptará resolución sin que el
interesado tenga ocasión de manifestarse sobre todos los extremos considerados.

Ningún argumento contiene el escrito de alegaciones a la propuesta de resolución
presentado por BBVA que modifique ese planteamiento y la conclusión expuesta.

BBVA, en este caso, ha visto respetadas todas las garantías del interesado que prevé
la normativa procesal y no puede decirse que la determinación del importe de la multa en el
acuerdo de apertura suponga ninguna merma de dichas garantías causante de indefensión.
Tampoco esta circunstancia quiebra la imparcialidad del órgano instructor, que dispone de
todas las facultades que le atribuye la normativa en cuestión y plena libertad para dictar su
propuesta de resolución. No hay más que acudir a la web de la Agencia, en la que se publican
todas las resoluciones dictadas en procedimientos sancionadores, para verificar la gran
cantidad de ellos que finalizan con una resolución de archivo de actuaciones, siguiendo la
propuesta emitida por el instructor del procedimiento, así como aquellas otras en las que
dicha propuesta incrementó o minoró el importe de la sanción fijado en el acuerdo de apertura
o propuso, incluso, la aplicación de un poder correctivo distinto a la sanción de multa.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

65/146

Cuestiona la entidad interesada, asimismo, que el acuerdo de inicio se “extralimite”
añadiendo a su contenido una breve exposición de las circunstancias que a juicio del órgano
sancionador justifican el inicio del procedimiento, entendiendo que ello vulnera sus derechos.
Esta Agencia no entiende este argumento, especialmente si se considera que BBVA ha
alegado la concurrencia de algún motivo causante de indefensión en varias ocasiones.

El artículo 68 regula el contenido que debe incluir el acuerdo de inicio del
procedimiento para el ejercicio de la potestad sancionadora, señalando que se concretarán
los hechos, la identificación de la persona o entidad contra la que se dirige el procedimiento,
la infracción que hubiera podido cometerse y su posible sanción. Sin embargo, se trata del
contenido mínimo exigible, de los elementos que deben detallarse en el mencionado acuerdo
para determinar su validez. Pero nada impide que, como se ha indicado anteriormente, se
ofrezcan razonamientos relativos a la posible calificación jurídica de los hechos valorada al
inicio o se mencionen las circunstancias que pueden influir en la determinación de la sanción,
lo que sin duda redundará en beneficio del interesado, que ve reforzado y favorecido su
derecho de defensa.

Es cierto, por otra parte, que durante la vigencia del régimen sancionador anterior a la
LPACAP esta Agencia no fijaba el importe de la posible sanción en el acuerdo de inicio,
indicando en su lugar los límites mínimo y máximo que correspondían a la infracción
imputada. Y así fue hasta la entrada en vigor de la citada LPACAP en octubre de 2016;
momento en el que se modificó aquel planteamiento, precisamente para atender lo
establecido en el artículo 85 de dicha Ley y ofrecer al interesado las alternativas que
establece.

Asimismo, BBVA entiende que lo establecido en este artículo 85 de la LPACAP
conlleva que el importe de la multa se determine una vez iniciado el procedimiento. Así,
advierte que esta norma prevé que el reconocimiento de responsabilidad pueda determinar la
imposición de la sanción “que proceda”, de forma que esa fijación parece preverse con
posterioridad al propio reconocimiento de responsabilidad; y que en su apartado 3 establece
que las reducciones deberán adoptarse sobre la sanción “propuesta”, lo que parece referirse
a la propuesta de resolución como el lugar idóneo para la determinación del citado importe.

Esta Agencia no puede compartir este argumento. Basta señalar que el pago
voluntario puede realizarse por el interesado en cualquier momento del procedimiento anterior
a la resolución e implica su terminación. Siendo así, para que el interesado pueda hacer uso
de esta opción, el importe de la sanción deberá establecerse al inicio. De la misma forma,
difícilmente podrá dicho interesado reconocer su responsabilidad iniciado un procedimiento
sancionador si el acuerdo que determina ese inicio no señala el alcance que se atribuirá a ese
reconocimiento de responsabilidad.

Por otra parte, alega BBVA que la AEPD ha mostrado una manifiesta inactividad,
habiéndose limitado a trasladar las reclamaciones, y no todas, al DPD de la entidad y a
acordar su admisión a trámite. Considera que se mantuvo abierta la fase previa de
investigación durante diez meses sin realizar ninguna actividad tendente a investigar el
contenido de las reclamaciones, y que esperó a disponer de un número significativo de
reclamaciones para reactivar un procedimiento que permanecía “suspendido” desde las
primeras admisiones a trámite, el cual versa únicamente sobre la “Declaración de Actividad
Económica y Política de Protección de Datos”, en poder de la Agencia desde la presentación
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

66/146

de la reclamación por el reclamante 2. Añade que durante ese tiempo BBVA actuó en la
confianza de que no se apreciaba irregularidad, de modo que la inacción de la AEPD ha
agravado el reproche. Finalmente, en relación con estas cuestiones, señala que dio respuesta
al traslado de la reclamación formulada por el reclamante 3, en contra de lo indicado en el
acuerdo de apertura del procedimiento, en el que se indica que la Agencia no recibió
respuesta.

Los trámites realizados por esta Agencia a los que se refiere BBVA en su alegación
anterior tienen que ver con el proceso de admisión a trámite de las reclamaciones recibidas,
que incluyó para cuatro de las cinco reclamaciones recibidas su traslado al responsable,
previo al acuerdo de admisión de la reclamación.

De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de
Protección de Datos es competente para desempeñar las funciones que se le asignan en su
artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los
responsables y los encargados del tratamiento acerca de las obligaciones que les incumben,
así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las
mismas.

Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables
y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el
desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de
protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha
autoridad.

Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 de la LOPDGDD,
ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se
formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de
las mismas a los delegados de protección de datos designados por los responsables o
encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a
éstos cuando no los hubieren designado, para que procedan al análisis de dichas
reclamaciones y a darles respuesta en el plazo de un mes. Se trata de un trámite potestativo,
de modo que este traslado se lleva a cabo si la Agencia así lo estima.

De conformidad con esta normativa, con carácter previo a la admisión a trámite de las
reclamaciones que dan lugar al presente procedimiento, en cuatro de ellas se dio traslado de
la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta
Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida.

El resultado de dicho traslado no fue satisfactorio, por lo que, a los efectos previstos
en su artículo 64.2 de la LOPDGDD, se acordó admitir a trámite las reclamaciones
presentadas mediante acuerdos que fueron debidamente notificados a los reclamantes, y no a
BBVA, conforme a lo establecido en el artículo 65.5 de la LOPDGDD. A este respecto, la
citada entidad ha manifestado que dio respuesta al traslado de la reclamación formulada por
el reclamante 3 y aporta justificante de su puesta en correos, si bien dicha respuesta no
consta incorporada al correspondiente expediente de admisión a trámite.

Por otra parte, comete un error la entidad BBVA al afirmar que la fase previa de
investigación se mantuvo abierta durante diez meses sin realizar ninguna actividad, sin que
conste ninguna actuación de investigación específica. En este caso, debe aclararse, no se
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

67/146

acordó la apertura de una fase previa de investigación, establecida como potestativa en el
artículo 67 de la LOPDGDD.

Ninguna consecuencia jurídica puede atribuirse a este hecho, ni tampoco al tiempo
transcurrido entre la admisión a trámite de las reclamaciones y la apertura del procedimiento,
al no existir ninguna norma que acote el tiempo de que dispone la Administración para iniciar
este tipo de procedimientos, más allá de la regla de la prescripción y los efectos que se le
atribuyen. Durante ese intervalo temporal no existía ningún procedimiento en curso que
pudiera entenderse suspendido, como señala la entidad responsable, ni puede sostenerse
que dicho período avale la política de privacidad de BBVA o que durante ese tiempo cese la
responsabilidad de la entidad en el cumplimiento de la normativa. Con independencia del
efecto que pueda atribuirse al intervalo de tiempo previo a la apertura del procedimiento
sancionador, no puede albergarse duda alguna sobre la inexistencia de circunstancias que
hayan permitido a BBVA durante ese espacio temporal entender, si quiera indiciariamente,
que no existía reproche alguno por parte de esta Agencia en relación con las cuestiones
suscitadas por las reclamaciones presentadas. BBVA conocía las reclamaciones formuladas y
conocía también que no existía pronunciamiento alguno de esta Agencia al respecto.

Tampoco existe norma alguna que impida la apertura de un único procedimiento
sancionador que tenga origen en varias reclamaciones dirigidas contra un mismo
responsable.

En su escrito de alegaciones a la propuesta de resolución, BBVA reitera su protesta
sobre la inactividad de la Administración. A su entender, esta inactividad se pone de
manifiesto, una vez que la AEPD acordó prescindir de la realización de actuaciones previas
de investigación, por todo el período comprendido entre la admisión a trámite de la
reclamación formulado por el reclamante 2, el 01/02/2019, y la apertura del procedimiento el
02/12/2019, diez meses después.

Por otra parte, rechaza el planteamiento expuesto anteriormente, según el cual la
única limitación temporal para la apertura del procedimiento sancionador viene determinada
por los plazos de prescripción de la presunta infracción. Considera que los artículos 64.2 y 67
de la LOPDGDD establecen tres fases sucesivas sin solución de continuidad (admisión a
trámite, actuaciones previas de investigación y apertura del procedimiento sancionador), cada
una de ellas con unos límites temporales marcados, de modo que, si se opta por no realizar
actuaciones previas de investigación, una vez admitida a trámite la reclamación deberá
procederse de inmediato a la apertura del procedimiento sancionador.

En este caso, según BBVA, la AEPD debería haber acordado la apertura del
procedimiento en el momento en que decidió admitir la reclamación del reclamante 2, esto es,
el 01/02/2019, con lo que el procedimiento debería haber concluido el 04/11/2019. Sin
embargo, esa apertura tuvo lugar el 02/12/2019, casi un mes después de la fecha en que
debería haber concluido el procedimiento mediante la correspondiente resolución. Entiende
BBVA que esta inactividad injustificada deviene en la caducidad del presente procedimiento,
dado que el plazo para resolver se encontraría vencido en la misma fecha en que se dictó el
acuerdo de inicio.

Debe señalarse que el planteamiento que BBVA realiza sobre esta cuestión en sus
alegaciones a la apertura no se ajusta a Derecho. Por un lado, debe señalarse que no existe
ninguna norma aplicable al procedimiento sancionador en materia de protección de datos
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

68/146

personales que establezca un plazo preclusivo para acordar su apertura; y, por otro lado, que
el plazo de caducidad de ese procedimiento, establecido en nueve meses, se computa desde
la fecha en que se acuerda su inicio, resultando improcedente añadir a ese cómputo, a
efectos de medir la duración del expediente administrativo, ningún otro período, tal como el
tiempo de las actuaciones previas de investigación, en caso de que se hubiese acordado su
realización, o, en este caso, el tiempo correspondiente a la fase de admisión a trámite de las
reclamaciones presentadas.

Así lo ha declarado repetidamente nuestro Tribunal Supremo. En Sentencia de
21/10/2015 se cita la Sentencia de 26/12/2007 (recurso 1907/2005), que declara lo siguiente:

“[…] el plazo del procedimiento […] se cuenta desde la incoación del expediente sancionador, lo que
obviamente excluye del cómputo el tiempo de la información reservada";" […] la mayor o menor
duración de la fase preliminar no lleva aparejada la caducidad del procedimiento ulterior".

También en Sentencia del Tribunal Supremo de 13/10/2011 (recurso 3987/2008) que
examina un motivo de casación relativo al cómputo del plazo de caducidad del procedimiento,
se declara lo siguiente:

“No podemos compartir el razonamiento que expone la Sala de instancia para fijar un dies a quo
diferente al establecido por la Ley, señalando como fecha inicial del cómputo el día siguiente a la
finalización de las diligencias previas informativas.
[…]
Pues bien, una vez realizadas esas actuaciones previas, el tiempo que tarde la Administración en
acordar la incoación del procedimiento […] podrá tener las consecuencias que procedan en cuanto al
cómputo de la prescripción (extinción del derecho); pero no puede ser tomado en consideración a
efectos de la caducidad, pues esta figura lo que pretende es asegurar que una vez iniciado el
procedimiento la Administración no sobrepase el plazo de que dispone para resolver. En el fundamento
tercero de la sentencia recurrida la Sala de instancia realiza una interpretación de la norma que no es
acorde con la naturaleza de la institución de la caducidad, pues a diferencia de la prescripción, que es
causa de extinción del derecho o de la responsabilidad de que se trate, la caducidad es un modo de
terminación del procedimiento por el transcurso del plazo fijado en la norma, por lo que su apreciación
no impide, si no ha transcurrido el plazo establecido para la prescripción de la acción de
restablecimiento de legalidad urbanística por parte de la Administración, la iniciación de un nuevo
procedimiento”.

Sobre esta misma cuestión, BBVA invoca la doctrina sentada por la Audiencia Nacional
(AN) en su Sentencia de 17/10/2007 (recurso 180/2006), que consta reseñada en los
Antecedentes, en la que ponía de manifiesto la ilicitud de la prolongación inadecuada o
infundada de las actuaciones previas de investigación. Se refiere esta Sentencia a un
supuesto tramitado por la AEPD en el que las actuaciones previas de investigación se
mantuvieron inactivas durante casi once meses, cuando la entidad en cuestión había atendido
la solicitud de información en los dos primeros meses de la tramitación de dichas actuaciones.
La Audiencia Nacional concluyó que se produjo una “[…] utilización fraudulenta de la
institución de las diligencias previas. Nos hallamos en consecuencia ante un supuesto de
fraude de Ley contemplado en el artículo 6.4 del Código Civil, por cuanto se pretende burlar la
aplicación del Art. 42.2 de la Ley 30/1992 usando la solicitud de información para, con ella,
evitar la caducidad del expediente sancionador”.

Es necesario precisar que la Audiencia Nacional modificó este criterio a partir de la
Sentencia de 19/11/2008 (recurso 90/2008).

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

69/146

En todo caso, el presente expediente no se ajusta al supuesto analizado en la
Sentencia invocada, no solo porque ésta se refiere a un caso de utilización fraudulenta de las
actuaciones previas de investigación, que no se han llevado a cabo en el supuesto que nos
ocupa; sino porque en este caso no se ha utilizado ningún trámite ni se ha burlado ningún
precepto para evitar la caducidad del procedimiento, que no se ha producido. No se incumple
lo dispuesto en el artículo 6.4 del Código Civil, según el cual “Los actos realizados al amparo
del texto de una norma que persigan un resultado prohibido por el ordenamiento jurídico, o
contrario a él, se considerarán ejecutados en fraude de ley y no impedirán la debida
aplicación de la norma que se hubiere tratado de eludir”.

Es más, en ese caso ni siquiera puede decirse que el período al que se refiere BBVA,
el que comprende el tiempo transcurrido entre la admisión a trámite de la reclamación del
reclamante 2 (01/02/2019) y la apertura del procedimiento (02/12/2019), se trate de un
período de inactividad de la Administración, dado que durante ese tiempo se realizaron los
trámites de admisión del resto de reclamaciones. Las reclamaciones presentadas por los
reclamantes 3 a 5 tuvieron entrada en esta Agencia en las fechas 13/02/2019 (unos días
después de aquella admisión a trámite de 01/02/2019), 23/05/2019 y 27/08/2019; y se
admitieron a trámite mediante acuerdos de 06/08/2019, 13/09/2019 y 30/10/2019,
respectivamente.

Por otro lado, entiende BBVA que se utiliza el procedimiento para la adopción de
criterios generales de interpretación de las normas en perjuicio de BBVA. A este respeto, cita
la Sentencia de la Audiencia Nacional de 23/04/2019 (recurso 88/2017), que declaró contrario
a los principios del derecho sancionador el establecimiento de criterios generales en el seno
de un procedimiento sancionador.

No comparte esta Agencia la conclusión manifestada por BBVA. Como puede
comprobarse en el acuerdo de apertura, y mucho más en este acto, los acuerdos que se
adoptan encuentran fundamento en lo expresado en la normativa aplicable y en consolidadas
interpretaciones de la misma.

III

Teniendo en cuenta el cambio normativo que ha supuesto la aprobación del RGPD,
aplicable a partir del 25 de mayo de 2018, las presentes actuaciones se llevan a cabo para el
análisis del formulario de recogida de datos personales utilizado por la entidad BBVA con
posterioridad a aquella fecha, denominado por dicha entidad como “Declaración de actividad
económica y política de protección de datos personales”, para determinar el alcance de dicho
documento y las posibles irregularidades que puedan apreciarse desde el punto de vista de la
normativa de protección de datos personales. Se omite, por tanto, cualquier referencia al
documento relativo al tratamiento de datos personales suscrito por el reclamante 1 en el año
2016.

Desde la perspectiva de la normativa de protección de datos personales, se analizará
en esta resolución la información ofrecida por parte de BBVA a sus clientes en materia de
protección de datos personales mediante dicho documento, y concretamente: (1) el
cumplimiento por parte de BBVA del principio de transparencia establecido en los artículos 5,
12 y siguientes del RGPD, y preceptos relacionados; (2) los distintos tratamientos de datos
personales de sus clientes que lleva a cabo la entidad conforme a la información ofrecida; y
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

70/146

(3) el análisis de los mecanismos empleados para recabar la prestación del consentimiento de
los interesados.

Todo ello, en el marco de la nueva normativa, constituida por el RGPD, aplicable
desde el 25/05/2018, y la LOPDGDD, en vigor desde el día siguiente al de su publicación en
el Boletín Oficial del Estado, que tuvo lugar el 06/12/2018.

No será objeto de análisis la información ofrecida en esta materia a través de cualquier
otro canal o documento, como pudieran ser los formularios empleados para la contratación de
productos o de servicios que, por su especialidad, incluyeran sus propias cláusulas de
protección de datos.

Tampoco se examina la actuación que pudieran desarrollar las empresas que integran
el denominado “Grupo BBVA” en relación con los datos personales que les son comunicados
por BBVA conforme a lo indicado en la “Declaración de actividad económica y política de
protección de datos personales”.

Se excluye igualmente el análisis de los procedimientos establecidos por BBVA para la
gestión de los derechos de los clientes, así como los mecanismos que emplee la citada
entidad para la modificación de los consentimientos prestados mediante el repetido
formulario.

Asimismo, aunque se tiene en cuenta la información contenida en las Evaluaciones de
Impacto aportadas por BBVA, que ha quedado reseñada en los Antecedentes, no se realiza
análisis alguno sobre la seguridad de los datos.

De acuerdo con lo expuesto, las conclusiones que pudieran derivarse del presente
procedimiento no supondrán ningún pronunciamiento respecto de los aspectos anteriores
descartados, ni en relación con las entidades del Grupo BBVA.

Constituye, por tanto, el objeto del procedimiento, así declarado expresamente en el
acuerdo de apertura, el formulario que da a conocer los términos aplicables a la protección de
datos personales y requiere el consentimiento de los interesados.

A juicio de BBVA, es causa que justifica el archivo de las actuaciones la inexistente
vinculación entre las reclamaciones formuladas y el expresado objeto del procedimiento, por
cuanto los hechos supuestamente infractores que se invocan no pueden ser el fundamento en
que se apoya la AEPD para la apertura del presente procedimiento. Entiende que se analiza
el alcance de la Política de Privacidad contenida en aquel formulario sin vincular ningún
razonamiento al contenido de las reclamaciones, e invoca al respecto la misma Sentencia de
la Audiencia Nacional citada en el Fundamento de Derecho anterior (SAN de 23/04/2019;
recurso 88/2017), que anula la sanción de la AEPD, entre otras razones, por existir
discrepancia entre lo denunciado y el objeto de la resolución sancionadora.

Esta alegación debe ser igualmente desestimada por varias razones, siendo la primera
de ellas (i) que la doctrina sentada en la sentencia citada es aplicable a hechos anteriores al
RGPD, el cual establece un régimen jurídico nuevo y distinto que ha de tenerse en cuenta en
el procedimiento; (ii) además, los hechos puestos de manifiesto en las reclamaciones de los
reclamantes/denunciantes están estrechamente vinculados al documento que contiene la
política de privacidad y mediante el que BBVA recaba los consentimientos para las
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

71/146

actividades que lleva a cabo, y del examen de dichas reclamaciones, de la documentación
aportada por el BBVA, y del formulario empleado resulta que la actuación del BBVA trasciende
de las cinco reclamaciones presentadas pues su actuación en esas cinco actuaciones
descritas por cada uno de los reclamantes responde a la política general de la entidad en
materia de protección de datos, que esta AEPD entiende que se realiza, en palabras del
propio RGPD, “con infracción del Reglamento”; y (iii) que a diferencia de lo relatado en la
sentencia de tan reiterada cita de la Audiencia Nacional (véase su fundamento jurídico
Noveno), en la presente resolución se hace referencia a las concretas denuncias, se hace una
valoración de las pruebas practicadas en torno a las mismas, que son conductas concretas e
individualizadas en relación a unas determinadas personas físicas, pero que además
trascienden dichas denuncias.

El RGPD ha establecido un régimen propio y específico respecto de los
procedimientos ante las autoridades de control en materia de protección de datos. El Capítulo
VIII del RGPD lleva por título “Recursos, responsabilidad y sanciones”, y el primero de los
artículos de dicho Capítulo VIII, el artículo 77, establece el derecho a presentar una
reclamación ante una autoridad de control. Art. 77.1 Sin perjuicio de cualquier otro recurso
administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación
ante una autoridad de control, en particular en el Estado miembro en el que tenga su
residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el
tratamiento de datos personales que le conciernen infringe el presente Reglamento. A su vez,
el art. 79 RGPD establece que [s]in perjuicio de los recursos administrativos o extrajudiciales
disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control en
virtud del artículo 77, todo interesado tendrá derecho a la tutela judicial efectiva cuando
considere que sus derechos en virtud del presente Reglamento han sido vulnerados como
consecuencia de un tratamiento de sus datos personales.

Vemos por lo tanto que una “reclamación” de un particular puede dar lugar a dos tipos
de procedimientos, uno de ellos relativo a infracciones del RGPD, con carácter general, y otro
por vulneración de sus derechos.

En la LOPDGDD dicha distinción se ha plasmado en el Título VIII, que regula
conjuntamente los procedimientos en caso de posible vulneración de la normativa de
protección de datos. Así, su art. 63.1, Régimen jurídico, incluye (a) los procedimientos en caso
de infracción del RGPD y la propia LOPDGDD y (b) los derivados de una posible vulneración
de los derechos de los interesados. No prevé la LOPDGDD ningún tipo adicional de
procedimiento en caso de posible vulneración de la normativa de protección de datos, de
manera que todas las funciones y poderes que el RGPD otorga a las autoridades de control
en los arts. 57 y 58 RGPD habrán de ejercitarse a través de dichos procedimientos en caso
de posible vulneración de la normativa de protección de datos. No existen otros.

De ello se desprende, teniendo en cuenta igualmente el art. 64 LOPDGDD, que
cuando el procedimiento se dirija exclusivamente a la falta de atención de una solicitud de los
derechos los artículos 15 a 22 RGPD será necesaria una reclamación, pero que (art. 64.2
LOPDGDD) [c]uando el procedimiento tenga por objeto la determinación de la posible
existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente
ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como
consecuencia de reclamación. Es decir, tanto el RGPD como la LOPDGDD consideran que
una reclamación de un afectado puede ser la vía o el medio de llevar a conocimiento de la
autoridad de control una posible infracción de la normativa de protección de datos pero en
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

72/146

ningún caso restringe la actuación de la autoridad de control a la específica y concreta queja
de los afectados. Y ello por mucha razones, entre las que destaca, como puede ser el caso en
el presente procedimiento, que de la confluencia de varias reclamaciones de personas
individuales afectadas se ponga de manifiesto una actuación del responsable que con
carácter general (esto es, no sólo en los casos concretos presentados por los reclamantes)
de la que resulte que dichos casos concretos son el reflejo de una pauta o política común
aplicada a todas aquellas personas afectadas que estén en el mismo caso que los
interesados.

Con un ejemplo distinto del procedimiento actual podrá entenderse más claramente.
Podría considerarse que una entidad incurre en una infracción de la normativa de protección
de datos en un caso concreto cuando dicha actuación individualmente considerada supone un
desvío de la norma o de las políticas generales de la empresa (por ejemplo, la introducción de
una deuda en un archivo de morosos en un caso puntual incumpliendo su propia política de
privacidad); pero cuando una actuación que se considera incorrecta deriva de una política
general adoptada por el responsable del tratamiento, de manera que no se trata de errores
puntuales en cinco casos, sino que dichos cinco casos son tan sólo el botón o la muestra de
una política general adoptada que se considera en infracción del RGPD, la infracción no
reside exclusivamente en los cinco casos examinados sino en la política de privacidad
adoptada por el responsable. Será dicha política de privacidad la que constituya una
infracción del RGPD, y no solamente las infracciones concretas basadas en dicha política de
privacidad.

Lo contrario sería inconsistente con la finalidad y la voluntad del legislador comunitario,
plasmada expresamente en el RGPD de que las autoridades de control controlen y hagan
aplicar el RGPD, y con lo previsto en el RGPD de que puedan ponerse de manifiesto
“infracciones” de la normativa de protección de datos a través de “reclamaciones” que pueden
trascender de las propias reclamaciones individuales formuladas.

Basta señalar al respecto, ya en el presente caso concreto, que todas las acciones de
tratamiento de datos personales que son objeto de las reclamaciones formuladas se justifican
por BBVA con el mencionado documento “Declaración de Actividad Económica y Política de
Protección de Datos” y su firma por los reclamantes, según consta en los Hechos Probados.
La propia entidad BBVA declara en sus alegaciones que la reclamación formulada por el
reclamante 2 se refiere al contenido de la política de privacidad y al proceso de obtención del
consentimiento; hace una referencia general a “aquellos supuestos en los que el reclamante
ha mostrado su disconformidad con la forma de obtener el consentimiento”; y también en
relación con el reclamante 2 BBVA se expresa haciendo referencia a las “acusaciones
realizadas sobre la política de privacidad… o la licitud del tratamiento de los datos”; lo que
desmonta su argumento sobre la falta de relación entre las reclamaciones y el acuerdo de
inicio. En este caso, el reclamante 2 advirtió expresamente que para prestar el consentimiento
“sólo ofrece la posibilidad de oponerse al tratamiento de datos personales para fines distintos
a los necesarios a los fines de la prestación de servicios financieros si el cliente activa las
casillas de oposición a un tratamiento que POR DEFECTO (véase artículo 25 del RGPD)
debieran considerarse como activadas” y que “El texto informativo resulta poco coherente con
el principio de transparencia del artículo 12 del RGPD”.

En el caso del reclamante 1, se denuncia el envío a su línea de telefonía móvil de un
SMS promocional, el cual se justifica por BBVA señalando que el reclamante 1 prestó su
consentimiento mediante la firma, en fecha 07/06/2016, del documento “Identificación del
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

73/146

cliente, tratamiento de datos personales y firma digitalizada”.

La reclamación formulada por el reclamante 3 se refiere específicamente a la
“Declaración de Actividad Económica y Política de Protección de Datos Personales”.

El reclamante 4, por su parte, denuncia el envío de comunicaciones comerciales que
no ha solicitado ni autorizado, el cual se justifica igualmente por BBVA señalando que este
reclamante no se opuso al tratamiento de datos denunciado en el documento “Declaración de
Actividad Económica y Política de Protección de Datos”, suscrito por el mismo en fecha
26/11/2018.

Y, finalmente, el reclamante 5 formula reclamación contra BBVA por la recepción de
llamadas telefónicas y SMS publicitarios, también justificadas por aquella entidad en base al
consentimiento prestado por el reclamante con la firma del documento “Declaración de
Actividad Económica y Política de Protección de Datos Personales” para el tratamiento de sus
datos con fines comerciales.

En base a lo expuesto, todas estas reclamaciones tienen que ver con tratamientos de
datos personales de los reclamantes que BBVA ampara en el consentimiento prestado por los
titulares de los datos mediante la firma de la repetida “Declaración de Actividad Económica y
Política de Protección de Datos”. Para valorar la regularidad de estos tratamientos resulta
imprescindible analizar el consentimiento prestado y su validez, para lo que resulta
determinante, en especial, comprobar la información ofrecida en materia de protección de
datos personales y los mecanismos habilitados para recabar el consentimiento de los
afectados, sin olvidar el resto de principios y garantías establecidos en la normativa aplicable.

En consecuencia, la AEPD, ha decidido analizar la repercusión del repetido documento
“Declaración de actividad económica y política de protección de datos personales”, el cual
contiene la información que BBVA facilita prioritariamente a sus clientes y los mecanismos de
recogida de consentimientos. A la vista de las deficiencias advertidas en el mismo respecto de
la normativa de protección de datos, resulta que tales deficiencias tienen un alcance general,
de modo que se ven afectados todos los clientes de la entidad, y no sólo los cinco
reclamantes, de lo que resultaría, conforme se ha expuesto, que la infracción no se produce
exclusivamente respecto de los cinco reclamantes, sino con carácter general como
consecuencia de dicha política de privacidad.

No puede decirse, por tanto, que no existe vinculación entre el objeto del
procedimiento y las reclamaciones. Prueba de ello es la definición del objeto del expediente
que consta en los párrafos iniciales del presente Fundamento de Derecho.

Tal y como expone la sentencia de la AN tan meritada, “el relato de "hechos probados",
tanto en el procedimiento penal como en el administrativo sancionador, resulta fundamental
para fijar los hechos y las conductas tipificadas, ya que solo así se viene a respetar el
principio de tipicidad, que, según la doctrina es "la descripción legal de una conducta
específica a la que se conectará la sanción administrativa ". En el presente caso, se reitera,
los hechos probados están claros en cuanto que es la propia BBVA la que pone de manifiesto
que su actuación responde a que todos los reclamantes accedieron a y firmaron la
“Declaración de actividad económica y política de protección de datos personales”, por lo que
en ningún caso existe indefensión.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

74/146

En cualquier caso, ninguna norma impide que el órgano que ejerce la potestad
sancionadora, cuando determina la apertura de un procedimiento sancionador, siempre de
oficio (art. 63.1 ley 39/2015, de 1 de octubre), determine su alcance conforme a las
circunstancias puestas de manifiesto, aunque las mismas no se ajusten estrictamente a las
manifestaciones y pretensiones del denunciante. Es decir, el acuerdo de inicio del
procedimiento sancionador no está constreñido por la denuncia (la “reclamación”) presentada
por el particular. No ocurre así en el caso de procedimientos tramitados a solicitud del
interesado, en los que el artículo 88.2 de la LPACAP exige que la resolución sea congruente
con las peticiones formuladas por éste. Incluso, en este caso, queda a salvo la potestad de la
Administración de incoar de oficio un nuevo procedimiento.

Este mismo artículo 88 de la LPACAP, referido al contenido de la resolución, en su
apartado 1 establece la obligación de decidir todas las cuestiones planteadas por los
interesados y aquellas otras que deriven del procedimiento, incluidas cuestiones conexas no
planteadas por los interesados. Este artículo establece expresamente lo siguiente:

“1. La resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
Cuando se trate de cuestiones conexas que no hubieran sido planteadas por los interesados, el órgano
competente podrá pronunciarse sobre las mismas, poniéndolo antes de manifiesto a aquéllos por un
plazo no superior a quince días, para que formulen las alegaciones que estimen pertinentes y aporten,
en su caso, los medios de prueba”.

En el procedimiento sancionador, incluso, se tendrán en cuenta los hechos que se
pongan de manifiesto durante su instrucción, los cuales se determinarán en la propuesta de
resolución, y podrán motivar la modificación de las imputaciones contenidas en el acuerdo de
inicio del procedimiento o su calificación jurídica.

En este sentido, al referirse a las especialidades de la resolución en los
procedimientos sancionadores, el artículo 90 de la LPACAP establece:

“2. En la resolución no se podrán aceptar hechos distintos de los determinados en el curso del
procedimiento, con independencia de su diferente valoración jurídica…”.

El mencionado formulario habilitado por BBVA para la recogida de datos personales de
sus clientes da a conocer los nuevos términos aplicables a la protección de dichos datos
personales por razón de los servicios contratados y se requiere el consentimiento de los
interesados para su utilización con las finalidades que se indican en el documento. El
contenido íntegro de esta información consta reproducido en el Anexo 1 a este acuerdo de
apertura de procedimiento.

No obstante, se considera relevante destacar los aspectos siguientes:

En la información facilitada a los clientes, se identifica a la entidad BBVA como
responsable del tratamiento de los datos, se reseñan los tipos de datos personales que serán
objeto de tratamiento, las operaciones de tratamiento que se llevarán a cabo, incluidas las
comunicaciones de datos, y las finalidades para las que son tratados los datos en cuestión,
así como la base legitimadora del tratamiento. Los dos apartados finales están dedicados a la
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

75/146

conservación de los datos personales y a los derechos de los interesados.

Sobre los tipos de datos de clientes, representantes, garantes, autorizados o
beneficiarios, en el apartado “¿Qué datos personales tuyos trata BBVA?”, incluido en la
“Información ampliada”, se especifican expresamente las siguientes categorías:

“. Datos identificativos y de contacto (incluidas direcciones postales y/o electrónicas).
. Datos de firma (incluida la firma digitalizada y electrónica que te comentamos más adelante).
. Códigos o claves de identificación para acceso y operativa en los canales a distancia que utilizas en
tu relación con BBVA.
. Datos económicos y de solvencia patrimonial (incluidos los relativos a todos los productos y servicios
que tienes contratados con BBVA o de los que BBVA es comercializador).
. Datos transaccionales (ingresos, pagos, transferencias, adeudos, recibos, así como cualquier otra
operación y movimiento asociado a cualesquiera productos y servicios que tengas contratados con
BBVA o de los que BBVA es comercializador).
. Datos sociodemográficos (tales como edad, situación familiar, residencias, estudios y ocupación)”.

En cuanto a las finalidades para las que se utilizarán los datos personales de clientes
el documento enumera las siguientes:

1. Gestionar los productos y servicios que tienes, solicites o contrates con BBVA.

2. Conocerte mejor y personalizar tu experiencia.

“En BBVA queremos que tu experiencia como cliente sea lo más satisfactoria posible, a través de una
relación personalizada Io más adaptada a tu perfil de cliente y a tus necesidades.
Para lograrlo tenemos que conocerte mejor, analizando no solo los datos que nos permiten identificarte
como cliente, sino también tu evolución financiera y la de los productos y servicios que tienes
contratados con nosotros o a través de BBVA como comercializador, tus operaciones -pagos. ingresos,
transferencias, adeudos, recibos- así como los usos de los productos, servicios y canales de BBVA.
Adicionalmente, aplicaremos métodos estadísticos y de clasificación para ajustar correctamente tu
perfil. En base a lo anterior, conseguimos elaborar nuestros modelos de negocio.
Gracias a este análisis podremos conocerte mejor, valorar nuevas funcionalidades para ti, productos y
servicios que consideremos acordes a tu perfil (propios o comercializados por BBVA), así como ofertas
personalizadas con precios más ajustados para ti. Como te conoceremos mejor, podremos felicitarte
por tu aniversario, desearte un buen día o felices fiestas.
Si no estás de acuerdo, puedes oponerte enviando un email a: [email protected] o
en cualquiera de nuestras oficinas.
Este apartado solo es aplicable a clientes BBVA”.

3. Ofrecerte productos y servicios de BBVA, del Grupo BBVA y de otros, personalizados para ti. No
vamos a inundarte con información.

“Ofrecerte productos y/o servicios de BBVA
Nos gustaría mantenerte al día sobre nuevos productos y servicios de BBVA, así como darte consejos
recomendaciones para gestionar mejor tu situación financiera.
También podemos enviarte información sobre productos y servicios de BBVA con precios más
ajustados a tu perfil, informándote de aquello que te pueda interesar como cliente.

Oferta de productos y/o servicios del Grupo BBVA y de terceros
Te podemos enviar información, acorde a tu perfil de cliente, sobre productos, servicios y ofertas
financieras y no financieras de las sociedades del Grupo BBVA y de terceros (incluidos los productos y
servicios de los que BBVA es comercializador) pertenecientes a estos sectores de actividad: financiero,
parabancario, seguros, viajes automoción, telecomunicaciones, suministros, seguridad, informática,
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

76/146

educación, inmuebles. productos de consumo, ocio y tiempo libre, servicios profesionales y servicios
sociales.

Canales para el envío de la información comercial
Nos pondremos en contacto contigo a través de diferentes canales: correo postal, correo electrónico
notificaciones push, SMS, redes sociales, banners, páginas web u otro medio de comunicación
electrónica equivalente.

Este apartado solo se aplica a clientes BBVA”.

4. Comunicar tus datos a sociedades del Grupo BBVA para que te puedan ofrecer productos y servicios
propios personalizados para ti.

“Si quieres que las sociedades del Grupo BBVA incluidas en esta dirección
https://www.bbva.es/estaticos/muIt/Sociedades-grupo.pdf te puedan ofrecer productos y servicio
personalizados en características y precio, necesitamos que nos autorices a comunicarles datos
relativos a tu perfil de cliente (importe de ingresos y gastos, saldos y utilización de nuestros canales).
Esa información se tratará para intentar mejorar las características y precios de la oferta de productos y
servicios. Las sociedades del Grupo BBVA únicamente tratarán tus datos para esa finalidad”.

5. Mejorar la calidad de los productos y servicios.

“Necesitamos utilizar tu información de forma anónima sin ninguna característica que te pueda
identificar, porque en BBVA queremos:
Incrementar tu grado de satisfacción como cliente.
Atender tus expectativas.
Perfeccionar nuestros procesos internos.
Mejorar la calidad de productos y servicios existentes.
Desarrollar nuevos productos y servicios propios o de terceros.
Realizar estadísticas, encuestas, cálculos actuariales, medias y/o estudios de mercado que puedan ser
de interés de BBVA o de terceros.
Mejorar los instrumentos de lucha contra el fraude.

Dicha información se obtiene a partir del uso de productos, servicios y canales de BBVA. En todo
momento, tratamos los datos usando protocolos internos seguros y actualizados.
Este apartado solo se aplica a clientes BBVA”.

BBVA se refiere al interés legítimo como base legitimadora para el uso de los datos
con la finalidad señalada con el número 2 y al consentimiento en relación con las finalidades
3, 4 y 5.

Sobre la utilización de los datos en base al interés legítimo, se advierte sobre la
posibilidad de oponerse enviando un email a la dirección que se indica o en cualquiera de las
oficinas de la entidad. Y se añade:

“Por interés legítimo de BBVA, para que desde BBVA podamos atender mejor tus expectativas y
podamos incrementar tu grado de satisfacción como cliente al desarrollar y mejorar la calidad de
productos y servicios propios o de terceros, así como realizar estadísticas, encuestas o estudios de
mercado que puedan resultar de interés.
Asimismo, por interés legítimo de BBVA para ser un banco cercano a ti como cliente y poder
acompañarte durante nuestra relación contractual, podríamos felicitarte por tu aniversario, desearte un
buen día o felices fiestas.
Estos intereses legítimos respetan tu derecho a la protección de datos personales, al honor y a la
intimidad personal y familiar. En BBVA consideramos que, como cliente, tienes una expectativa
razonable a que se utilicen tus datos para que podamos mejorar los productos y servicios y puedas
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

77/146

disfrutar de una mejor experiencia como cliente. Además, estimamos que también tienes una
expectativa razonable a recibir felicitaciones con motivo de tu aniversario. desearte un buen día o
felices fiestas. Pero recuerda que en ambos casos basados en interés legítimo, siempre puedes ejercer
tu derecho de oposición si lo consideras oportuno en la siguiente dirección:
[email protected] o en cualquiera de nuestras oficinas”.

Sobre los datos de representantes, garantes, autorizados o beneficiarios, se informa
que se tratarán únicamente para la gestión del contrato.

Por otra parte, en el repetido documento se informa que podrán realizarse
comunicaciones de datos personales a las sociedades del Grupo BBVA, basando esta
comunicación de datos en el consentimiento del interesado. En este caso, no se distingue si
los datos que se comunicarán corresponden a clientes o representantes, garantes,
autorizados y beneficiarios, pero dado que los datos de estos interesados únicamente se
utilizan para el cumplimiento de la relación contractual, se entiende que la información sobre
la comunicación de datos a las empresas del Grupo no se refiere a los mismos.

En relación con la comunicación de datos personales, en la “información ampliada” se
indica lo siguiente:

“No cederemos tus datos personales a terceros, salvo que estemos obligados por una ley o que tú Io
hayas pactado previamente con BBVA
Como te hemos indicado, si tú lo consientes previamente, podremos comunicar a las sociedades del
Grupo BBVA incluidas en esta dirección https://www.bbva.es/estaticos/muIt/Sociedades-grupo.pdf tus
datos identificativos, de contacto y datos transaccionales para que puedas recibir ofertas
personalizadas.
Para poder prestarte un servicio adecuado y gestionar la relación que mantenemos contigo como
cliente, en la siguiente dirección http://bbva.lnfo/empresasdatos encontrarás una relación por
categorías de las empresas que tratan tus datos por cuenta de BBVA, como parte de la prestación de
servicios que les hemos contratado.
Además te informamos que, para la misma finalidad que la indicada en el párrafo anterior,
determinadas sociedades que prestan servicios a BBVA podrían acceder a tus datos personales
(transferencias internacionales de datos).
Dichas transferencias se realizan a países con un nivel de protección equiparable al de la Unión
Europea (decisiones de adecuación de la Comisión Europea, cláusulas contractuales tipo así como
mecanismos de certificación) Para más información puedes dirigirte al Delegado de Protección de
Datos de BBVA en la siguiente dirección de correo electrónico: [email protected]”.

La firma del documento por el cliente y la fecha se incluye al final del apartado 2
“Política de protección de datos personales”, en el que se le indica que con el proceso de
firma presta su conformidad a la Declaración de Actividad Económica y Política de Protección
de Datos.

Inmediatamente antes del espacio habilitado para la firma se informa como sigue:

“Te informamos que si no estás de acuerdo con la aceptación de alguna de las siguientes finalidades,
puedes seleccionarlas a continuación.

78/146

Mejora de calidad

El artículo 5 “Principios relativos al tratamiento” del RGPD establece:

“1.Los datos personales serán:

a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y
transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de
manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior
de los datos personales con fines de archivo en interés público, fines de investigación científica e
histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la
finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados
(«minimización de datos»);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se
supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines
para los que se tratan («exactitud»);
e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del
necesario para los fines del tratamiento de los datos personales; los datos personales podrán
conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo
en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con
el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas
apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del
interesado («limitación del plazo de conservación»);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la
protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño
accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»).

2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y
capaz de demostrarlo («responsabilidad proactiva»)”.

En relación con los citados principios, se tiene en cuenta lo señalado en el
Considerando 39 del citado RGPD:

“39. Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar
totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos
personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El
principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos
datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho
principio se refiere en particular a la información de los interesados sobre la identidad del responsable
del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y
transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y
comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las
personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos
relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en
relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

79/146

deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos
personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que
sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de
conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera
lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan
más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o
revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o
supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo
que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para
impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”.

El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente:

“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida,
registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso,
cotejo o interconexión, limitación, supresión o destrucción”.

De acuerdo con dichas definiciones, la recogida de datos de carácter personal a través
de formularios habilitados al efecto constituye un tratamiento de datos, respecto del cual el
responsable del tratamiento ha de dar cumplimiento al principio de transparencia, establecido
en el artículo 5.1 del RGPD, según el cual los datos personales serán “tratados de manera
lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia)”; y
desarrollado en el Capítulo III, Sección 1ª, del mismo Reglamento (artículos 12 y siguientes).

El artículo 12.1 del citado Reglamento establece la obligación del responsable del
tratamiento de tomar las medidas oportunas para “facilitar al interesado toda información
indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos
15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil
acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida a un
niño”.

En el mismo sentido se expresa el artículo 7 del RGPD para supuestos en los que el
consentimiento del interesado se preste en el contexto de una declaración escrita, como
ocurre en el presente caso. Según este artículo, dicha solicitud del consentimiento “se
presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible
y de fácil acceso y utilizando un lenguaje claro y sencillo”. Se añade en este precepto que
ninguna parte de la declaración que constituya infracción del presente Reglamento será
vinculante.

El artículo 13 del citado texto legal detalla la “información que deberá facilitarse
cuando los datos personales se obtengan del interesado” y el artículo 14 mencionado se
refiere a la “información que deberá facilitarse cuando los datos personales no se hayan
obtenido del interesado”.

En el primer caso, cuando los datos personales se recaben directamente del
interesado, la información deberá facilitarse en el momento mismo en que tiene lugar esa
recogida de datos. El artículo 13 del RGPD detalla esa información en los términos siguientes:
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

80/146

1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento,
en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del
responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer país u
organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o,
en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo
segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de
estas o al hecho de que se hayan prestado.

2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al
interesado, en el momento en que se obtengan los datos personales, la siguiente información
necesaria para garantizar un tratamiento de datos leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios
utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales
relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al
tratamiento, así como el derecho a la portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2,
letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte
a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario
para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está
informado de las posibles consecuencias de que no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo
22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así
como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.

3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un
fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho
tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor
del apartado 2.

4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el
interesado ya disponga de la información”.

El artículo 14 regula la información que deberá facilitarse en relación con los datos que
no se recaban directamente del interesado:

“1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento
le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del
tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer
país u organización internacional y la existencia o ausencia de una decisión de adecuación de la
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

81/146

Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49,
apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para
obtener una copia de ellas o al hecho de que se hayan prestado.

2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al
interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y
transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los
criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del
responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales
relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al
tratamiento, así como el derecho a la portabilidad de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2,
letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte
a la licitud del tratamiento basada en el consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso
público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el
artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica
aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el
interesado.

3.El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un
mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el
momento de la primera comunicación a dicho interesado, o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos
personales sean comunicados por primera vez.

4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para
un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho
tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el
apartado 2.

5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado,
en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica
o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89,
apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo
pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales
casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses
legítimos del interesado, inclusive haciendo pública la información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los
Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas
para proteger los intereses legítimos del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una
obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros,
incluida una obligación de secreto de naturaleza estatutaria”.

Por su parte, el artículo 11.1 y 2 de la LOPDGDD dispone lo siguiente:
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

82/146

“Artículo 11. Transparencia e información al afectado
1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar
cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679
facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una
dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante
información.

2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
a) La identidad del responsable del tratamiento y de su representante, en su caso.
b) La finalidad del tratamiento.
c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE)
2016/679.
Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información
básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de
su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos
jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de
acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679”.

En relación con este principio de transparencia, se tiene en cuenta, además, lo
expresado en los Considerandos 32, 39, reproducido en el Fundamento de Derecho anterior,
42, 47, 58, 60, 61 y 72 del RGPD. Se reproduce a continuación parte del contenido de estos
Considerandos:

(32) El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de
voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de
carácter personal que le conciernen… Por tanto, el silencio, las casillas ya marcadas o la inacción no
deben constituir consentimiento. El consentimiento debe darse para todas las actividades de
tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe
darse el consentimiento para todos ellos…

(42) …En particular en el contexto de una declaración por escrito efectuada sobre otro asunto, debe
haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la
medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo (LCEur 1993, 1071), debe
proporcionarse un modelo de declaración de consentimiento elaborado previamente por el responsable
del tratamiento con una formulación inteligible y de fácil acceso que emplee un lenguaje claro y
sencillo, y que no contenga cláusulas abusivas. Para que el consentimiento sea informado, el
interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del
tratamiento a los cuales están destinados los datos personales. El consentimiento no debe
considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no
puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.

(47) El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se
puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el
tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado,
teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el
responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y
apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente
o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una
evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en
el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En
particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los
intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en
circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento
ulterior… El tratamiento de datos de carácter personal estrictamente necesario para la prevención del
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

83/146

fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El
tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por
interés legítimo.

(58) El principio de transparencia exige que toda información dirigida al público o al interesado sea
concisa, fácilmente accesible y fácil de entender, y que se utilice un lenguaje claro y sencillo, y,
además, en su caso, se visualice…

(60) Los principios de tratamiento leal y transparente exigen que se informe al interesado de la
existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al
interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y
transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos
personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de
las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados,
también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que
no lo hicieran…

(61) Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en
el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable,
dependiendo de las circunstancias del caso…

(72) La elaboración de perfiles está sujeta a las normas del presente Reglamento que rigen el
tratamiento de datos personales, como los fundamentos jurídicos del tratamiento o los principios de la
protección de datos…

BBVA, según consta en hechos probados, realiza tratamientos de datos personales
obtenidos de los clientes, de forma directa o “indirectamente”, así como de datos personales
obtenidos de otras fuentes distintas a los interesados o inferidos por la propia entidad. Viene
por ello, obligada a facilitar información sobre todos los aspectos recogidos en los citados
artículos 13 y 14 del RGPD.

Analizada la información ofrecida por BBVA, se comprueba que la misma es
incompleta o inadecuada en relación con lo dispuesto en los artículos 13 y 14 del RGPD.

-
Empleo de una terminología imprecisa y formulaciones vagas

De acuerdo con lo expuesto, en el momento de la recogida de los datos personales el
responsable del tratamiento debe suministrar a los interesados la información establecida en
las normas citadas, “en forma concisa, transparente, inteligible y de fácil acceso, con un
lenguaje claro y sencillo”.

BBVA no informa de manera clara y sistemática sobre los tratamientos de datos
personales ni las finalidades para las que serán utilizados; y tampoco delimita la naturaleza de
la información sometida a tratamiento y su posterior utilización.

Cuando hace referencia a estas cuestiones emplea una terminología imprecisa y
formulaciones vagas, ajena al cumplimiento estricto del principio de transparencia, impidiendo
a los interesados conocer el sentido y significado real de las indicaciones facilitadas y el
alcance real de los consentimientos que puedan prestarse.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

84/146

La política de privacidad analizada contiene fórmulas y expresiones imprecisas y
vagas a lo largo de todo el texto:

. “Conocerte mejor y mejorar tu experiencia”.
. “Ofrecerte productos y servicios… personalizados para ti”.
. “Mejorar la calidad de los productos y servicios”.
. “Tus datos son tuyos y los controlas tú”.
. “… que tu experiencia sea más personalizada”.
. “Productos y precios más ajustados a ti”.
. “NO quiero que BBVA trate mis datos para ofrecerme productos y servicio… personalizados para mí”.
. “NO quiero que BBVA comunique mis datos a sociedades del Grupo BBVA para que me puedan
ofrecer productos y servicios propios personalizados para mí”.
. “NO quiero que BBVA trate mis datos para mejorar la calidad de los productos y servicios nuevos y
existentes”.
. “Gestionar adecuadamente los productos y servicios que nos solicites y contrates”.
. “Seguir la relación que mantenemos contigo y tu evolución financiera”.
. “En BBVA tratamos tus datos personales para atenderte siempre con el mismo nivel de calidad, y así
poder ofrecerte un mejor trato y servicio adecuado a tu condición de cliente”.
. “Si quieres agilizar el proceso de solicitud, necesitaremos”.
. “En BBVA queremos que tu experiencia como cliente sea lo más satisfactoria posible, a través de una
relación personalizada Io más adaptada a tu perfil de cliente y a tus necesidades. Para lograrlo
tenemos que conocerte mejor…”.
. “Gracias a este análisis podremos conocerte mejor, valorar nuevas funcionalidades para ti… así como
ofertas personalizadas con precios más ajustados para ti”.
. “Nos gustaría mantenerte al día sobre nuevos productos y servicios de BBVA, así como darte
consejos recomendaciones para gestionar mejor tu situación financiera.
También podemos enviarte información sobre productos y servicios de BBVA con precios más
ajustados a tu perfil, informándote de aquello que te pueda interesar como cliente”.
. “Si quieres que las sociedades del Grupo BBVA… te puedan ofrecer productos y servicio
personalizados en características y precio, necesitamos que nos autorices a comunicarles datos
relativos a tu perfil de cliente… Esa información se tratará para intentar mejorar las características y
precios de la oferta de productos y servicios”.
. “… para que desde BBVA podamos atender mejor tus expectativas y podamos incrementar tu grado
de satisfacción”.
. “… para ser un banco cercano a ti como cliente y poder acompañarte durante nuestra relación
contractual, podríamos felicitarte por tu aniversario, desearte un buen día o felices fiestas”.
. “En BBVA consideramos que, como cliente, tienes una expectativa razonable a que se utilicen tus
datos para que podamos mejorar los productos y servicios y puedas disfrutar de una mejor experiencia
como cliente”.
. “Además, estimamos que también tienes una expectativa razonable a recibir felicitaciones con motivo
de tu aniversario. desearte un buen día o felices fiestas”.
. “Para poder prestarte un servicio adecuado y gestionar la relación que mantenemos contigo como
cliente…”.

De ello se desprende que la política de protección de datos se muestra como un
beneficio para el cliente, dando a entender que su no aceptación supondrá la pérdida de
ventajas como cliente.

Según consta en los antecedentes, BBVA ha aportado a las actuaciones
documentación relativa al proceso de adaptación al nuevo RGPD, incluido, en concreto, el
plan definitivo de elaboración de la nueva “Cláusula LOPD”, que incluía la realización de
investigaciones con clientes sobre el borrador de texto de dicha cláusula. La propia entidad ha
manifestado que la primera investigación consistía en optimizar la eficacia de la comunicación
a clientes y que la cláusula permitiera captar la atención de los clientes para lograr la
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

85/146

aceptación de los tratamientos basados en el consentimiento.

En relación con esta primera investigación, en el documento aportado por BBVA,
correspondiente al extracto de la presentación realizada en octubre de 2017 sobre las
conclusiones de estos trabajos, se dice lo siguiente:

Se realizó una segunda investigación con el siguiente objetivo:

“Objetivo: adaptar los mensajes para que el cliente acepte las condiciones consciente de la pérdida que
supondría no hacerlo”.

Además, la información es indeterminada, considerando esas expresiones genéricas y
poco claras que utiliza, de lo que se deriva que la política de privacidad no es fácil de
entender por cualquier interesado, con independencia de su cualificación, y demuestra hasta
qué punto es necesario ser un experto para comprender dicha información y su alcance. Ello
supone entender vulnerado el derecho a la protección de datos personales, entendido como
la capacidad del afectado de decidir sobre el tratamiento.

La información sobre aspectos claves como las categorías de los datos personales
tratados, las finalidades o la base legal que habilita el tratamiento emplea expresiones poco
claras e imprecisas, con significados ambiguos en algunos casos, cuyo verdadero alcance no
se desarrolla; expresiones que se repiten a lo largo de todo el texto, como se ha indicado, y
que BBVA utiliza para fundamentar diferentes actuaciones, tratamientos, finalidades o
legitimaciones. Pueden destacarse nuevamente como ejemplo expresiones como “conocerte
mejor” “personalizar tu experiencia”, “ofrecerte productos y servicios personalizados”,
“mejorar la calidad de productos”, “relación adaptada a tu perfil”, “precios ajustados a tu
perfil”, “elaborar nuestros modelos de negocio”, “analizando los usos de los productos,
servicios y canales de BBVA”, “aplicaremos métodos estadísticos y de clasificación para
ajustar correctamente tu perfil” o “realizar estadísticas, encuestas, cálculos actuariales,
medias y/o estudios de mercado que puedan ser de interés de BBVA o e terceros”.

Tampoco el interesado puede deducir claramente el significado de esas expresiones a
partir del contexto en el que se ofrece la información y se recaba la manifestación de voluntad
del interesado, o a partir del contexto mismo de la relación contractual que vincula al
interesado con la entidad responsable. Sobre esta base contextual o contexto fáctico, el
cliente no es capaz de entender el significado de las finalidades perseguidas por BBVA con el
tratamiento de sus datos personales, tales como “conocerte mejor”, “elaborar nuestros
modelos de negocio” o “mejorar la calidad de los productos y servicios”.

Las expresiones tan repetidas por BBVA a lo largo de todo el documento “Declaración
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

86/146

de Actividad Económica y Política de Protección de Datos Personales” se incluyen como
ejemplos de malas prácticas en el documento del Grupo de Trabajo del Artículo 29
“Directrices sobre la transparencia en virtud del Reglamento 2016/679”, adoptadas el
29/11/2017 y revisadas el 11/04/2018.

En estas Directrices se analiza el alcance que debe atribuirse a los elementos de
transparencia establecidos en el artículo 12 del RGPD, según el cual el responsable del
tratamiento tomará las medidas oportunas para “facilitar al interesado toda información
indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos
15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil
acceso, con un lenguaje claro y sencillo”, que ha de ponerse en relación con lo expresado en
el Considerando 39 del citado Reglamento. De lo expuesto en dichas Directrices, cabe
destacar en este momento lo siguiente:

“El requisito de que la información sea “inteligible” quiere decir que debe resultar comprensible al
integrante medio de la audiencia objetivo. La inteligibilidad está estrechamente vinculada al requisito de
utilizar un lenguaje claro y sencillo. Un responsable del tratamiento que actúe con responsabilidad
proactiva conocerá a las personas sobre las que recopila información y puede utilizar este
conocimiento para determinar lo que dicha audiencia es susceptible de comprender…”.

<<Lenguaje claro y sencillo
En el caso de la información “escrita”» (y cuando la información escrita se comunique verbalmente, o
mediante métodos auditivos o audiovisuales, también para interesados con problemas de visión), han
de seguirse las mejores prácticas para escribir con claridad. El legislador de la UE ya ha utilizado
previamente un requisito lingüístico similar (apelando al uso de “términos claros y comprensibles”) y
también aparece explícitamente mencionado en el contexto del consentimiento en el considerando 42
del RGPD. La obligación de utilizar un lenguaje claro y sencillo implica que la información debe
facilitarse de la forma más simple posible, evitando oraciones y estructuras lingüísticas complejas. La
información debe ser concreta y categórica; no debe formularse en términos abstractos o ambivalentes
ni dejar margen para distintas interpretaciones. En concreto, los fines y la base jurídica del tratamiento
de los datos personales deben ser claros.

Ejemplos de prácticas deficientes
Los siguientes enunciados no son suficientemente claros con respecto a la finalidad del tratamiento:
. “Podremos utilizar sus datos personales para desarrollar nuevos servicios” (ya que no queda claro de
qué “servicios” se trata ni cómo ayudarán los datos a desarrollarlos);
. “Podremos utilizar sus datos personales para fines de investigación” (ya que no queda claro a qué tipo
de “investigación” se refiere); y
. “Podremos utilizar sus datos personales para ofrecerle servicios personalizados” (ya que no queda
claro qué implica esta “personalización”).

Ejemplos de buenas prácticas
. “Conservaremos su historial de compra y utilizaremos detalles de los productos que ha comprado
anteriormente para sugerirle otros productos que creemos podrían interesarle también” (está claro qué
tipos de datos se tratarán, que el interesado será objeto de publicidad de productos personalizada y
que se utilizarán sus datos en este sentido);
. “Conservaremos y evaluaremos información sobre sus visitas recientes a nuestro sitio web y cómo
navega por las distintas secciones del mismo con el fin de analizar y comprender el uso que las
personas hacen de nuestro sitio web y poder hacerlo más intuitivo” (queda claro qué tipo de datos se
tratarán y el tipo de análisis que el responsable va a realizar); y
. “Mantendremos un registro de los artículos de nuestro sitio web en los que ha pulsado y utilizaremos
esa información para personalizar, a partir de los artículos que ha leído, la publicidad que le mostramos
en este sitio web para que se ajuste a sus intereses” (queda claro lo que conlleva la personalización y
cómo se han identificado los intereses que se atribuyen al interesado)>>.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

87/146

Lo expuesto debe interpretarse, en todo caso, teniendo en cuenta los principios
establecidos en el artículo 5 del RGPD, en especial el principio de lealtad. El Considerando 42
del mismo texto refiere también que el formulario en el que se ofrece la información en
materia de protección de datos personales no debe contener términos no leales.

BBVA alega que la “Guía para el cumplimiento del deber de informar”, editada por esta
Agencia, contiene algunos ejemplos al referirse a la información sobre la finalidad (“facilitar a
los interesados ofertas de productos y servicios de su interés”; “poder ofrecerle productos y
servicios de acuerdo con sus intereses”; “mejorar su experiencia como usuario”) que pueden
estimarse similares a las expresiones utilizadas en la Política de Privacidad. Sin embargo,
esta circunstancia no tiene virtualidad suficiente para salvar los importantes reparos que aquí
se describen.

A este respecto, debe señalarse que, si bien es cierto que dichas expresiones son
similares a las utilizadas en algunos ejemplos puntuales de la guía citada, BBVA no hace
referencia ni ha tenido en cuenta otras afirmaciones de dicha guía que son básicas para
enmarcar e interpretar el sentido de las que la entidad reproduce.

Así, omite que dichos ejemplos se encuentran incluidos en la rúbrica “¿Qué
información se debe incluir en cada epígrafe?”; rúbrica que comienza estableciendo un criterio
general que condiciona la aplicación de los ejemplos incluidos en la misma (como son los
citados por BBVA) al señalar que “la extensión y el nivel de detalle de cada epígrafe
dependerán de la complejidad de sus circunstancias particulares” (el subrayado es de la
AEPD).

Añadiendo a continuación otra importante matización como es la de que los ejemplos
prácticos que se incluyen en la guía están “relacionados con los casos hipotéticos anteriores
(“ediciones Warren&Brandeis S.A.”)” (Página 9).

Por otra parte, las expresiones de referencia se encuentran en el ejemplo incluido en
el epígrafe 7.2 “finalidad” de la guía, que vincula la finalidad de “…facilitar a los interesados
ofertas de productos y servicios de su interés…” y “…de acuerdo con sus intereses…”
exclusivamente a “la información facilitada por los interesados” (el subrayado es de la AEPD).

Finalmente, la Guía completa el epígrafe citado con una nueva advertencia al señalar
que “deben evitarse prácticas tales como incluir finalidades demasiado genéricas o
inespecíficas, que puedan conducir a tratamientos ulteriores que excedan las expectativas
razonables del interesado”.

El marco de la Guía, que se ha descrito en su integridad y no con una cita parcial y
selectiva como en las alegaciones del BBVA, presenta diferencias sustanciales con el de las
cláusulas informativas de esta entidad, como son las siguientes: la variedad de los datos
objeto de tratamiento; la diversidad de las fuentes de que se obtienen, que van más allá de
los datos facilitados por el interesado llegando a incluir hasta los obtenidos en su condición de
mero encargado del tratamiento; así como la variedad y complejidad de las finalidades objeto
de tratamiento de datos personales en su condición de entidad financiera que ocupa una
relevante posición en el mercado, a diferencia de las más esquemáticas propias de un editor,
que es el ejemplo que se cita en la Guía (el detalle de dichos datos y tratamientos se describe
en distintos apartados de la resolución omitiéndose aquí para evitar reiteraciones).
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

88/146

Complementariamente, debe tenerse en cuenta que las orientaciones de la guía no
pueden tomarse como definitivas, ya que la guía antes citada advierte expresamente que el
único objetivo específico que cubre es orientar sobre las mejores prácticas y añade que debe
ser completada con otras guías que las Autoridades de Protección de Datos puedan emitir, en
relación con la aplicación del RGPD.

La argumentación anterior sobre la terminología empleada en la Política de Privacidad
no se tiene en cuenta por BBVA al formular sus alegaciones. Esta entidad se limita a realizar
afirmaciones tales como calificar los argumentos de esta Agencia como apreciaciones
subjetivas; afirmar que los términos empleados son claros y precisos; que utiliza esas
expresiones con la intención de proporcionar a sus clientes un servicio adaptado a sus
circunstancias concretas, para lo que resulta imprescindible “conocerles”; y que el contexto en
el que se facilita la información, que viene determinado por la relación contractual, así como la
sistemática del documento en dos capas, posibilitan un mejor entendimiento de las
expresiones empleadas.

Ya se ha negado anteriormente que el contexto en el que se ofrece la información y se
recaba la manifestación de voluntad permita al interesado conocer el sentido y alcance de las
expresiones que se han señalado. Y, por otra parte, no puede decirse que el fin citado por
BBVA (conocer mejor al cliente) justifique el empleo de expresiones poco claras e
indeterminadas.

Asimismo, intenta explicar dos de las muchas a las que se ha hecho referencia
anteriormente, lo cual, obviamente, no resuelve las deficiencias apreciadas en todo el texto de
la Política de Privacidad.

En concreto, se refiere BBVA a la expresión “aplicaremos métodos estadísticos y de
clasificación para ajustar correctamente tu perfil”, que intenta explicar sin éxito, destacando
que con esa expresión se especifican dos de las técnicas utilizadas para conocer mejor al
cliente.

En segundo lugar, se refiere a la indicación “analizando los usos de los productos,
servicios y canales de BBVA”, la cual según BBVA se explica por esta Agencia en la
propuesta de resolución indicando que “[t]odo ello se refiere a los datos tratados por razón de
los productos y servicios contratados”.

No comparte esta Agencia la idea expuesta por BBVA. En el primer caso, la simple
referencia a las técnicas utilizadas no ayuda al interesado el alcance de la información cuando
señala que se ajustará el perfil. En relación con la segunda expresión, ya se indicó en la
apertura del procedimiento y en la propuesta de resolución, el interesado no tiene oportunidad
de conocer el verdadero alcance de esa expresión, empezando por la información concreta a
la que se refiere.

Añade que algunas de las expresiones explicadas anteriormente guardan similitud con
expresiones ofrecidas como ejemplos en la “Guía sobre el uso de las cookies” (a juicio de
BBVA, “realizar estadísticas, encuestas, cálculos actuariales, medidas y/o estudios de
mercado que puedan ser de interés de BBVA o de terceros”, guarda similitud con la expresión
“para fines analíticos”; y “analizando los usos de los productos, servicios y canales de BBVA”
guarda similitud con la expresión “mostrarte publicidad personalizada en base a un perfil
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

89/146

elaborado a partir de tus hábitos de navegación”).

Sobre las citas que se han transcrito literalmente y entrecomilladas llama la atención,
en primer lugar, que en el momento de realizarse por parte del BBVA el proceso de
adaptación al RGPD, incluidas las cláusulas informativas, la Guía sobre cookies publicada por
la Agencia en aquel momento fue la presentada el 29 de abril de 2013 y en ella no se recogía
la literalidad de dichas expresiones.

El único ejemplo de cláusula informativa incluido en dicha Guía indicaba literalmente
que “utilizamos cookies propias y de terceros para mejorar nuestros servicios y mostrarles
publicidad relacionada con sus preferencias mediante el análisis de sus hábitos de
navegación”.

Por tanto, BBVA no pudo, en modo alguno, tener en cuenta como referencia este texto
a la hora de elaborar sus cláusulas informativas.

Los ejemplos referidos por BBVA reproducen literalmente las redacciones recogidas en
la “Guía sobre el uso de las cookies” publicada en noviembre de 2019 (tanto la relativa a los
fines analíticos como la relativa a la publicidad personalizada a partir de los hábitos de
navegación en el ejemplo número 2 de la página 20).

Sin embargo, su alegación al tomar como referencia dichas leyendas en orden a
justificar las cláusulas informativas de la entidad es de nuevo parcial, ya que se limita a
recoger únicamente dos incisos limitados de los ejemplos de la Guía.

Pero sin tener en cuenta otras consideraciones de fondo incluidas en la Guía que
permiten fundamentar una valoración contraria al efecto exculpatorio pretendido por la
entidad. Y, en particular, las que hacen referencia a la exigencia de “utilizar un lenguaje claro
y sencillo, evitando el uso de frases que induzcan a confusión o desvirtúen la claridad del
mensaje”.

En este sentido, la Guía indica específicamente en el apartado 3.1.2.b) lo siguiente
(página 18):

<<b) Se ha de utilizar un lenguaje claro y sencillo, evitando el uso de frases que induzcan a confusión o
desvirtúen la claridad del mensaje.
No serían válidas, por ejemplo, frases como “usamos cookies para personalizar su contenido y crear
una mejor experiencia para usted” o “para mejorar su navegación”, o frases como “podemos utilizar sus
datos personales para ofrecer servicios personalizados” para referirse a cookies publicitarias
comportamentales. También deben evitarse términos como “puede”, “podría”, “algún”, “a menudo”, y
“posible”>>.

Expresiones que vienen a confirmar los fundamentos para la declaración de las
cláusulas informativas de BBVA como ilícitas en el presente procedimiento.

Por lo expuesto, debe rechazarse la alegación de BBVA sobre la aplicación del
principio de confianza legítima.

Sobre las cuestiones anteriores también añade BBVA en sus alegaciones que actuó
con responsabilidad proactiva, como se acredita con las investigaciones realizadas por
terceros expertos para valorar el contenido y formato del texto; y que ofrecer una imagen de
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

90/146

cortesía es una decisión comercial, una “acción de marketing”, según sus propios términos,
para la que está legitimada en virtud de su derecho a la libertad de empresa.

Sobre los trabajos externos encargados por BBVA ya se ha explicado antes que su
objeto no era facilitar la comprensión del texto de la Política de Privacidad para que sirviera
adecuadamente a los fines que corresponden a una cláusula informativa en materia de
protección de datos personales, sino favorecer la aceptación de la misma en su totalidad.

Por otro lado, resulta claro e indiscutible que la Política de Privacidad no puede
utilizarse como una “acción de marketing”. Así es como la ha calificado BBVA y el resultado es
el que se ha descrito en los párrafos anteriores.

- Información sobre las categorías de los datos personales sometidos a tratamiento;
y sobre las categorías de datos personales concretas que se tratarán para cada
una de las finalidades específicas.

Por otra parte, se comprueba que la información ofrecida es incompleta en relación
con aspectos claves establecidos en los repetidos artículos, como las categorías de los datos
personales tratados.

De acuerdo con los criterios manifestados por el Comité Europeo de Protección de
Datos, la información sobre la tipología de datos personales sería necesaria en relación con
aquellos tratamientos de datos cuya base legal venga determinada por el consentimiento del
interesado. Así lo entendió el Grupo de Trabajo del Artículo 29 en su documento “Directrices
sobre el consentimiento en virtud del Reglamento 2016/679”, adoptado el 28/11/2017,
revisadas y aprobadas el 10/04/2018 (estas Directrices han sido actualizadas por el Comité
Europeo de Protección de Datos el 04/05/2020 mediante el documento “Directrices 05/2020
sobre el consentimiento con arreglo al Reglamento 2016/679”, el cual mantiene literalmente
idénticas las parte que se transcriben a continuación).

El Grupo de Trabajo del Artículo 29 obtiene sus conclusiones a partir de la definición
del “consentimiento” recogida en el artículo 4 del RGPD, que se expresa en los términos
siguientes:

“11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e
inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción
afirmativa, el tratamiento de datos personales que le conciernen”.

A partir de esta definición, se concretan como elementos necesarios para la validez del
consentimiento los siguientes:
. Manifestación de voluntad libre
. específica
. informada e
. inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara
acción afirmativa, el tratamiento de datos personales que le conciernen.

En relación con el elemento “manifestación de voluntad específica” se dice:

“3.2. Manifestación de voluntad específica
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

91/146

(…)
Ad. ii) Los mecanismos de consentimiento no solo deben estar separados con el fin de cumplir el
requisito de consentimiento «libre», sino que también deben cumplir con el de consentimiento
«específico». Esto significa que un responsable del tratamiento que busque el consentimiento para
varios fines distintos, debe facilitar la posibilidad de optar por cada fin, de manera que los usuarios
puedan dar consentimiento específico para fines específicos.
Ad. iii) Finalmente, los responsables del tratamiento deben facilitar, con cada solicitud de
consentimiento separada, información específica sobre los datos que se tratarán para cada fin, con el
objeto de que los interesados conozcan la repercusión de las diferentes opciones que tienen. De este
modo, se permite a los interesados dar un consentimiento específico. Esta cuestión se solapa con el
requisito de que los responsables faciliten información clara”.

Además, el consentimiento, para ser válido, debe ser informado. Este elemento se
analiza en las mencionadas “directrices” como sigue:

3.3. Manifestación de voluntad informada
El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad con el
artículo 5 del RGPD, el requisito de transparencia es uno de los principios fundamentales,
estrechamente relacionado con los principios de lealtad y licitud. Facilitar información a los interesados
antes de obtener su consentimiento es esencial para que puedan tomar decisiones informadas,
comprender qué es lo que están autorizando y, por ejemplo, ejercer su derecho a retirar su
consentimiento. Si el responsable no proporciona información accesible, el control del usuario será
ilusorio y el consentimiento no constituirá una base válida para el tratamiento de los datos.

Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será válido
y el responsable podrá estar incumpliendo el artículo 6 de RGPD.

3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado»

Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos que
son cruciales para poder elegir. Por tanto, el GT29 opina que se requiere, al menos, la información
siguiente para obtener el consentimiento válido:

i) la identidad del responsable del tratamiento,
ii) el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento,
iii) qué (tipo de) datos van a recogerse y utilizarse,
iv) la existencia del derecho a retirar el consentimiento,
v) información sobre el uso de los datos para decisiones automatizadas de conformidad con el artículo
22, apartado 2, letra c), cuando sea pertinente, e
vi) información sobre los posibles riesgos de transferencia de datos debido a la ausencia de una
decisión de adecuación y de garantías adecuadas, tal y como se describen en el artículo 46>>.

A la vista de los criterios interpretativos sobre la noción de “consentimiento informado”
que ofrece el Comité Europeo de Protección de Datos, se considera que BBVA no
proporciona información suficiente sobre la tipología de los datos que serán sometidos a
tratamiento en relación con todos aquellos tratamientos cuya base jurídica sea el
consentimiento de los interesados.

Esta insuficiencia se observa en relación con la finalidad “Mejorar la calidad de los
productos y servicios”, donde se indica nuevamente que: “Dicha información se obtiene a
partir del uso de productos, servicios y canales de BBVA”). Todo ello se refiere a los datos
tratados por razón de los productos y servicios contratados, de modo que, aunque éstos sean
conocidos por el usuario, no puede conocer los que se seleccionarán a partir del uso de tales
productos y servicios. Lo mismo puede decirse respecto del uso de canales de BBVA.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

92/146

En relación con la categoría de datos personales que podrán ser tratados, BBVA
advierte al interesado, de forma genérica, que podrá tratar “Datos económicos y de solvencia
patrimonial (incluidos los relativos a todos los productos y servicios que tienes contratados
con BBVA o de los que BBVA es comercializador); Datos transaccionales (ingresos, pagos,
transferencias, adeudos, recibos, así como cualquier otra operación y movimiento asociado a
cualesquiera productos y servicios que tengas contratados con BBVA o de los que BBVA es
comercializador); Datos sociodemográficos (tales como edad, situación familiar, residencias,
estudios y ocupación).

A la vista de dicha información no queda claro si BBVA tratará datos económicos
ajenos a los productos contratados con la entidad o comercializados por la misma, qué datos
personales registrará por cada transacción (¿registrará el concepto y emisor correspondiente
al pago de una cuota sindical?); o qué datos sociodemográficos tratará, además de los que se
citan como ejemplo. Podría ocurrir, incluso, que la información recabada por la entidad
responsable “a partir del uso de productos, servicios y canales de BBVA” estuviera integrada
por datos sensibles o categorías especiales de datos personales, por ejemplo, la cuota
sindical ya mencionada o cuotas abonadas a partidos políticos, o a entidades de carácter
religioso, o por uso de servicios prestados por entidades sanitarias o religiosas.

No se concluye que BBVA realice tratamientos de datos personales como los
indicados en el párrafo anterior. Se dice aquí, simplemente, en un fundamento que analiza la
información ofrecida por BBVA a sus clientes, que esta información es defectuosa en la
medida en que no permite al destinatario de la información conocer con certeza todas las
categorías de datos personales que se utilizarán por aquella entidad y que, incluso, la
repetida información, por su falta de concreción, podría estar dando cobertura a una recogida
y tratamiento de datos personales inaceptable.

También al referirse a los datos personales que se utilizarán para llevar a cabo
tratamientos de datos basados en el interés legítimo de la entidad, se hace referencia
nuevamente a los “usos de los productos, servicios y canales de BBVA”, así como a
información relativa a la “evolución financiera y la de los productos y servicios que tienes
contratados con nosotros o a través de BBVA como comercializador, tus operaciones -pagos.
ingresos, transferencias, adeudos, recibos”. En este caso, la insuficiente información sobre las
categorías de datos a tratar no está relacionada con la necesidad de que el consentimiento
sea informado, dado que se trata de tratamientos basados en el interés legítimo de la entidad.
Sin embargo, en estos tratamientos se utilizarán datos no proporcionados por los interesados,
de forma que resultaría de aplicación la obligación contenida en el artículo 14.1.d) del RGPD.
Todo ello sin perjuicio de la relación existente entre los tratamientos de datos basados en el
consentimiento de los interesados a las que posteriormente se hace referencia.

Para concluir la deficiente información contenida en la política de privacidad sobre los
datos económicos y de solvencia patrimonial, transaccionales y de uso de productos,
servicios y canales, basta comparar los detalles expuestos anteriormente con los recogidos
en el Informe de ponderación del interés legítimo aportado por BBVA a requerimiento del
instructor. Este es el detalle sobre los datos sometidos a tratamiento contenido al respecto en
dicho informe:

“ii. Datos económicos y de solvencia patrimonial, tales como ingresos netos mensuales, saldo medio en
cuentas, saldo de activo, recibos domiciliados, nómina domiciliada, ingresos y gastos, así como los
relacionados con la calificación financiera del cliente.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

93/146

iii. Datos transaccionales de forma categorizada, tales como saldos medios, ingresos medios, número
de recibos domiciliados, número de recibos referidos a la prestación de servicios básicos, tipología de
movimientos de cuentas y tarjetas. No se incluirían los datos referidos a los textos de los recibos por
inferencia desde el detalle de movimientos de cuentas y tarjetas (como por ejemplo, origen, destino,
concepto y tercero relacionado con la transacción)”.
“v. Datos de productos y servicios contratados, tales como número de contrato, límite asociado a los
productos contratados, tipología de productos y servicios contratados, datos de contrato (atributos
asociados al contrato), riesgo con BBVA, así como cualquier documentación asociada a cualquiera de
estos contratos”.

En relación con los tratamientos basados en el interés legítimo, la documentación
correspondiente al proyecto “Customer Data Cube” reseña, entre otras, las variables
siguientes:

. De vinculación y negocio generales (antigüedad del clientes, categoría, importe y evolución de pasivo
y activo…)
. Variables de activo:
. Saldos, tenencia y antigüedad (importe, evolución, media trimestral, porcentaje amortizado,
último vencimiento en préstamo consumo o hipotecario).
. Cirbe (riesgo, porcentaje de avales, cartera o leasing; riesgo a largo, a corto; riesgo directo o
indirecto…).
. De recursos (importe, evolución y media trimestral en plan de pensiones, fondos, renta variable o fija,
seguros de ahorro…).
. De transaccionalidad
. Tarjetas (importes y media trimestral con tarjeta de crédito o débito en comercios, cajeros…).
. Ingresos (importe, tenencia o número de meses de nómina, pensión…).
. Cuentas (media mensual, evolución de los líquidos, descubiertos…).
. Recibos (importe total en un año de recibos básicos y no básicos, número de recibos en un año,
recibos devueltos, media mensual…).
. De seguros (prima, tenencia, número de meses de seguro de hogar, vida…).
. Empresas (importe, evolución y media de avales; de cartera; cesión de nóminas; comercio exterior;
factoring; leasing; pagos certificados; renting…).
. Digitalización e interacción del cliente
. General (bbvanet; banca_mvl, multicanal)
. Uso de canales (días en los que hay eventos de contratación, operación o consulta, según canal
-incluido oficina y telefónico).

En otro orden de cosas, en este momento, interesa destacar que la utilización de datos
personales en base al interés legítimo da lugar a la elaboración de perfiles, que son
posteriormente utilizados para la oferta de productos y servicios (finalidad 3) a los clientes que
presten su consentimiento para ello, y que dicho perfil se comunica a las sociedades del
Grupo BBVA, también en base al consentimiento del interesado. Siendo así, los defectos en la
información en relación con el tratamiento de datos en base al interés legítimo afectan por
igual a la validez del consentimiento.

Interesa destacar también, además, que la información ofrecida sobre los datos
sometidos a tratamiento por BBVA a la que se ha hecho referencia incluye “los relativos a
todos los productos y servicios… de los que BBVA es comercializador”. Esta Agencia
cuestiona la utilización de estos datos por parte de la citada entidad y con las finalidades que
se señalan, considerando que no se trata de productos propios, sino productos de terceros
comercializados por la misma. BBVA interviene en la comercialización de esos productos bajo
la condición de encargado del tratamiento, lo que limita la posibilidad de utilizar la información
de que se trate con fines propios.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

94/146

Asimismo, el incumplimiento de la obligación de informar sobre la categoría de los
datos que se someterán a tratamiento se incumple también en relación con los datos que no
son facilitados al responsable por el interesado, sino que se obtienen por éste de fuentes
externas o son inferidos por la propia entidad. Según ha quedado expuesto, en estos casos,
el artículo 14 del RGPD obliga a facilitar esta información.

Entre esta información procedentes de terceros se encuentra la obtenida de los
productos y servicios comercializados por BBVA, pero que no son propios de la misma, a la
que ya se ha hecho referencia.

Se deduce de ello que BBVA somete a tratamiento datos personales que no obtiene
directamente de los interesados bajo la condición de responsable del tratamiento. Se
consideran datos personales procedentes de terceros que BBVA utiliza con las finalidades
expresadas en la Política de Privacidad.

La responsabilidad sobre estos datos personales corresponde a la entidad titular del
producto adquirido por el interesado o prestadora del servicio contratado por el mismo. BBVA
accede a tales datos bajo la condición de encargada de tratamiento, por su intervención
mediadora en la comercialización del producto.

En la Política de Privacidad, en el apartado “¿Qué datos personales tuyos trata
BBVA?”, se mencionan los siguientes:

“. Datos económicos y de solvencia patrimonial (incluidos los relativos a todos los productos y
servicios que tienes contratados con BBVA o de los que BBVA es comercializador);
. Datos transaccionales (ingresos, pagos, transferencias, adeudos, recibos, así como
cualquier otra operación y movimiento asociado a cualesquiera productos y servicios que
tengas contratados con BBVA o de los que BBVA es comercializador)”.

Según se ha dicho anteriormente, en relación con los tratamientos de datos basados
en el interés legítimo también se menciona la información relativa a la “evolución financiera y
la de los productos y servicios que tienes contratados… a través de BBVA como
comercializador,

Con la información facilitada, como se ha indicado anteriormente, no queda claro qué
datos personales económicos y de solvencia son tratados o qué datos registrará BBVA por
cada transacción.

Reiteramos aquí lo indicado anteriormente sobre el detalle de las categorías de datos
personales contenido en el informe de ponderación del interés legítimo y en la documentación
correspondiente al proyecto “Customer Data Cube”, en referencia a los datos económicos y
de solvencia patrimonial, transaccionales y de uso de productos; información ésta que BBVA
no facilita el interesado.

La utilización por BBVA de datos personales procedentes de productos y servicios de
terceros requiere que se facilite a los interesados la información adecuada y disponer de una
base jurídica que ampare el tratamiento.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

95/146

Asimismo, en el mencionado Informe de ponderación del interés legítimo consta que,
al amparo de esta base jurídica, se someten a tratamiento los siguientes datos:

“ix. Datos estadísticos sociodemográficos procedentes del Instituto Nacional de Estadística (en
adelante, "INE"), obtenidos conforme a lo dispuesto en al artículo 21.1 de la Ley 12/1989, de 9 mayo,
reguladora de la Función Estadística Pública (en adelante, "LFEP").
x. Datos obtenidos de la Central de Información de Riesgos del Banco de España (en adelante,
"CIRBE"), regulada por el Capítulo VI de la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma
del Sistema Financiero (en adelante, "LMRSF").
xi. Datos obtenidos de ficheros de solvencia patrimonial y crédito, actualmente regulados por el artículo
29 de la Ley Orgánica 15/ 1999, de 13 de diciembre, de Protección de Datos de Carácter Personal”.

También en las Evaluaciones de Impacto en la protección de datos personales de los
tratamientos relacionados con la realización de perfilados comerciales y de riesgo consta la
utilización de información procedente de la Central de Información de Riesgos del Banco de
España y de ficheros externos de solvencia patrimonial y crédito, sin que se informe al
respecto en la política de privacidad. Y entre los “datos identificativos y de contacto” se refiere
el “uso de direcciones para realizar deducciones o inferencias tales como, p.g. estimar que
una persona que vive en una zona más cara tiene más probabilidades de tener más recursos
económicos”.

El citado proyecto “Customer Data Cube” también hace referencia a la utilización de
“variables” procedentes de la CIRBE: “Cirbe (riesgo, porcentaje de avales, cartera o leasing;
riesgo a largo, a corto; riesgo directo o indirecto…)”.

La única referencia a la información procedente de ficheros de solvencia patrimonial y
crédito y a la CIRBE en esta política de privacidad se contiene en la información relativa a la
utilización de los datos personales para gestionar los productos y servicios contratados,
legitimada por resultar necesaria para la ejecución del contrato.

Aun así, la consulta de los datos del cliente en ficheros de solvencia y crédito se
somete al consentimiento del interesado “para analizar la viabilidad económica de tus
solicitudes y operaciones”; y en el segundo caso, se indica “Podemos consultar los datos que
pueden figurar sobre ti en la CIRBE para valorar tu solvencia, si solicitas o mantienes
productos o servicios de financiación con nosotros”.

Nada se indica en la política de privacidad sobre estos datos personales y su
utilización en la elaboración de perfilados con base en el interés legítimo.

En su escrito de alegaciones a la propuesta de resolución, BBVA no hace ninguna
mención a los datos personales obtenidos de productos y servicios de terceros
comercializados por BBVA. Únicamente manifiesta que la obligación de informar sobre las
categorías de los datos sociodemográficos, lo obtenidos de la CIRBE y de ficheros de
solvencia no es aplicable en este caso, por virtud de lo dispuesto en el apartado 5 c) de dicho
precepto, teniendo en cuenta que tales datos personales se obtienen por BBVA de
conformidad con las normas que se indican.

No se cuestiona en este caso la obtención de tales datos por BBVA. Como se ha dicho
anteriormente, se considera legítima la utilización de los datos personales procedente de
ficheros de solvencia patrimonial y crédito y de CIRBE para gestionar los productos y
servicios contratados, siempre que resulte necesaria para la ejecución del contrato. Este es el
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

96/146

fundamento que determina el acceso a la información dispuesto en las normas que se
invocan.

Sin embargo, la utilización de estos datos personales por parte de BBVA no se limita a
comprobar la situación del interesado para la formalización de una operación de riesgo, sino
también con otras finalidades basadas en el interés legítimo, así como para la elaboración de
perfiles que se utilizan con finalidad comercial, para ofrecer productos y servicios.

Además, en relación con los datos procedentes de ficheros de solvencia y de crédito,
la Política de Privacidad informa que sólo se consultarán con el consentimiento del interesado
y que la norma invocada por BBVA se refiere exclusivamente al deber de consultar la
información en un tipo de operaciones específicas, como son la concesión de préstamos con
garantía real o cuya finalidad sea adquirir o conservar derechos de propiedad sobre terrenos
e inmuebles; no cualquier operación de riesgo.

En relación con la información sociodemográfica, advierte BBVA que se refiere
únicamente a datos estadísticos que no constituyen datos personales ni revelan información
sobre personas físicas identificadas o identificables. Sin embargo, no tiene en cuenta que esta
información estadística se combina con otros datos personales de los clientes para obtener
otras categorías de datos sobre las que no se informa a los mismos (por ejemplo, el “uso de
direcciones para realizar deducciones o inferencias tales como, p.g. estimar que una persona
que vive en una zona más cara tiene más probabilidades de tener más recursos
económicos”).

Y no solo no especifica qué datos someterá a tratamiento, sino que tampoco se
informa debidamente sobre las categorías de datos personales concretas que se tratarán para
cada una de las finalidades especificadas.

La necesidad de completar la información que se ofrece a los clientes en el sentido
expresado resulta especialmente relevante cuando se trata de datos no facilitados por el
cliente, sino inferidos por la propia entidad a partir del uso de productos, servicios y canales.
No cabe admitir que toda la información se destine a todos los usos, que todos los datos
recabados o inferidos puedan utilizarse para todas las finalidades, sin delimitar. Esto sirve
igual en relación con los datos personales que se comunicarán a terceros.

A este respecto, El Dictamen del Grupo de Trabajo del Artículo 29 antes citado,
“Directrices sobre el consentimiento en virtud del Reglamente 2016/679”, adoptadas el
28/11/2017, revisadas y aprobadas el 10/04/2018, y revisadas nuevamente en mayo de 2020,
al referirse a la obligación de informar sobre los datos que se recogerán y utilizarán, remite al
Dictamen 15/2011 sobre la definición del consentimiento, en tanto que “manifestación de
voluntad específica”:

“Para ser válido, el consentimiento debe ser específico. En otras palabras, el consentimiento
indiscriminado sin especificar la finalidad exacta del tratamiento no es admisible.
Para ser específico, el consentimiento debe ser comprensible: referirse de manera clara y precisa al
alcance y las consecuencias del tratamiento de datos. No puede referirse a un conjunto indefinido de
actividades de tratamiento. Esto significa, en otras palabras, que el consentimiento se aplica en un
contexto limitado.
El consentimiento debe darse en relación con los diversos aspectos del tratamiento, claramente
identificados. Esto implica saber cuáles son los datos y los motivos del tratamiento. Este conocimiento
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

97/146

debería basarse en las expectativas razonables de las partes. Por tanto, el “consentimiento específico”
está intrínsecamente relacionado con el hecho de que el consentimiento debe estar informado. Existe
un requisito de precisión del consentimiento con respecto a los diferentes elementos del tratamiento de
datos: no puede pretenderse que abarque “todos los fines legítimos” perseguidos por el responsable
del tratamiento. El consentimiento debe referirse al tratamiento que es razonable y necesario en
relación con la finalidad”.

En General, como se ha dicho, el principio de transparencia debe entenderse como un
aspecto fundamental de los principios de tratamiento lícito y leal. Interesa reiterar lo
expresado en los Considerandos 39 y 60 y las referencias que contienen a la necesidad de
facilitar información para garantizar un tratamiento leal y transparente:

“60. Los principios de tratamiento leal y transparente exigen que se informe al interesado de la
existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al
interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y
transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos
personales”.

Y en el también citado documento del Grupo de Trabajo del Artículo 29 “Directrices
sobre la transparencia en virtud del Reglamento 2016/679”, adoptadas el 29/11/2017 y
revisadas el 11/04/2018, que analiza el alcance que debe atribuirse al principio de
transparencia, se indica:

“Una consideración fundamental del principio de transparencia esbozado en estas disposiciones es que
el interesado debe poder determinar de antemano el alcance y las consecuencias derivadas del
tratamiento, y que no debe verse sorprendido en un momento posterior por el uso que se ha dado a
sus datos personales. Se trata, asimismo, de un aspecto importante del principio de lealtad en virtud
del artículo 5, apartado 1, del RGPD y, efectivamente, guarda relación con el considerando 39, que
establece que “las personas físicas deben tener conocimiento de los riesgos, las normas, las
salvaguardias y los derechos relativos al tratamiento de datos personales [...]”. En concreto, la postura
del GT29 en cuanto al tratamiento de datos complejo, técnico o imprevisto es que, además de facilitar
la información prescrita en los artículos 13 y 14 (aspecto que se tratará posteriormente en estas
directrices), los responsables del tratamiento también deben detallar por separado y en un lenguaje sin
ambigüedades cuáles serán las “consecuencias” más importantes del tratamiento: en otras palabras,
¿qué clase de repercusiones tendrá realmente para el interesado el tratamiento específico descrito en
una declaración/aviso de privacidad? Con arreglo al principio de responsabilidad proactiva, y en
consonancia con el considerando 39, los responsables del tratamiento deben valoran si este tipo de
tratamiento plantea algún riesgo específico para las personas físicas que deba ponerse en
conocimiento de los interesados. Esto puede ayudar a obtener una visión de conjunto de los tipos de
tratamiento que podrían tener mayor impacto en los derechos y libertades fundamentales de los
interesados en relación con la protección de sus datos personales”.

En definitiva, se recogen y tratan datos personales sin que los titulares de los mismos
sean conscientes de que BBVA está accediendo a los mismos para registrarlos en sus
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

98/146

sistemas de información, los somete a tratamientos sobre los que el cliente no es informado
de forma clara precisa y sencilla, y con finalidades no explícitas e indeterminadas, en contra
de los principios relativos al tratamiento establecidos en el artículo 5 del RGPD (lealtad,
limitación de la finalidad y minimización de datos), por cuanto, a partir de la información
facilitada, considerando su inconcreción, el interesado no puede conocer, como señala el
Tribunal Constitucional, “a qué uso lo está destinando y, por otro lado, el poder oponerse a
esa posesión y usos”. Esta falta de precisión convierte en ineficaz la información facilitada
sobre los tratamientos de datos que se pretenden.

El mismo reparo debe expresarse en relación con la comunicación de datos
personales a las empresas del Grupo BBVA. Con la información que se ofrece no es posible
que el interesado tenga una idea clara sobre la información que se cederá a las entidades que
integran el Grupo (“…comunicarles datos relativos a tu perfil de cliente -importe de ingresos y
gastos, saldo y utilización de nuestros canales”; “…tus datos identificativos, de contacto y
datos transaccionales”).

La entidad BBVA considera en sus alegaciones que la incorporación de toda aquella
información relativa a la tipología de datos a un documento ya excesivamente extenso sería
susceptible de ocasionar fatiga informativa en los interesados. Las Directrices del GT29
recomiendan evitar esa consecuencia, pero tal propósito no puede tomarse como una
justificación para omitir información necesaria. Obliga a estructurar la información
adecuadamente, pero no a limitarla.

Por otra parte, BBVA ha manifestado que no puede exigírsele que informe sobre los
datos personales sometidos a tratamiento y que esa información se desglose para cada una
de las finalidades amparándose en las directrices que se han mencionado, que no tienen
carácter normativo. Sin embargo, se debe tener en cuenta que el Grupo de Trabajo del
artículo 29 se estableció en virtud de la Directiva 95/46/CE con carácter consultivo e
independiente, y cuyos dictámenes y recomendaciones sirven como elemento interpretativo
en la materia que nos ocupa, admitido por la jurisprudencia. En la actualidad es el Comité
Europeo de Protección de Datos el órgano con competencia para emitir directrices,
recomendaciones y buenas prácticas a fin de promover la aplicación coherente del RGPD.

Sobre las cuestiones anteriores, alega nuevamente que las conclusiones expuestas
modifican lo expuesto en la “Guía sobre el cumplimiento del deber de informar” y que no
puede admitirse el establecimiento de criterios interpretativos en un procedimiento
sancionador.

Ambas cuestiones han sido contestadas anteriormente, señalando, por un lado, los
términos en que deben considerarse las expresiones de las “Guías” editadas por esta Agencia
y, por otro lado, que esta resolución se fundamenta en criterios consolidados sobradamente
desde hace tiempo, como bien ha quedado expuesto.

- Información sobre las finalidades a que se destinarán los datos personales de los
clientes y la base jurídica del tratamiento

En cuanto a las finalidades a que se destinarán los datos personales de los clientes y
la base jurídica del tratamiento del tratamiento, la entidad BBVA, en el documento mediante el
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

99/146

que facilita la información en materia de protección de datos personales, refiere tratamientos
similares en relación con finalidades distintas, amparadas en el interés legítimo en unos casos
y en el consentimiento en otro. Ello puede suponer que un ciudadano medio entienda que un
tratamiento no consentido se lleve finalmente a cabo al amparo del interés legítimo del
responsable, y sienta desvirtuada su capacidad de decidir sobre el destino de sus datos
personales.

En concreto, BBVA informa sobre la realización de ofertas personalizadas y la
utilización de los datos para la mejora de sus productos y servicios como tratamientos de
datos con base legal en el consentimiento del interesado y, al mismo tiempo, tales
tratamientos se mencionan igualmente entre aquellos que pueden realizarse para conocer
mejor al cliente y mejorar su experiencia, basados en el interés legítimo.

Sobre los tratamientos basado en el interés legítimo se facilita información en los
términos siguientes:

. “Conocerte mejor y personalizar tu experiencia”
. “Que tu experiencia sea lo más satisfactoria posible”
. “Conocerte mejor analizando tu evolución financiera… los usos de los productos, servicios y canales”.
. “Valorar nuevas funcionalidades…, productos y servicios”
. “Valorar… ofertas personalizadas con precios más ajustados para ti”
. “Atender mejor tus expectativas y podamos incrementar tu grado de satisfacción como cliente”
. “Mejorar la calidad de productos y servicios”
. “Realizar estadísticas, encuestas o estudios de mercado que puedan resultar de interés”.

Sobre los tratamientos basado en el consentimiento se facilita información en los
términos siguientes:

. “Ofrecerte productos y servicios de BBVA, del Grupo BBVA y de otros, personalizados para ti”
. “Darte consejos recomendaciones para gestionar mejor tu situación financiera”
. “Mejorar la calidad de los productos y servicios”
. “Incrementar tu grado de satisfacción como cliente”.
. “Atender tus expectativas”.
. “Mejorar la calidad de productos y servicios existentes”.
. Desarrollar nuevos productos y servicios”.
. “Realizar estadísticas, encuestas, cálculos actuariales, medias y/o estudios de mercado que puedan
ser de interés de BBVA o de terceros.
. “Dicha información se obtiene a partir del uso de productos, servicios y canales de BBVA”.

No se concluye que se trate de operaciones de tratamiento similares, sino que la
información ofrecida puede provocar confusión, a un ciudadano medio, sobre la base jurídica
que justifica el tratamiento, en el sentido expresado.

La información sobre los fines, en general, está muy ligada al principio de limitación de
la finalidad, regulado en el artículo 5.1 b) del RGPD, que establece lo siguiente:

“1. Los datos personales serán:
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de
manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior
de los datos personales con fines de archivo en interés público, fines de investigación científica e
histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la
finalidad»)”.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

100/146

La importancia de este principio viene determinada por su objeto, que no es otro que
establecer los límites dentro de los cuales los datos personales pueden ser tratados y la
medida en que pueden utilizarse, además de determinar los datos que podrán recopilarse.
Para ser “explícito”, un fin deberá ser inequívoco y expresarse claramente, con el detalle
suficiente para que el interesado, cualquier interesado, conozca de forma cierta cómo serán o
no tratados los datos y favoreciendo el ejercicio de sus derechos y la evaluación del
cumplimiento de la normativa. Para ser “explícita”, la finalidad también deberá ser revelada, lo
que debe tener lugar en el momento en que se recaban los datos personales

Sobre esta cuestión, el Grupo de Trabajo del Artículo 29 se pronunció en su Dictamen
03/2013, sobre limitación de los fines. En este trabajo, se consideró que deben rechazarse,
por inespecíficas, las finalidades expresadas con fórmulas vagas o demasiado generales,
tales como “mejorar la experiencia de los usuarios”, “propósitos de comercialización” o
“investigación futura”.

En este Dictamen se indica que cuanto más complejo sea el tratamiento de los datos
personales, los fines deben especificarse de manera más detallada y exhaustiva, “incluyendo,
entre otras cosas, la forma en que se procesan los datos personales. También deben
revelarse los criterios de decisión utilizados parala elaboración de perfiles de clientes”.

De acuerdo con lo expuesto, las finalidades para las que se tratarán los datos
personales sobre las que BBVA informa a sus clientes, salvo la referida a la gestión de los
productos, no se ajustan a los mencionados requisitos de transparencia, especialmente si
consideramos la ingente cantidad de datos personales que somete a tratamiento, individual o
globalmente considerada, y los complejos procesos técnicos a los que son sometidos, sobre
todo para la elaboración de perfiles, que son utilizados con todos los propósitos descritos en
la política de privacidad:

“2. Para conocerte mejor y personalizar tu experiencia.
3. Para ofrecerte productos y servicios de BBVA, del Grupo BBVA y de otros, personalizados para ti. No
vamos a inundarte con información.
4. Para comunicar tus datos a sociedades del Grupo BBVA para que te puedan ofrecer productos y
servicios propios personalizados para ti.
5. Para mejorar la calidad de los productos y servicios”.

- Información sobre el interés legítimo del responsable y de terceros

Asimismo, los preceptos citados establecen la obligación del responsable de informar
sobre los intereses legítimos en los que basa el tratamiento de los datos personales (los
artículos 13 y 14 del RGPD establece la obligación de informar sobre “los intereses legítimos
del responsable o de un tercero”). Sin embargo, la información ofrecida por BBVA queda
indefinida en cuanto a la base del tratamiento, de modo que no fundamenta debidamente esta
habilitación para el tratamiento de los datos, resultando, por ello, contraria al principio de
transparencia. Resulta insuficiente a estos efectos la definición de “interés legítimo” que BBVA
incluye en el “Glosario de términos”: “El interés legítimo es una de las bases legales que
autorizan a BBVA para tratar tus datos. Eso significa que BBVA puede tratar tus datos porque
tenga interés en hacerlo, siempre que ese interés no perjudique tus derechos”.

El Considerando 47 del Reglamento (UE) 2016/679 resultan especialmente clarificador
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

101/146

en la tarea de precisar el contenido y alcance de esta base legitimadora del tratamiento,
descrita en la letra f) del artículo 6.1 del RGPD. De lo expuesto en este Considerando,
Interesa destacar como criterio interpretativo, que la aplicación de esta base legitimadora ha
de ser previsible para sus destinatarios, teniendo en cuenta sus expectativas razonables.

El Grupo de Trabajo del Artículo 29 elaboró el Dictamen 6/2014 relativo al “Concepto de
interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la
Directiva 95/46/CE”, de fecha 09/04/2014. Aunque el Dictamen 6/2014 se emitió para
favorecer una interpretación uniforme de la Directiva 95/46 entonces vigente, derogada por el
RGPD, dada la casi total identidad entre su artículo 7.f) y el artículo 6.1.f) del RGPD, y habida
cuenta de que las reflexiones que el Dictamen ofrece son exponente y aplicación de principios
que inspiran también el RGPD -como el principio de proporcionalidad- o de principios
generales del Derecho comunitario –el principio de equidad y de respeto a la ley y al
Derecho- muchas de sus reflexiones son extrapolables a la aplicación de la normativa actual,
el Reglamento (UE) 2016/679.

El Dictamen mencionado se refiere al “Concepto de interés” en los siguientes Términos:

“El concepto de “interés” está estrechamente relacionado con el concepto de “finalidad” mencionado en
el artículo 6 de la Directiva, aunque se trata de conceptos diferentes. En términos de protección de
datos, “finalidad” es la razón específica por la que se tratan los datos: el objetivo o la intención del
tratamiento de los datos. Un interés, por otro lado, se refiere a una mayor implicación que el
responsable del tratamiento pueda tener en el tratamiento, o al beneficio que el responsable del
tratamiento obtenga -o que la sociedad pueda obtener- del tratamiento.

Por ejemplo, una empresa puede tener un interés en garantizar la salud y seguridad del personal que
trabaje en su central nuclear. Por consiguiente, la empresa puede tener como finalidad la aplicación de
procedimientos de control de acceso específicos que justifique el tratamiento de determinados datos
personales específicos con el fin de velar por la salud y la seguridad del personal.

Un interés debe estar articulado con la claridad suficiente para permitir que la prueba de sopesamiento
se lleve a cabo en contraposición a los intereses y los derechos fundamentales del interesado.
Además, el interés en juego debe también ser “perseguido por el responsable del tratamiento”. Esto
exige un interés real y actual, que se corresponda con actividades presentes o beneficios que se
esperen en un futuro muy próximo. En otras palabras, los intereses que sean demasiado vagos o
especulativos no serán suficientes.

La naturaleza del interés puede variar. Algunos intereses pueden ser apremiantes y beneficiosos para
la sociedad en general, tales como el interés de la prensa en publicar información sobre la corrupción
gubernamental o el interés en llevar a cabo investigación científica (sujetos a las garantías adecuadas).
Otros intereses pueden ser menos apremiantes para la sociedad en su conjunto o, en cualquier caso,
el impacto de su búsqueda en la sociedad puede ser más dispar o controvertido. Esto puede, por
ejemplo, aplicarse al interés económico de una empresa en aprender tanto como sea posible sobre sus
potenciales clientes con el fin de orientar mejor la publicidad sobre sus productos y servicios”.

En el apartado conclusiones de este Dictamen se añade:

“El concepto de “interés” es la implicación más amplia que el responsable del tratamiento pueda tener
en el tratamiento, o el beneficio que este obtenga, o que la sociedad pueda obtener, del tratamiento.
Este puede ser apremiante, claro o controvertido. Las situaciones a las que hace referencia el artículo
7, letra f), pueden variar, por tanto, del ejercicio de derechos fundamentales o la protección de
intereses personales o sociales importantes a otros contextos menos obvios o incluso problemáticos.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

102/146

…Debe estar articulado también con la claridad suficiente y debe ser lo suficientemente específico para
permitir que la prueba de sopesamiento se realice en contraposición a los intereses y los derechos
fundamentales del interesado. Debe también representar un interés real y actual, es decir, no debe ser
especulativo”.

El “interés” va más allá que la “finalidad”. en términos del GT29 representa “una mayor
implicación que el responsable del tratamiento pueda tener en el tratamiento, o el beneficio
que el responsable del tratamiento obtenga”; mientras que “finalidad”, en términos de
protección de datos, “es la razón específica por la que se tratan los datos: el objetivo o la
intención del tratamiento de los datos.

En este caso el “interés” no se expresa. La entidad no informa en su política de
privacidad sobre ningún interés específico al referirse a los tratamientos de datos que tiene
previsto realizar al amparo de esta base jurídica. Se limita a señalar finalidades y objetivos
pretendidos con estos tratamientos de datos, pero ningún interés en el sentido expresado.

BBVA ha manifestado en su escrito de alegaciones que la información sobre los
concretos intereses legítimos en que se basa para estos tratamientos se incluye en el
apartado “¿Por qué razón utilizamos tus datos personales?” de la “Información ampliada”, en
el que se detallan las bases que legitiman el tratamiento (“… para que desde BBVA podamos
atender mejor tus expectativas y podamos incrementar tu grado de satisfacción como cliente
al desarrollar y mejorar la calidad de productos y servicios propios o de terceros, así como
realizar estadísticas, encuestas o estudios de mercado que puedan resultar de interés… para
ser un banco cercano a ti como cliente…”). Así se indica también en la “Información básica”
de la política de privacidad cuando señala “¿por qué razón utilizamos tus datos personales
(base legal)? Conocerte mejor y que tu experiencia sea más personalizada. El interés legítimo
de BBVA se explica en el apartado "Información ampliada".

Puede comprobarse fácilmente que esta información sobre el “interés” es similar a la
expresada al describir las finalidades:

En la información básica se indica:

¿Para qué finalidades los usaremos?
2. Para conocerte mejor y personalizar tu experiencia.

Y en la información ampliada:

¿para qué utilizamos tus datos personales?
2. Conocerte mejor y personalizar tu experiencia
En BBVA queremos que tu experiencia como cliente sea lo más satisfactoria posible, a través de una
relación personalizada Io más adaptada a tu perfil de cliente y a tus necesidades.
Para lograrlo tenemos que conocerte mejor, analizando no solo los datos que nos permiten identificarte
como cliente, sino también tu evolución financiera y la de los productos y servicios que tienes
contratados con nosotros o a través de BBVA como comercializador, tus operaciones -pagos. ingresos,
transferencias, adeudos, recibos- así como los usos de los productos, servicios y canales de BBVA.
Adicionalmente, aplicaremos métodos estadísticos y de clasificación para ajustar correctamente tu
perfil. En base a lo anterior, conseguimos elaborar nuestros modelos de negocio.
Gracias a este análisis podremos conocerte mejor, valorar nuevas funcionalidades para ti, productos y
servicios que consideremos acordes a tu perfil (propios o comercializados por BBVA), así como ofertas
personalizadas con precios más ajustados para ti. Como te conoceremos mejor, podremos felicitarte
por tu aniversario, desearte un buen día o felices fiestas”.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

103/146

El mismo defecto se aprecia incluso acudiendo al Informe de ponderación de la
prevalencia del interés legítimo en los tratamientos a los que se refiere la finalidad numerada
como 2, aportado a las actuaciones por BBVA, el cual consta reseñado en el Antecedente
Octavo.

“2. Descripción de la actividad de tratamiento”

“2.2. Finalidad perseguida por el tratamiento

“3. Descripción del interés legítimo al que responde el tratamiento

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

104/146

En todo caso, la utilización de los datos personales con la finalidad de “conocer” mejor
al cliente, según aparece enunciada, puede entenderse como un seguimiento del interesado
sin una razón justificable, el cual no puede ampararse en el interés legítimo. Este seguimiento
supone un análisis exhaustivo de la información sobre el cliente, que pretende justificarse con
la mención de una finalidad genérica y simple (“conocerte mejor”), cuyas consecuencias
pueden ser mucho más graves que las mencionadas como ejemplos (felicitación por el
cumpleaños).

Lo mismo puede decirse sobre la utilización de los datos de los clientes para “mejorar
los productos y servicios” de BBVA, que esta entidad fundamenta también en el interés
legítimo, considerando, según indica la misma, que el interesado tiene una expectativa
razonable de que sus datos personales se utilicen con esa finalidad.

Esta Agencia considera que este tratamiento de los datos, tal como aparece
fundamentado en la política de privacidad de BBVA, no puede ampararse en la base jurídica
del interés legítimo, que exige una evaluación para determinar los intereses o derechos que
prevalecen. Esta ponderación ha de tener en cuenta, efectivamente, “las expectativas
razonables de los interesados basadas en su relación con el responsable”, pero entendidas
como lo que el interesado puede percibir o deducir como razonable por sí mismo en base a
las circunstancias específicas que se dan en cada caso, lo que pudo prever en el momento de
la recogida de datos de forma razonable. No lo que la entidad responsable entienda como una
“expectativa razonable” del cliente, ni aquello sobre lo que la misma informe al cliente que
responde a esas expectativas.

El concepto “expectativa razonable” debe utilizarse siempre con moderación,
atendiendo a la posición que ostentan responsable e interesado y a la naturaleza jurídica de
la relación o servicio que les vincula, que podrían dar lugar al uso posterior de los datos
personales de éste. Se tiene en cuenta el contexto, al que ya se ha hecho referencia
anteriormente, para poder delimitar, en base a todo ello, el tratamiento ulterior de los datos
que el interesado puede esperar que se realice. Esta “expectativa razonable” del cliente se
tiene que deducir por sí misma, sin que sea necesario que la información ofrecida por el
responsable al interesado o cliente defina o concrete dicha expectativa, por cuanto ello
supone que el Banco suplanta al cliente, intentando aclararle la expectativa que puede
esperar, precisamente, porque no se desprende por sí sola de la información que ofrece ni de
la relación que une a responsable e interesado. Se intenta, con ello, transmitir una apariencia
de expectativa razonable y desplazar al interesado en esta deducción.

Resulta contraria, por tanto, a todo el planteamiento anterior la información que ofrece
BBVA sobre utilizaciones de datos basadas en la expectativa que el destinatario de la
información tiene como cliente.

La determinación específica del interés de BBVA, articulado con claridad suficiente,
permitirá al interesado contraponer sus propios intereses. Posibilita, asimismo, un mejor
análisis sobre la realidad y actualidad de dicho interés.

Sobre el interés legítimo del responsable y la prueba de ponderación, el documento
del Grupo de Trabajo del Artículo 29 “Directrices sobre la transparencia en virtud del
Reglamento 2016/679”, adoptadas el 29/11/2017 y revisadas el 11/04/2018, ofrece los
siguientes criterios:

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

105/146

“El interés específico en cuestión debe identificarse en beneficio del interesado. Como cuestión de
buena práctica, el responsable del tratamiento también puede facilitar al interesado la información
resultante del “examen de ponderación” que debe llevarse a cabo para poder acogerse a lo dispuesto
en el artículo 6, apartado 1, letra f), como base lícita para el tratamiento, con anterioridad a cualquier
recogida de los datos personales de los interesados. Para evitar la fatiga informativa, esto puede
incluirse dentro de una declaración/aviso de privacidad estructurado en niveles (véase el apartado 35).
En cualquier caso, la posición del GT29 es que la información dirigida al interesado debe dejar claro
que este puede obtener información sobre el examen de ponderación previa petición. Esto resulta
fundamental para que la transparencia sea efectiva cuando los interesados duden de si el examen de
ponderación se ha llevado a cabo lealmente o desean presentar una reclamación ante la autoridad de
control”.

En este escrito de alegaciones indica que el interés legítimo que pretende cumplir es el
de mejorar de forma continua la relación con sus clientes y la cartera de productos y servicios
que ofrece, y así anticiparse a sus necesidades en caso de que los mismos las requieran; que
este interés tiene por objeto la mejora continua del modelo de negocio y lograr la satisfacción
del cliente con el servicio prestado; prestar el mejor servicio a sus clientes y poder ofrecerles
productos que puedan ajustarse mejor a su perfil; conocer lo mejor posible a sus clientes para
poder prestar a los mismos sus servicios con el mayor grado de excelencia posible.

Añade que esta descripción es también la que se realiza en el Informe de
Ponderación, en el que no se hace referencia a la obtención de un beneficio, sino a la mejora
de la calidad, la relación con el cliente y la atención a sus necesidades.

Como puede apreciarse, no se describe claramente el interés legítimo, sino que
vuelven a reiterarse las finalidades sobre las que se informa a los clientes en la Política de
Privacidad. Según lo expuesto, y en contra de lo manifestado por BBVA en sus alegaciones a
la propuesta de resolución, el interés legítimo no es la finalidad para la que se tratan los datos
personales.

Todo ello sin olvidar lo ya indicado en relación con la utilización de términos imprecisos
y formulaciones vagas en la información facilitada, en particular en lo relativo a la definición de
las finalidades.

En relación con las indicaciones anteriores relativas a la expectativa razonable del
interesado sobre el uso posterior de sus datos personales, BBVA ha manifestado que las
referencias a esta expectativa que contiene la Política de Privacidad son consecuencia del
cumplimiento de las obligaciones impuestas por el artículo 13 del RGPD sobre la información
acerca del tratamiento basado en un interés legítimo prevalente; y se pregunta si la AEPD
pretende decir que no han de informarse los tratamientos basados en interés legítimo.

La interpretación efectuada por BBVA sobre el interés legítimo y las expectativas
razonables de los clientes no puede ser compartida por la AEPD, por los motivos ya
expuestos. Lo que esta Agencia ha cuestionado es que la Política de Privacidad defina o
intente definir al interesado cuál es su expectativa razonable.

- Información sobre elaboración de perfiles

Otro aspecto importante relativo al asunto analizado tiene que ver con la utilización de
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

106/146

los datos personales para la elaboración de perfiles de los clientes, entendida como cualquier
forma de tratamiento de datos personales que evalúe aspectos personales relativos a una
persona física. Según el art. 13.1.c) del RGPD, el responsable debe informar al interesado de
los fines del tratamiento, así como de su base jurídica, lo que supone que deberá informarle
sobre la elaboración de perfiles cuando el responsable haya previsto tal finalidad y precisar la
base jurídica que ampara el tratamiento con ese fin.

El artículo 11 de la LOPDGDD establece el contenido mínimo de la información básica
que debe facilitarse al interesado:

“2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
(…)
Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información
básica comprenderá asimismo esta circunstancia”.

El Considerando 60 del RGPD también se refiere a la obligación de “informar al
interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha
elaboración”.

Sobre los principios relativos al tratamiento de datos personales, cuando estos
consistan en la elaboración de perfiles, las Directrices del Grupo de Trabajo del Artículo 29
sobre decisiones individuales automatizadas y elaboración de perfiles a efectos del
Reglamento 2016/679, adoptadas el 03/10/2017 y revisadas el 06/02/2018, señalan lo
siguiente:

“La transparencia del tratamiento es un requisito fundamental del RGPD.
El proceso de elaboración de perfiles suele ser invisible para el interesado. Funciona creando datos
derivados o inferidos sobre las personas (datos personales «nuevos» que no han sido directamente
facilitados por los propios interesados). Las personas tienen distintos niveles de comprensión y les
puede resultar difícil entender las complejas técnicas de los procesos de elaboración de perfiles y
decisiones automatizadas”.

“Teniendo en cuenta el principio básico de transparencia que sustenta el RGPD, los responsables del
tratamiento deben garantizar que explican a las personas de forma clara y sencilla el funcionamiento
de la elaboración de perfiles o las decisiones automatizadas.
En particular, cuando el tratamiento implique la toma de decisiones basada en la elaboración de
perfiles (independientemente de si entran en el ámbito de las disposiciones del artículo 22), debe
aclararse al usuario el hecho de que el tratamiento tiene fines tanto de a) elaboración de perfiles como
de b) adopción de una decisión sobre la base del perfil generado
El considerando 60 establece que facilitar información acerca de la elaboración de perfiles forma parte
de las obligaciones de transparencia del responsable del tratamiento según el artículo 5, apartado 1,
letra a). El interesado tiene derecho a ser informado por el responsable del tratamiento, en
determinadas circunstancias, acerca de su derecho de oposición a la «elaboración de perfiles»
independientemente de si se han producido decisiones individuales basadas únicamente en el
tratamiento automatizado sobre la base la elaboración de perfiles”.

“El responsable del tratamiento debe mencionar explícitamente al interesado detalles sobre el derecho
de oposición según el artículo 21, apartados 1 y 2, y presentarlos claramente y al margen de cualquier
otra información (artículo 21, apartado 4).

Según el artículo 21, apartado 1, el interesado puede oponerse al tratamiento (incluida la elaboración
de perfiles) por motivos relacionados con su situación particular. Los responsables del tratamiento
están específicamente obligados a ofrecer este derecho en todos los casos en los que el tratamiento se
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

107/146

base en el artículo 6, apartado 1, letras e) o f)”.

La política de privacidad de BBVA objeto de las presentes actuaciones se refiere a la
elaboración de perfiles en numerosas ocasiones al describir las finalidades para las que se
utilizarán los datos, o se incluyen indicaciones que llevan a concluir que realizará operaciones
de perfilado. Así puede entenderse en relación con la realización de ofertas de productos y
servicios personalizados u ofertas de precios ajustados al perfil del cliente; o cuando se
informa sobre la comunicación a las sociedades del Grupo BBVA de datos personales
relativos al perfil del cliente.

Excluidas las llevadas a cabo para la ejecución del contrato entre cliente y
responsable, se citan las siguientes:

b) Conocerte mejor y personalizar su experiencia.
. “En BBVA queremos que tu experiencia como cliente sea lo más satisfactoria posible, a través de una
relación personalizada lo más adaptada a tu perfil de cliente y a tus necesidades.
Para lograrlo tenemos que conocerte mejor, analizando no solo los datos que nos permiten identificarte
como cliente, sino también tu evolución financiera y la de los productos y servicios que tienes
contratados con nosotros o a través de BBVA como comercializador, tus operaciones -pagos. ingresos,
transferencias, adeudos, recibos- así como los usos de los productos, servicios y canales de BBVA.
Adicionalmente, aplicaremos métodos estadísticos y de clasificación para ajustar correctamente tu
perfil. En base a lo anterior, conseguimos elaborar nuestros modelos de negocio.
Gracias a este análisis podremos conocerte mejor, valorar nuevas funcionalidades para ti, productos y
servicios que consideremos acordes a tu perfil (propios o comercializados por BBVA), así como ofertas
personalizadas con precios más ajustados para ti…”.

c) Ofrecer productos y servicios de BBVA, del Grupo BBVA y de otros, personalizados para el cliente:
“… podemos enviarte información sobre productos y servicios de BBVA con precios más ajustados a tu
perfil, informándote de aquello que te pueda interesar como cliente”;
“Te podemos enviar información, acorde a tu perfil de cliente, sobre productos, servicios y ofertas
financieras y no financieras de las sociedades del Grupo BBVA y de terceros…”.

d) Para comunicar los datos del cliente a sociedades del Grupo BBVA para que puedan ofrecerle
productos y servicios propios personalizados para el mismo.
“Si quieres que las sociedades del Grupo BBVA incluidas en esta dirección
https://www.bbva.es/estaticos/muIt/Sociedades-grupo.pdf te puedan ofrecer productos y servicios
personalizados en características y precio, necesitamos que nos autorices a comunicarles datos
relativos a tu perfil de cliente (importe de ingresos y gastos, saldos y utilización de nuestros canales).
Esa información se tratará para intentar mejorar las características y precios de la oferta de productos y
servicios. Las sociedades del Grupo BBVA únicamente tratarán tus datos para esa finalidad”.

Por tanto, BBVA realiza tratamientos de datos personales de sus clientes para
proceder a su perfilado, que posteriormente utiliza con las finalidades expresadas. En todos
los supuestos en los que se refiere a la elaboración de perfiles o a la utilización de datos que
sean resultado de actividades de perfilado, el fundamento de su acción está basado,
conforme a la información que facilita a los interesados-clientes, en el consentimiento de
éstos; salvo en lo que se refiere a la utilización de los datos con la finalidad de conocer mejor
al cliente y mejorar su experiencia, que BBVA ampara en el interés legítimo.

Por las razones ya expresadas en relación con la falta de justificación del interés
legítimo, han de rechazarse las operaciones de tratamiento que incluyan la elaboración de
perfiles o que estén basadas en estos perfiles y que tengan base legal en el interés legítimo
del responsable.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

108/146

Además, no se cumplen en este caso, a juicio de esta Agencia, las exigencias de
información antes descritas. BBVA se limita a informar sobre actuaciones que puede
desarrollar adaptadas al “perfil de cliente” o “personalizadas”, pero no ofrece una información
sobre el tipo de perfiles que se van a realizar, los usos específicos a que se van a destinar
estos perfiles o la posibilidad de que el interesado pueda ejercer el derecho de oposición en
aplicación del artículo 21.2 RGPD, cuando el perfilado esté relacionado con actividades de
mercadotecnia directa.

En los términos del GT29, no se “explican a las personas de forma clara y sencilla el
funcionamiento de la elaboración de perfiles” ni se les advierte sobre la adopción de
decisiones “sobre la base del perfil generado”, independientemente de si entran en el ámbito
de las disposiciones del artículo 22.

El concepto de perfilado no se trata de forma sistematizada en la política de privacidad
de BBVA. De hecho, en la primera capa solo se habla de “conocerte mejor y personalizar tu
experiencia”, omitiendo la elaboración de perfiles, a pesar de que esta finalidad, según
aparece enunciada, precisa hacer un perfilado previo de todos y cada uno de los clientes.
Esto supone un incumplimiento de lo establecido en el artículo 11 de la LOPDGDD.

En la segunda capa o “información ampliada”, al describir la finalidad “Conocerte
mejor y personalizar tu experiencia”, solo se menciona dos veces el concepto perfil, una de
ellas matizada con la expresión “perfil de cliente” y otra cuando se indica que “se ajustará
correctamente” el perfil con la aplicación de métodos estadísticos y de clasificación, sin
describir en qué consistirán esos métodos y las consecuencias de su aplicación, y
presentando este tipo de acciones como si fuese algo ajeno a la actividad propia del
responsable cuyo resultado es, justamente, ese perfilado. En este caso, además, las
operaciones de tratamiento basadas en el perfilado del cliente a las que se refiere el apartado
a) anterior van más allá de la mejora de la experiencia de éste, hasta el punto de que dicho
perfilado se utiliza por BBVA para elaborar su modelo de negocio, valorar nuevas
funcionalidades y productos y realizar ofertas personalizadas.

BBVA dedica un apartado de su escrito de alegaciones a la propuesta de resolución a
esta cuestión relativa a la elaboración de perfiles, pero sin ofrecer ninguna explicación sobre
las deficiencias apreciadas, a las que no se refiere. Se limita, simplemente, a intentar justificar
el uso de los datos personales para el diseño de su modelo de negocio y a señalar que
informa a los interesados sobre el tratamiento realizado (analizar y valorar los datos), la
tipología de datos y la finalidad.

Sobre esta misma cuestión, reitera que en el marco de la finalidad 2 “Conocerte mejor
y personalizar tu experiencia” no se remiten ofertas o comunicaciones comerciales y que la
Agencia confunde ambas finalidades. Sin embargo, en lo expuesto anteriormente no se
produce ninguna confusión en el sentido expresado por BBVA. Lo que se destaca en los
párrafos anteriores son aquellas partes del texto que hacen referencia a tratamientos de datos
que conllevan la elaboración de operaciones de perfilado, sobre las que no se informa
debidamente, como se ha dicho.

Finalmente, interesa poner de manifiesto que la Política de Privacidad no advierte en
en ningún caso si aquellas operaciones de perfilado se corresponden con las decisiones
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

109/146

individuales automatizadas reguladas en el artículo 22 del RGPD, si dichos perfiles van a
servir para tomar decisiones automatizadas con efectos jurídicos para el interesado o que le
vayan a afectar significativamente de un modo similar, un cuyo caso el interesado tendría
derecho a ser informado por virtud de lo establecido en el artículo 13.2.f) del RGPD,
incluyendo en esa información todas las cuestiones que esa letra menciona (la lógica
aplicada, la importancia y las consecuencias previstas de dicho tratamiento para el
interesado, advirtiendo, además, sobre la posibilidad de oponerse a la adopción de estas
decisiones individuales automatizadas), y derecho a que sean atendidas todas las garantías
previstas (además de la información específica al interesado, el derecho a obtener
intervención humana, a expresar su punto de vista, a recibir una explicación de la decisión
tomada después de tal evaluación y a impugnar la decisión). Aunque tampoco se dice lo
contrario, es decir, no se dice que ningún interesado será objeto de una decisión individual
automatizada de esta naturaleza, debe entenderse que este tipo de acciones no se llevan a
cabo.

No se realiza ninguna imputación por decisiones individuales automatizadas reguladas
en el artículo 22 citado (como tampoco sobre el tratamiento de datos de categorías
especiales). Este comentario se incluye como un mero aviso, considerando que la política de
privacidad informa sobre tratamiento de datos que conllevan la utilización de perfilados de los
que podrían resultar efectos discriminatorios para los interesados (como, por ejemplo, créditos
preconcedidos, precios ajustados al perfil del cliente).

De conformidad con lo expuesto, los hechos expuestos suponen una vulneración del
principio de transparencia regulado en los artículos 13 y 14 del RGPD, que da lugar a la
aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la
Agencia Española de Protección de datos.

VII

Por otra parte, los artículos 6 y 7 del mismo RGPD se refieren, respectivamente, a la
“Licitud del tratamiento” y las “Condiciones para el consentimiento”:

Artículo 6 del RGPD.
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios
fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para
la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del
tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el
ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable
del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los
derechos y libertades fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las
autoridades públicas en el ejercicio de sus funciones.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

110/146

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar
la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del
apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras
medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas
de tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al
tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de
normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del
tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados
afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal
comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las
operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento
lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo
IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será
proporcional al fin legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales
no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados
miembros que constituya una medida necesaria y proporcional en una sociedad democrática para
salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con
objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines
del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la
relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos
personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones
penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”.

Artículo 7 del RGPD.
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser
capaz de demostrar que aquel consintió el tratamiento de sus datos personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se
refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga
claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y
sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente
Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del
consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada.
Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el
consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida
posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

111/146

servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para
la ejecución de dicho contrato”.

Se tiene en cuenta lo expresado en los considerandos 32, 40 a 44 y 47 (ya citado en el
Fundamento de Derecho VI) del RGPD en relación con lo establecido en los artículos 6 y 7
antes reseñados. De lo expresado en estos considerandos, cabe destacar lo siguiente:

(42) Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del
tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de
tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro asunto,
debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de
la medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo (LCEur 1993, 1071),
debe proporcionarse un modelo de declaración de consentimiento elaborado previamente por el
responsable del tratamiento con una formulación inteligible y de fácil acceso que emplee un lenguaje
claro y sencillo, y que no contenga cláusulas abusivas. Para que el consentimiento sea informado, el
interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del
tratamiento a los cuales están destinados los datos personales. El consentimiento no debe
considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no
puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.

(43) (…) Se presume que el consentimiento no se ha dado libremente cuando no permita autorizar por
separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso
concreto, o cuando el cumplimiento de un contrato, incluida la prestación de un servicio, sea
dependiente del consentimiento, aún cuando este no sea necesario para dicho cumplimiento.

Procede tener en cuenta, igualmente, lo establecido en el artículo 6 de la LOPDGDD:

“Artículo 6. Tratamiento basado en el consentimiento del afectado
1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por
consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca
por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento
de datos personales que le conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una
pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho
consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los
datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control
de la relación contractual”.

- Tratamientos de datos personales basados en el consentimiento de los interesados

De acuerdo con lo expresado, el tratamiento de datos requiere la existencia de una
base legal que lo legitime, como el consentimiento del interesado prestado válidamente,
necesario cuando no concurra alguna otra base jurídica de la mencionadas en el artículo 6.1
del RGPD o el tratamiento persiga un fin compatible con aquel para el que se recogieron los
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

112/146

datos.

El artículo 4 del RGPD) define el “consentimiento” como sigue:

El consentimiento se entiende como un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar
el tratamiento de datos de carácter personal que le conciernan, prestada con garantías
suficientes para que el responsable pueda acreditar que el interesado es consciente del
hecho de que da su consentimiento y de la medida en que lo hace. Y debe darse para todas
las actividades de tratamiento realizadas con el mismo o mismos fines, de modo que, cuando
el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos de manera
específica e inequívoca, sin que pueda supeditarse la ejecución del contrato a que el afectado
consienta el tratamiento de sus datos personales para finalidades que no guarden relación
con el mantenimiento, desarrollo o control de la relación negocial. A este respecto, la licitud
del tratamiento exige que el interesado sea informado sobre los fines a que están destinados
los datos (consentimiento informado).

El consentimiento ha de prestarse libremente. Se entiende que el consentimiento no
es libre cuando el interesado no goza de verdadera o libre elección o no puede denegar o
retirar su consentimiento sin sufrir perjuicio alguno; o cuando no se le permita autorizar por
separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado
en el caso concreto, o cuando el cumplimiento de un contrato o prestación de servicio sea
dependiente del consentimiento, aún cuando éste no sea necesario para dicho cumplimiento.
Esto ocurre cuando el consentimiento se incluye como una parte no negociable de las
condiciones generales o cuando se impone la obligación de estar de acuerdo con el uso de
datos personales adicionales a los estrictamente necesarios.

Sin estas condiciones, la prestación del consentimiento no ofrecería al interesado un
verdadero control sobre sus datos personales y el destino de los mismos, y ello haría ilegal la
actividad del tratamiento.

El Grupo de Trabajo del Artículo 29 analizó estas cuestiones en su documento
“Directrices sobre el consentimiento en virtud del Reglamente 2016/679”, adoptado el
28/11/2017, revisadas y aprobadas el 10/04/2018.

Estas Directrices han sido actualizadas por el Comité Europeo de Protección de Datos
el 04/05/2020 mediante el documento “Directrices 05/2020 sobre el consentimiento con
arreglo al Reglamento 2016/679” (mantiene literalmente idénticas las parte que se transcriben
a continuación). En este documento 5/2020 se dice expresamente que los dictámenes del
Grupo de Trabajo del artículo 29 (WP29) sobre el consentimiento siguen siendo pertinentes,
siempre que sean coherentes con el nuevo marco jurídico, declarando que esas directrices no
sustituyen los dictámenes previos, sino que los amplían y completan.

De lo indicado en el documento del GT29 anteriormente citado, interesa ahora
destacar algunos de los criterios relacionados con la validez del consentimiento, en concreto
sobre los elementos “específico”, “informado” e “inequívoco”:

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

113/146

“3.2. Manifestación de voluntad específica
El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el tratamiento de
sus datos debe darse «para uno o varios fines específicos» y que un interesado puede elegir con
respecto a cada uno de dichos fines. El requisito de que el consentimiento deba ser «específico» tiene
por objeto garantizar un nivel de control y transparencia para el interesado. Este requisito no ha sido
modificado por el RGPD y sigue estando estrechamente vinculado con el requisito de consentimiento
«informado». Al mismo tiempo, debe interpretarse en línea con el requisito de «disociación» para
obtener el consentimiento «libre». En suma, para cumplir con el carácter de «específico» el
responsable del tratamiento debe aplicar:

i) la especificación del fin como garantía contra la desviación del uso,
ii) la disociación en las solicitudes de consentimiento, y
iii) una clara separación entre la información relacionada con la obtención del consentimiento para las
actividades de tratamiento de datos y la información relativa a otras cuestiones.

Ad. i): De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la obtención del consentimiento
válido va siempre precedida de la determinación de un fin específico, explícito y legítimo para la
actividad de tratamiento prevista. La necesidad del consentimiento específico en combinación con la
noción de limitación de la finalidad que figura en el artículo 5, apartado 1, letra b), funciona como
garantía frente a la ampliación o difuminación gradual de los fines para los que se realiza el tratamiento
de los datos una vez que un interesado haya dado su autorización a la recogida inicial de los datos.
Este fenómeno, también conocido como desviación del uso, supone un riesgo para los interesados ya
que puede dar lugar a un uso imprevisto de los datos personales por parte del responsable del
tratamiento o de terceras partes y a la pérdida de control por parte del interesado.
Si el responsable del tratamiento se basa en el artículo 6, apartado 1, letra a), los interesados deberán
siempre dar su consentimiento para un fin específico para el tratamiento de los datos. En consonancia
con el concepto de limitación de la finalidad, con el artículo 5, apartado 1, letra b), y con el
considerando 32, el consentimiento puede abarcar distintas operaciones, siempre que dichas
operaciones tengan un mismo fin. Huelga decir que el consentimiento específico solo puede obtenerse
cuando se informa expresamente a los interesados sobre los fines previstos para el uso de los datos
que les conciernen.
Sin perjuicio de las disposiciones sobre la compatibilidad de los fines, el consentimiento debe ser
específico para cada fin. Los interesados darán su consentimiento entendiendo que tienen control
sobre sus datos y que estos solo serán tratados para dichos fines específicos. Si un responsable trata
datos basándose en el consentimiento y, además, desea tratar dichos datos para otro fin, deberá
obtener el consentimiento para ese otro fin, a menos que exista otra base jurídica que refleje mejor la
situación…
Ad. ii) Los mecanismos de consentimiento no solo deben estar separados con el fin de cumplir el
requisito de consentimiento «libre», sino que también deben cumplir con el de consentimiento
«específico». Esto significa que un responsable del tratamiento que busque el consentimiento para
varios fines distintos, debe facilitar la posibilidad de optar por cada fin, de manera que los usuarios
puedan dar consentimiento específico para fines específicos.
Ad. iii) Finalmente, los responsables del tratamiento deben facilitar, con cada solicitud de
consentimiento separada, información específica sobre los datos que se tratarán para cada fin, con el
objeto de que los interesados conozcan la repercusión de las diferentes opciones que tienen. De este
modo, se permite a los interesados dar un consentimiento específico. Esta cuestión se solapa con el
requisito de que los responsables faciliten información clara, tal y como se ha expuesto anteriormente
en la sección 3.3”.

“3.3. Manifestación de voluntad informada…” (este apartado 3.3 ya reseñado en el Fundamento de
Derecho anterior).

“3.4. Manifestación de voluntad inequívoca
El RGPD establece claramente que el consentimiento requiere una declaración del interesado o una
clara acción afirmativa, lo que significa que siempre debe darse el consentimiento mediante una acción
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

114/146

o declaración. Debe resultar evidente que el interesado ha dado su consentimiento a una operación
concreta de tratamiento de datos…

Una «clara acción afirmativa» significa que el interesado debe haber actuado de forma deliberada para
dar su consentimiento a ese tratamiento en particular. El considerando 32 ofrece orientación adicional
sobre este punto…

El uso de casillas de aceptación ya marcadas no es válido con arreglo al RGPD. El silencio o la
inactividad del interesado, o simplemente continuar con un servicio, no pueden considerarse como una
indicación activa de haber realizado una elección…

Un responsable del tratamiento debe tener también en cuenta que el consentimiento no puede
obtenerse mediante la misma acción por la que el usuario acuerda un contrato o acepta los términos y
condiciones generales de un servicio. La aceptación global de los términos y condiciones generales no
puede considerarse una clara acción afirmativa destinada a dar el consentimiento al uso de datos
personales. El RGPD no permite que los responsables del tratamiento ofrezcan casillas marcadas
previamente o mecanismos de exclusión voluntaria que requieran la intervención del interesado para
evitar el acuerdo (por ejemplo, “casillas de exclusión voluntaria”)...”.

Los responsables del tratamiento deben diseñar los mecanismos de consentimiento de manera que
sean claros para los interesados. Deben evitar la ambigüedad y garantizar que la acción mediante la
cual se presta el consentimiento se distinga de otras acciones…”.

En este documento se cita el Dictamen 15/2011 del GT29, sobre la definición del
consentimiento. Sobre el consentimiento como manifestación de voluntad inequívoca, en este
último Dictamen se indica:

“Para que el consentimiento se otorgue de forma inequívoca, el procedimiento de su obtención y
otorgamiento no tiene que dejar ninguna duda sobre la intención del interesado al dar su
consentimiento. En otras palabras, la manifestación mediante la cual el interesado consiente no debe
dejar lugar a ningún equívoco sobre su intención. Si existe una duda razonable sobre la intención de la
persona se producirá una situación equívoca.

Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear
procedimientos rigurosos para que las personas den su consentimiento…”.

“Este ejemplo ilustra el caso de la persona que permanece pasiva (por ejemplo, inacción o «silencio»).
El consentimiento inequívoco no encaja bien con los procedimientos para obtener el consentimiento a
partir de la inacción o el silencio de las personas: el silencio o la inacción de una parte es
intrínsecamente equívoco (la intención del interesado podría ser de asentimiento o simplemente no
realizar la acción)”.

“… el comportamiento individual (o más bien, la falta de acción), plantea serias dudas sobre la voluntad
de acuerdo de la persona. El hecho de que la persona no realice una acción positiva no permite
concluir que ha dado su consentimiento. Por tanto, no cumple el requisito de consentimiento
inequívoco”. Además, como se ilustra a continuación, también será muy difícil para el responsable del
tratamiento de datos aportar la prueba que demuestre que la persona ha consentido”.

En el presente caso, BBVA contempla en su política de privacidad la utilización de los
datos personales de sus clientes con finalidades distintas del mero cumplimiento de la
relación negocial. En concreto, la citada entidad menciona las siguientes finalidades, excluida
la relativa a la gestión de los productos y servicios contratados:

“2) Para conocerte mejor y personalizar tu experiencia.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

115/146

3) Para ofrecerte productos y servicios de BBVA, del Grupo BBVA y de otros, personalizados para ti.
No vamos a inundarte con información.
4) Para comunicar tus datos a sociedades del Grupo BBVA para que te puedan ofrecer productos y
servicios propios personalizados para ti.
5) Para mejorar la calidad de los productos y servicios”.

En relación con estas finalidades, BBVA se refiere al interés legítimo como base
legitimadora para el uso de los datos con la finalidad señalada en el apartado 2) anterior y al
consentimiento en relación con las demás finalidades señaladas.

La entidad responsable no diseñó un mecanismo específico para recabar el
consentimiento de sus clientes en orden a la utilización de los datos personales con las
finalidades 3), 4) y 5), habiendo estimado BBVA que la aceptación sin más de la política de
privacidad, mediante la firma por el cliente del repetido formulario, conlleva la prestación de
ese consentimiento.

BBVA limita las opciones del interesado a la marcación de una casilla mediante la cual
deja constancia de su oposición a los indicados tratamientos de datos. El formulario de
recogida de datos y prestación del consentimiento dice así:

“Te informamos que si no estás de acuerdo con la aceptación de alguna de las siguientes finalidades,
puedes seleccionarlas a continuación.

Mejora de calidad

Te recordamos que cuando introduzcas la clave que se solicite en el proceso de firma, estarás dando tu
conformidad a esta Declaración de Actividad Económica y Política de Protección de Datos Personales.

FIRMA DEL DOCUMENTO "DECLARACIÓN DE ACTIVIDAD ECONÓMICA Y POLÍTICA DE
PROTECCIÓN DE DATOS PERSONALES", incluida su Información ampliada (modelo LOPD NORMAL
DATOS PERSONALES / DAE, versión 13 23-09-2018)”.

En contra de lo establecido en el RGPD, con este mecanismo no se da opción para
que el cliente preste su consentimiento a los tratamientos de que se trate, sino que el
consentimiento se pretende recabar mediante la inacción del interesado (no marcar las
casillas en las que se indica “NO quiero…”). No se trata de una acción afirmativa, sino de una
pura inacción que no asegura que el interesado otorgue inequívocamente el consentimiento
(normalmente cuando marcas algo es porque lo quieres, no porque no lo quieres; puede no
haber entendido la doble negación; puede no haber prestado la atención debida al leer
rápidamente las indicaciones en cuestión).

Se trata, en definitiva, de un consentimiento que pretende deducirse de la inacción y,
por tanto, contrario al RGPD. No se cumple el requisito según el cual “el consentimiento debe
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

116/146

darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre,
específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de
carácter personal que le conciernen”, entendiéndose que “la inacción no debe constituir
consentimiento” (Considerando 32).

Con el mecanismo diseñado, BBVA entiende consentidos todos los tratamientos
detallados con la firma de la Política de Privacidad. Esta aceptación mediante una acción
única de todos los tratamientos, que resulta de la aceptación de la política de privacidad (dice
expresamente el repetido documento: “Te recordamos que cuando introduzcas la clave que
se solicita en el proceso de firma, estarás dando tu conformidad a esta Declaración de
Actividad Económica y Política de Protección de Datos Personales”), también deviene en
inválido el consentimiento prestado por el interesado, respecto de la utilización de los datos
con finalidades distintas a la ejecución del contrato o relación negocial mantenida por el
interesado y la entidad responsable o, lo que es lo mismo, respecto de todos aquellos
tratamientos que requieren un consentimiento diferenciado y granular.

El consentimiento debe darse para todas las actividades de tratamiento realizadas con
el mismo o los mismos fines y, cuando el tratamiento tenga varios fines, debe darse el
consentimiento para todos ellos, si bien mediante una manifestación de voluntad expresada
para cada uno de los fines de forma separada o diferenciada, permitiendo al interesado optar
por elegir todos, una parte o ninguno de ellos. Según lo expresado en el Considerando 43, no
puede entenderse libremente prestado el consentimiento al no haberse permitido “autorizar
por separado las distintas operaciones de tratamiento de datos personales pese a ser
adecuado en el caso concreto”. En el considerando 32 se afirma que "el consentimiento debe
abarcar todas las actividades de tratamiento realizadas con el mismo fin o fines. Cuando el
procesamiento tenga múltiples propósitos, debe darse el consentimiento para todos ellos”.

“Cuando el tratamiento de datos se realiza con varios fines, la solución para cumplir
con las condiciones de consentimiento válido reside en la granularidad, es decir, la
separación de estos fines y la obtención de consentimiento para cada fin” (Directrices del
GT29). Entender que la firma del formulario habilitado por BBVA para la recogida de datos
personales y para la prestación del consentimiento supone la aceptación de todos ellos no
cumple esta exigencia de autorizar por separado las distintas opciones. Aceptar como válida
la firma del documento como única acción sería lo misma que aceptar la prestación de un
consentimiento global para todas las operaciones de tratamiento sin considerar si sus
finalidades son diversas o no, lo cual resulta contrario a todos los fundamentos expresados
sobre esta cuestión.

Además, según se ha señalado, la fórmula empleada no está articulada como una
autorización o consentimiento, sino en el sentido inverso. Con esta fórmula, que únicamente
permite al interesado “no autorizar”, BBVA entiende prestado el consentimiento cuando no se
marca la opción ofrecida. En estos casos, es decir, cuando el interesado no marca las
opciones “No quiero…”, no podrá concluirse con certeza absoluta si el interesado actuó
deliberadamente al dejar esas casillas sin marcar. Por la misma razón, el responsable nunca
estará en disposición de demostrar que actuó con el consentimiento de los titulares de los
datos personales.

Esa fórmula responde a lo que el Grupo de Trabajo del Artículo 29 denomina
“mecanismos de exclusión voluntaria”: <<El RGPD no permite que los responsables del
tratamiento ofrezcan casillas marcadas previamente o mecanismos de exclusión voluntaria
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

117/146

que requieran la intervención del interesado para evitar el acuerdo (por ejemplo, casillas de
exclusión voluntaria”)>>.

Asimismo, procede destacar que el mecanismo habilitado por BBVA responde a un
diseño consciente, elaborado por la entidad con el propósito de favorecer la prestación del
consentimiento por la mayoría de clientes. BBVA era consciente, según las conclusiones
reflejadas en sus propios trabajos preparatorios, de que un altísimo porcentaje de personas
suscribe el formulario sin siquiera leer la información de la Política de Privacidad y sin reparar
en las opciones ofrecidas. Por tanto, cuando estableció el “mecanismo de exclusión
voluntaria”, en lugar de un mecanismo de aceptación para cada operación de tratamiento, ya
sabía que tendría un resultado favorable a sus propios intereses.

A este respecto, en el documento aportado por BBVA sobre el resultado de las
investigaciones realizadas sobre el borrador de cláusula informativa se dice:

“Resultados generales: casi el 90% de los entrevistados acepta todas las condiciones, ya sea de
manera expresa o por defecto; dos tercios de los entrevistados aceptaron las condiciones GDPR de
manera instantánea, sin leer; la no aceptación se centra exclusivamente en la recepción de
comunicaciones comerciales, sobre todo de terceros”.
“Conclusiones: (…) en mobile se presta menos atención: se vincula a una actualización y se lee menos
(se acepta directamente)”.
“Consideraciones generales: en general los clientes no se detienen en la pantalla y los que lo hacen
leen en “diagonal”. Aceptan sin leer ya que la confianza en BBVA es elevada y propicia un análisis
menos exhaustivo de la cláusula”.

El consentimiento prestado, además, no se considera informado. Ya se ha dicho aquí
la importancia de facilitar información a los interesados antes de obtener su consentimiento,
esencial para que puedan tomar decisiones habiendo comprendido qué está autorizando. Si
el responsable no proporciona información clara y accesible, el control del usuario será
ilusorio y el consentimiento no constituirá una base válida para el tratamiento de los datos.

Lo expuesto en el Fundamento de Derecho VI, sobre los reparos observados en la
información que BBVA facilita en materia de protección de datos de carácter personal, afectan
por igual al consentimiento que hubiera podido prestarse, haciéndolo inválido al no tratarse de
un consentimiento informado, en relación con las operaciones de recogida de datos o
tratamientos de datos respecto de los cuales se apreciaron aquellos defectos en la
información, incluido el tratamiento de datos que no hayan sido facilitados directamente por el
interesado o que no sean necesarios para el cumplimiento de la relación contractual que le
vincule con la entidad.

No hace falta reiterar aquí las circunstancias ya expresadas en relación con el
lenguaje empleado en la política de privacidad o la falta de un formulación clara e inteligible
de las finalidades y de las operaciones de tratamiento.

Todas esas deficiencias impiden a los interesados conocer el sentido y significado real
de las indicaciones facilitadas y el alcance real de los consentimientos que pudieran prestar.

Por tanto, devienen en ilícitos todos los tratamientos detallados cuya base legal venga
determinada, conforme a lo expresado por la propia entidad BBVA, por el consentimiento de
los interesados, entre los que figuran los siguientes tratamientos de datos personales, con el
detalle que en cada caso se recoge en la información ofrecida por BBVA, ya detallada:
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

118/146

. La utilización de los datos personales de clientes para ofrecerles productos y servicios de
BBVA, del Grupo BBVA y de terceros.
. La comunicación de datos personales a sociedades del Grupo BBVA.
. La utilización de los datos personales para mejorar la calidad de los productos y servicios.

BBVA, en su escrito de alegaciones, ha realizado un esfuerzo considerable para
justificar el mecanismo diseñado, es decir, para justificar que la firma del documento de
política de privacidad es una acción afirmativa. Sin embargo, ningún argumento aportado por
la entidad es válido para salvar la necesidad de prestar el consentimiento de forma separada
mediante una acción afirmativa (no lo es el consentimiento que BBVA entiende prestado a
partir de una casilla que el interesado deja sin marcar). Esta conclusión anterior es tan nítida
que lo expuesto anteriormente para fundamentarla se estima suficiente para desestimar
dichas alegaciones.

En contra de lo indicado en el escrito de alegaciones elaborado por BBVA, no se
ofrece al interesado la posibilidad de optar y elegir sus preferencias, sino la posibilidad de
rechazar u oponerse; no es cierto que se garantice el control sobre los datos por parte del
cliente; y tampoco lo es que BBVA haya optado por una clara acción afirmativa, refiriéndose a
la firma de la “Declaración”.

Sobre las fórmulas para obtener el consentimiento, advierte BBVA que el
Considerando 32 admite muchas distintas. Esto es cierto, pero el mismo Considerando 32
exige para todas esas fórmulas que el consentimiento se preste mediante un acto afirmativo
que refleje una manifestación de voluntad libre, específica, informada e inequívoca del
interesado de aceptar el tratamiento de datos de carácter personal que le conciernen. Ya se
ha explicado anteriormente el alcance de estas exigencias.

BBVA cita ejemplos de consentimientos que dice válidos, si bien ninguno de ellos
puede estimarse similar al mecanismo diseñado por esta entidad en el repetido formulario de
recogida de datos.

Uno de los ejemplos que cita es el caso numerado como “ejemplo 17” en las
Directrices sobre el consentimiento del GT29. Entiende BBVA que puede asimilarse al que es
objeto de este expediente, al admitir un escenario que contiene las opciones de marcación de
un “si” y un “no”:

A juicio de esta Agencia, este ejemplo no es asimilable al caso presente. En ese
ejemplo se da validez a la marcación de la casilla, prestando o denegando el consentimiento,
mientras que el mecanismo de la Política de Privacidad de BBVA se tiene por prestado el
consentimiento sin necesidad de realizar ninguna acción. Distinto sería si en el ejemplo
mostrado se estimara prestado el consentimiento en caso de no marcar ninguna de las dos
casillas dispuestas, en cuyo caso, esa presunta “manifestación de voluntad” no sería
aceptable.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

119/146

Asimismo, en su escrito de alegaciones a la propuesta de resolución insiste en los
mismos razonamientos ya contenidos en su escrito de alegaciones a la apertura y señala que
la Agencia no ha argumentado nada al respecto.

Esta Agencia, sin embargo, estima lo contrario. Las normas reseñadas y los
argumentos expuestos en este Fundamento de Derecho se consideran suficientes para dar
respuesta y desvirtuar las alegaciones presentadas por BBVA, y son estas alegaciones las
que no han tomado en consideración lo establecido en las normas y los argumentos de la
Agencia.

En cuanto a las consideraciones formuladas por esta Agencia sobre el “diseño
consciente” realizado por BBVA con el propósito de favorecer la prestación del consentimiento
de la mayoría de sus clientes, se limita a señalar que no son jurídicamente relevantes. Esta
Agencia no comparte este criterio.

Añade que es lícito y legítimo tratar gran cantidad de datos personales y que este
hecho no puede ser objeto de sanción. Y ello es así, siempre que se respeten los principios y
garantías previstos y cualquier norma de aplicación.

- Otros tratamientos de datos personales sin base jurídica

Por otra parte, esta Agencia considera que existen otros tratamientos de datos que
constan en la política de privacidad que se llevan a cabo sin ninguna base de legitimación:

. La finalidad 4 se refiere a la comunicación de los datos del cliente a sociedades del Grupo
BBVA para que puedan ofrecerle productos y servicio personalizados. Sin embargo, en la
política de privacidad se añade que la información comunicada “se tratará para intentar
mejorar las características y precios de la oferta de productos y servicios”. La utilización de los
datos por las empresas del Grupo BBVA con esta finalidad no queda amparada por el
consentimiento prestado por el cliente en relación con esta finalidad.

. Tampoco existe base jurídica que legitime la utilización de datos personales “relativos a
todos los productos y servicios… de los que BBVA es comercializador” con las finalidades que
se indican en la política de privacidad. BBVA no es la entidad responsable de estos datos
obtenidos de productos de terceros comercializados por la misma, lo que limita la posibilidad
de utilizar la información de que se trate con fines propios, como se dijo anteriormente.

Las alegaciones a la propuesta de resolución formuladas por la entidad BBVA no
contienen ninguna observación sobre estas cuestiones.

- Tratamiento de datos personales basados en el interés legítimo del responsable o
de terceros

Se considera, por otra parte, que no existe base legal suficiente para el tratamiento de
datos personales que BBVA basa en su interés legítimo, llevado a cabo con la finalidad de
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

120/146

conocer mejor al cliente y mejorar su experiencia, incluida la elaboración de perfiles, según
los términos empleados en el formulario objeto de análisis.

A este respecto, no se estima suficientemente justificado el interés legítimo en el
tratamiento de los datos de los clientes con la finalidad de elaborar el modelo de negocio de la
entidad, valorar nuevas funcionalidades o remitir felicitaciones a los clientes.

Cabe señalar, asimismo, que en la descripción de los tratamientos de datos que BBVA
tiene previsto realizar sobre la base del interés legítimo, incluye la realización de ofertas
personalizadas o el desarrollo y mejora de la calidad de productos y servicios; siendo estos
tratamiento de datos similares a los reseñados al citar otras finalidades basadas en el
consentimiento (ofrecer productos y servicios personalizados y mejorar la calidad de los
productos y servicios), motivando que la descripción de las finalidades y enumeración de
tratamientos de datos contenida en la información que se ofrece provoque confusión a los
interesados. De este modo, no puede admitirse un tratamiento de datos basado en el interés
legítimo similar a otros llevados a cabo sobre la base del consentimiento del cliente, el cual,
además, no se presta de un modo válido.

A continuación, se reproduce nuevamente la información incluida en la “Declaración
de actividad económica y política de protección de datos personales” sobre estos tratamientos
de datos basados en el interés legítimo de BBVA:

¿para qué utilizamos tus datos personales?

2. Conocerte mejor y personalizar tu experiencia
En BBVA queremos que tu experiencia como cliente sea lo más satisfactoria posible, a través de una
relación personalizada Io más adaptada a tu perfil de cliente y a tus necesidades.
Para lograrlo tenemos que conocerte mejor, analizando no solo los datos que nos permiten identificarte
como cliente, sino también tu evolución financiera y la de los productos y servicios que tienes
contratados con nosotros o a través de BBVA como comercializador, tus operaciones -pagos. ingresos,
transferencias, adeudos, recibos- así como los usos de los productos, servicios y canales de BBVA.
Adicionalmente, aplicaremos métodos estadísticos y de clasificación para ajustar correctamente tu
perfil. En base a lo anterior, conseguimos elaborar nuestros modelos de negocio.
Gracias a este análisis podremos conocerte mejor, valorar nuevas funcionalidades para ti, productos y
servicios que consideremos acordes a tu perfil (propios o comercializados por BBVA), así como ofertas
personalizadas con precios más ajustados para ti. Como te conoceremos mejor, podremos felicitarte
por tu aniversario, desearte un buen día o felices fiestas.
Si no estás de acuerdo, puedes oponerte enviando un email a: [email protected] o
en cualquiera de nuestras oficinas.
Este apartado solo es aplicable a clientes BBVA.

¿por qué razón utilizamos tus datos personales?

2. Conocerte mejor y personalizar tu experiencia: por el interés legítimo de BBVA.
Por interés legítimo de BBVA, para que desde BBVA podamos atender mejor tus expectativas y
podamos incrementar tu grado de satisfacción como cliente al desarrollar y mejorar la calidad de
productos y servicios propios o de terceros, así como realizar estadísticas, encuestas o estudios de
mercado que puedan resultar de interés.
Asimismo, por interés legítimo de BBVA para ser un banco cercano a ti como cliente y poder
acompañarte durante nuestra relación contractual, podríamos felicitarte por tu aniversario, desearte un
buen día o felices fiestas.
Estos intereses legítimos respetan tu derecho a la protección de datos personales, al honor y a la
intimidad personal y familiar. En BBVA consideramos que, como cliente, tienes una expectativa
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

121/146

razonable a que se utilicen tus datos para que podamos mejorar los productos y servicios y puedas
disfrutar de una mejor experiencia como cliente. Además, estimamos que también tienes una
expectativa razonable a recibir felicitaciones con motivo de tu aniversario. desearte un buen día o
felices fiestas. Pero recuerda que en ambos casos basados en interés legítimo, siempre puedes ejercer
tu derecho de oposición si lo consideras oportuno en la siguiente dirección:
[email protected] o en cualquiera de nuestras oficinas.

Con esta información, difícilmente el interesado puede tener una idea clara sobre los
tratamientos de datos que se llevarán a cabo. Basta con examinar los tratamientos que se
citan en el Informe de ponderación de la prevalencia del interés legítimo en los tratamientos a
los que se refiere la finalidad 2 del apartado “¿Para qué finalidades los usaremos?” para
comprobar esa dificultad. Estos son los tratamientos que se indican en dicho informe:

“. Asignación límites preconcedidos
. Aplicación perfil
. Modelos de Propensión
. Contact Center - Módulo de ofrecimientos
. Hechos Relevantes e insights
. Análisis y propuestas de rentabilización de cartera de tarjetas”.

Según consta en el citado Informe de ponderación, los datos personales sometidos a
tratamiento son los siguientes:

i. Datos ldentificativos y de contacto, tales como el nombre, apellidos, fotografía, DNI, pasaporte o NIE,
nacionalidad, direcciones postales, direcciones electrónicas, teléfono fijo, teléfono móvil, voz e imagen.
ii. Datos económicos y de solvencia patrimonial, tales como ingresos netos mensuales, saldo medio en
cuentas, saldo de activo, recibos domiciliados, nómina domiciliada, ingresos y gastos, así como los
relacionados con la calificación financiera del cliente.
iii. Datos transaccionales de forma categorizada, tales como saldos medios, ingresos medios, número
de recibos domiciliados, número de recibos referidos a la prestación de servicios básicos, tipología de
movimientos de cuentas y tarjetas. No se incluirían los datos referidos a los textos de los recibos por
inferencia desde el detalle de movimientos de cuentas y tarjetas (como por ejemplo, origen, destino,
concepto y tercero relacionado con la transacción).
iv. Datos sociodemográficos, tales como edad, estado civil, situación familiar, residencia, estudios y
ocupación (tipo de contrato, antigüedad en el empleo) o pertenencia a colectivos.
v. Datos de productos y servicios contratados, tales como número de contrato, límite asociado a los
productos contratados, tipología de productos y servicios contratados, datos de contrato (atributos
asociados al contrato), riesgo con BBVA, así como cualquier documentación asociada a cualquiera de
estos contratos.
vi. Datos de comunicaciones y del uso de los canales que BBVA pone a disposición del cliente para la
gestión de los productos y servicios.
vii. Datos sobre el uso de los canales digitales de BBVA,
viii. Datos resultantes de estadísticas y estudios de mercado llevados a cabo por BBVA.
ix. Datos estadísticos sociodemográficos procedentes del Instituto Nacional de Estadística (en
adelante, "INE"), obtenidos conforme a lo dispuesto en al artículo 21.1 de la Ley 12/1989, de 9 mayo,
reguladora de la Función Estadística Pública (en adelante, "LFEP").
x. Datos obtenidos de la Central de Información de Riesgos del Banco de España (en adelante,
"CIRBE"), regulada por el Capítulo VI de la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma
del Sistema Financiero (en adelante, "LMRSF").
xi. Datos obtenidos de ficheros de solvencia patrimonial y crédito, actualmente regulados por el artículo
29 de la Ley Orgánica 15/ 1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

La información inferida por BBVA en base al interés legítimo, incluidos los perfiles
elaborados, se utiliza también, sobre la base del consentimiento del interesado, para ofrecer
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

122/146

productos y servicios de BBVA, del Grupo BBVA y de terceros personalizados; y con la misma
base jurídica se comunica a las sociedades del Grupo BBVA para que también puedan ofrecer
productos y servicios personalizados e “intentar mejorar las características y precios de la
oferta de productos y servicios”.

El análisis de la cuestión suscitada debe tener en cuenta inicialmente lo dispuesto en
el artículo 1.2 del RGPD, según el cual “El presente Reglamento protege los derechos y
libertades fundamentales de las personas físicas y, en particular, su derecho a la protección
de los datos personales”. Para ello habrán de tenerse en cuenta todas las circunstancias que
rodean la recogida y tratamiento de los datos y el modo en que se ven cumplidos o reforzados
los principios, derechos y obligaciones exigidos por la normativa de protección de datos de
carácter personal.

El artículo 6 del RGPD exige que el tratamiento de datos personales, para que sea
lícito, pueda ampararse en alguna de las bases de legitimación que establece y que el
responsable del tratamiento sea capaz de demostrar que, efectivamente, concurría en la
operación de tratamiento el fundamento jurídico que invoca (artículo 5.2, principio de
responsabilidad proactiva).

Las bases jurídicas del tratamiento que se detallan en el artículo 6.1 RGPD están
relacionados con el principio, más amplio, de licitud, del artículo 5.1.a) del RGPD, precepto
que dispone que los datos personales serán tratados de manera “lícita, leal y transparente en
relación con el interesado”.

En relación con la base jurídica del interés legítimo, invocada por BBVA para los
tratamientos descritos en los apartados anteriores, el artículo 6 citado establece:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable
del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los
derechos y libertades fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño...”.

El Considerando 47 del RGPD precisa el contenido y alcance de esta base
legitimadora del tratamiento.

Los criterios interpretativos que se extraen de este Considerando son, entre otros, (i)
que el interés legítimo del responsable prevalezca sobre los intereses o derechos y libertades
fundamentales del titular de los datos, a la vista de las expectativas razonables que éste
tenga, fundadas en la relación que mantiene con el responsable del tratamiento; (ii) será
imprescindible que se efectúe una “evaluación meticulosa” de los derechos e interés en juego,
también en aquellos supuestos en los que el interesado pueda prever de forma razonable, en
el momento y en el contexto de la recogida de datos, que pueda producirse el tratamiento con
tal fin; (iii) los intereses y derechos fundamentales del titular de los datos personales podrían
prevalecer frente a los intereses legítimos del responsable cuando el tratamiento de los datos
se efectúe en circunstancias tales en las que el interesado “no espere razonablemente” que
se lleve a cabo un tratamiento ulterior de sus datos personales.

Debe añadirse que el interesado, en todos los casos, puede ejercer el derecho de
oposición, que también supone una nueva evaluación de los intereses de responsable y titular
de los datos, salvo en los casos de prospección comercial, en los que el ejercicio del derecho
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

123/146

obliga a interrumpir los tratamientos sin ninguna evaluación (artículo 21.3 del RGPD).

Interesa destacar algunos aspectos recogidos en el Dictamen 6/2014 elaborado por el
Grupo de Trabajo del Artículo 29 relativo al “Concepto de interés legítimo del responsable del
tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE”, de fecha
09/04/2014, especialmente los factores que pueden ser valorados cuando se efectúa la
preceptiva ponderación de los derechos e intereses en juego. Aunque el Dictamen 6/2014 se
emitió para favorecer una interpretación uniforme de la Directiva 95/46 entonces vigente,
derogada por el RGPD, dada la casi total identidad entre su artículo 7.f) y el artículo 6.1.f) del
RGPD, y que las reflexiones ofrecidas son exponente y aplicación de principios que inspiran
también el RGPD, como el principio de proporcionalidad, o de principios generales del
Derecho comunitario, como los principios de equidad y de respeto a la ley y al Derecho,
muchas de sus reflexiones son extrapolables a la aplicación de la normativa actual.

Según se ha indicado, para que el apartado f) del artículo 6.1. RGPD pueda constituir
la base legitimadora del tratamiento de los datos personales que se efectúa, preceptivamente,
y con carácter previo al tratamiento, ha de hacerse una ponderación, una “evaluación
meticulosa”, de los derechos e intereses en juego: el interés legítimo del responsable del
tratamiento, de una parte, y de otra, tanto los intereses como los derechos y libertades
fundamentales de los afectados. Ponderación que es imprescindible, pues sólo cuando como
resultado de ella prevalece el interés legítimo del responsable del tratamiento sobre los
derechos o intereses de los titulares de los datos podrá operar como fundamento jurídico del
tratamiento el referido interés.

Sobre la prueba de ponderación, el repetido Dictamen señala lo siguiente:

“El interés legítimo del responsable del tratamiento, cuando es menor y no muy apremiante, en general,
solo anula los intereses y los derechos de los interesados en casos en los que el impacto sobre estos
derechos e intereses sea incluso más trivial. Por otro lado, un interés legítimo importante y apremiante
puede, en algunos casos y sujeto a garantías y medidas, justificar incluso una intrusión significativa en
la privacidad o cualquier otra repercusión importante en los intereses o derechos de los interesados.

Aquí es importante destacar el papel especial que las garantías pueden desempeñar para reducir un
impacto indebido sobre los interesados y, por tanto, para cambiar el equilibrio de derechos e intereses
hasta el punto de que prevalezca el interés legítimo del responsable del tratamiento de datos. Por
supuesto, el uso de garantías exclusivamente no es suficiente para justificar cualquier tipo de
tratamiento en cualquier contexto. Además, las garantías en cuestión deben ser adecuadas y
suficientes, y deben, incuestionable y significativamente, reducir la repercusión para los interesados”.

El Dictamen mencionado hace referencia a los múltiples factores que pueden operar
en la ponderación de los intereses en juego y los agrupa en estas categorías:

(a) la evaluación del interés legítimo del responsable del tratamiento, la naturaleza y fuente
del interés legítimo y si el tratamiento de datos es necesario para el ejercicio de un derecho
fundamental, resulta de otro modo de interés público o se beneficia del reconocimiento de la
comunidad afectada;
(b) el impacto o repercusión sobre los interesados y sus expectativas razonables sobre qué
sucederá con sus datos (“lo que una persona considera razonablemente aceptable en virtud
de las circunstancias”), así como la naturaleza de los datos y la manera en la que sean
tramitados; subrayando que la pretensión no es que el tratamiento de datos efectuado por el
responsable no tenga ningún impacto negativo sobre los interesados sino impedir que el
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

124/146

impacto sea “desproporcionado”;
(c) el equilibrio provisional y
(d) las garantías adicionales que podrían limitar un impacto indebido sobre el interesado, tales
como la minimización de los datos, las tecnologías de protección de la intimidad, el aumento
de la transparencia, el derecho general e incondicional de exclusión voluntaria y la
portabilidad de los datos.

En primer término, el Dictamen subraya que la implicación que el responsable del
tratamiento puede tener en el tratamiento de datos efectuado es la de “interés”, al que ya se
hizo referencia en el Fundamento de Derecho anterior para señalar que está relacionado con
la finalidad, pero es un concepto más amplio (“finalidad es la razón específica por la que se
tratan los datos: el objetivo o la intención del tratamiento de los datos. Un interés, por otro
lado, se refiere a una mayor implicación que el responsable del tratamiento pueda tener en el
tratamiento, o al beneficio que el responsable del tratamiento obtenga del tratamiento”).
También es más amplio que el de derechos y libertades fundamentales, de ahí que respecto a
los afectados se ponderen no solo sus derechos y libertades fundamentales, sino también sus
“intereses”.

Según el GT29, “un interés debe estar articulado con la claridad suficiente para
permitir que la prueba de sopesamiento se lleve a cabo en contraposición a los intereses y los
derechos fundamentales del interesado. Además, el interés en juego debe también ser
perseguido por el responsable del tratamiento. Esto exige un interés real y actual, que se
corresponda con actividades presentes o beneficios que se esperen en un futuro muy
próximo. En otras palabras, los intereses que sean demasiado vagos o especulativos no
serán suficientes”.

Además, el “interés” del responsable del tratamiento, según establece el artículo 6.1.f)
del RGPD y antes el artículo 7.f) de la Directiva, debe ser “legítimo”, lo que significa, dice el
Dictamen, que ha de ser “lícito” (respetuoso con la legislación nacional y de la U.E aplicable).
Sin embargo, el GT29 añade que “La legitimidad del interés del responsable del tratamiento
es solo un punto de partida, uno de los elementos que deben analizarse en virtud del artículo
7, letra f). Si el artículo 7, letra f), puede utilizarse como fundamento jurídico o no dependerá
del resultado de la prueba de sopesamiento siguiente”; “si el interés perseguido por el
responsable del tratamiento no es apremiante, es más probable que el interés y los derechos
del interesado prevalezcan sobre el interés legítimo —pero menos importante— del
responsable del tratamiento. Del mismo modo, esto no significa que un interés menos
apremiante del responsable del tratamiento no pueda prevalecer a veces sobre los intereses
y derechos de los interesados: esto sucede normalmente cuando el impacto del tratamiento
sobre los interesados es también menos importante”.

Y expone el siguiente ejemplo:

“Sirva como ejemplo: los responsables del tratamiento pueden tener un interés legítimo en conocer las
preferencias de sus clientes de manera que esto les permita personalizar mejor sus ofertas y, en último
término, ofrecer productos y servicios que respondan mejor a las necesidades y los deseos de sus
clientes. A la luz de esto, el artículo 7, letra f), puede constituir un fundamento jurídico apropiado en
algunos tipos de actividades de mercado, en línea y fuera de línea, siempre que se prevean las
garantías adecuadas (incluido, entre otros, un mecanismo viable que permita oponerse al tratamiento
en virtud del artículo 14, letra b), tal como se explicará en la sección III.3.6 El derecho de oposición y
más allá).
Sin embargo, esto no quiere decir que los responsables del tratamiento puedan remitirse al artículo 7,
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

125/146

letra f), como fundamento jurídico para supervisar de manera indebida las actividades en línea y fuera
de línea de sus clientes, combinar enormes cantidades de datos sobre ellos, provenientes de diferentes
fuentes, que fueran inicialmente recopilados en otros contextos y con fines diferentes, y crear -y, por
ejemplo, con la intermediación de corredores de datos, también comerciar con ellos- perfiles complejos
de las personalidades y preferencias de los clientes sin su conocimiento, sin un mecanismo viable de
oposición, por no mencionar la ausencia de un consentimiento informado. Es probable que dicha
actividad de elaboración de perfiles represente una intrusión importante en la privacidad del cliente y,
cuando esto suceda, los intereses y derechos del interesado prevalecerán sobre el interés del
responsable del tratamiento”.

En definitiva, la concurrencia de dicho interés en el responsable del tratamiento no
significa necesariamente que se pueda utilizar el artículo 6.1 f) RGPD, como fundamento
jurídico del tratamiento. El hecho de que pueda utilizarse o no como fundamento jurídico
dependerá del resultado de la prueba de sopesamiento.

Además, el tratamiento ha de ser el necesario para la satisfacción del interés legítimo
perseguido por el responsable, de forma que sean preferidos siempre medios menos invasivos
para servir a un mismo fin. Necesidad supone aquí que el tratamiento resulte imprescindible
para la satisfacción del referido interés, de modo que, si dicho objetivo se puede alcanzar de
forma razonable de otra manera que produzca menos impacto o menos intrusiva, el interés
legítimo no puede ser invocado.

El término “necesidad” que utiliza el artículo 6.1 f) del RGPD tiene a juicio del TJUE un
significado propio e independiente en la legislación comunitaria. Se trata de un “concepto
autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C-524/2006, apartado
52). De otra parte, el Tribunal Europeo de Derechos Humanos (TEDH) ha ofrecido también
directrices para interpretar el concepto de necesidad. En el apartado 97 de su Sentencia de
25/03/1983 afirma que el “adjetivo necesario no es sinónimo de “indispensable” ni tiene la
flexibilidad de las expresiones “admisible, “ordinario”, “útil”, “razonable” o “deseable”.

Sobre el impacto o repercusión que el tratamiento de datos tiene en los intereses o
derechos y libertades fundamentales de los interesados, indica que cuanto más “negativo” o
“incierto” pueda ser el impacto del tratamiento, es más improbable que el tratamiento en su
conjunto pueda considerarse legítimo.

“El Grupo de trabajo pone de manifiesto que es crucial entender que «impacto» pertinente es un
concepto mucho más amplio que daño o perjuicio a uno o más interesados en concreto. El término
«impacto» tal como se utiliza en este Dictamen cubre cualquier posible consecuencia (potencial o real)
del tratamiento de datos. En aras de la claridad, también subrayamos que el concepto no está
relacionado con la noción de violación de los datos personales y es mucho más amplio que las
repercusiones que puedan derivarse de dicha violación. Por el contrario, la noción de impacto, tal como
se utiliza aquí, engloba las diversas maneras en las que un individuo pueda verse afectado, positiva o
negativamente, por el tratamiento de sus datos personales”.

“En general, cuanto más negativo e incierto pueda ser el impacto del tratamiento, más improbable es
que el tratamiento se considere, en conjunto, legítimo. La disponibilidad de métodos
alternativos para conseguir los objetivos perseguidos por el responsable del tratamiento, con
menos impacto negativo sobre el interesado, debería ser, sin duda, una consideración
pertinente en este contexto”.

Como fuentes de repercusiones potenciales para los interesados cita la probabilidad
de que el riesgo pueda materializarse y la gravedad de las consecuencias, señalando que
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

126/146

este concepto de “gravedad puede tener en cuenta el número de individuos potencialmente
afectado”.

Se encuadra aquí la valoración de la naturaleza de los datos personales que han sido
objeto de tratamiento), si los datos se han puesto a disposición del público por el interesado o
por un tercero, hecho -dice el Dictamen- que puede ser un factor de evaluación especialmente
si la publicación se llevó a cabo con una expectativa razonable de reutilización de los datos
para determinados fines:

“…no significa que los datos que parezcan en sí mismos y por sí mismos inocuos puedan tratarse
libremente…, incluso dichos datos, dependiendo del modo en que se traten, pueden tener un impacto
significativo sobre las personas”.

La manera en la que el responsable trata los datos; si se han revelado al público o se
han puesto a disposición de un gran número de personas o si grandes cantidades de datos se
tratan o combinan con otros datos (“por ejemplo, en el caso de la elaboración de perfiles, con
fines mercantiles, con fines de cumplimiento de la ley u otros”). Sobre esta cuestión se dice:

“Los datos aparentemente inocuos, cuando se tratan a gran escala y se combinan con otros datos,
pueden dar lugar a injerencias en datos más sensibles, como se demuestra en el anterior escenario 3,
que pone como ejemplo la relación entre los patrones de consumo de pizza y las primas de seguro de
asistencia sanitaria.
Además de dar lugar, potencialmente, al tratamiento de datos más sensibles, dicho análisis puede
llevar también a predicciones extrañas, inesperadas y a veces inexactas, por ejemplo, relativas al
comportamiento o la personalidad de las personas afectadas. Dependiendo de la naturaleza y del
impacto de dichas predicciones, esto puede resultar altamente intrusivo en la intimidad de la persona”.

Todo ello, sin olvidar las expectativas razonables de los interesados:

“… es importante considerar si la posición del responsable de los datos, la naturaleza de la relación o
del servicio prestado, o las obligaciones jurídicas o contractuales aplicables (u otras promesas hechas
en el momento de la recopilación de los datos) podrían dar lugar a expectativas razonables de una
confidencialidad más estricta y de limitaciones más estrictas relativas a su uso ulterior. En general,
cuanto más específico y restrictivo sea el contexto de la recopilación de los datos, más limitaciones es
probable que se utilicen. En este caso, de nuevo, es necesario tener en cuenta el contexto fáctico y no
basarse simplemente en la letra pequeña del texto”.

El Dictamen ve también pertinente al evaluar el impacto del tratamiento analizar la
posición del responsable del tratamiento y del interesado; su posición puede ser más o menos
dominante respecto al interesado dependiendo de si el responsable del tratamiento es una
persona, una pequeña organización o una gran empresa, incluso una empresa multinacional:

“Una empresa multinacional puede, por ejemplo, tener más recursos y poder de negociación que el
interesado individual y, por tanto, puede encontrarse en una mejor posición para imponer al interesado
lo que cree que corresponde a su «interés legítimo». Esto puede producirse con más razón si la
empresa tiene una posición dominante en el mercado”.

A la hora de ponderar los intereses y derechos en juego, el GT29 entiende que el
cumplimiento de las obligaciones generales que impone la normativa, incluidos los principios
de proporcionalidad y transparencia, contribuyen a garantizar que se cumplan los requisitos
del interés legítimo. Si bien, aclara que eso no significa que el cumplimiento de esos
requisitos horizontales, por sí mismo, sea siempre suficiente.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

127/146

Si, finalmente, efectuada la evaluación, no queda claro cómo alcanzar el equilibrio, la
adopción de garantías adicionales puede ayudar a reducir el impacto indebido y a garantizar
que el tratamiento pueda basarse en el interés legítimo. Como medidas adicionales se
contempla, por ejemplo, la facilitación de mecanismos de exclusión voluntaria e incondicional,
o el aumento de la transparencia:

“El concepto de responsabilidad está íntimamente ligado al concepto de transparencia. Con el fin de
permitir que los interesados ejerciten sus derechos y que haya un escrutinio público más amplio por
parte de los interesados, el Grupo de trabajo recomienda que los responsables del tratamiento
expliquen a los interesados de manera clara y fácil las razones por las que creen que sus intereses
prevalecen sobre los intereses o los derechos y las libertades fundamentales de los interesados, y
también les expliquen las garantías que hayan adoptado para proteger sus datos personales, incluido,
cuando así proceda, el derecho de exclusión voluntaria del tratamiento”.

“Tal como se explica en la página 46 del Dictamen 3/2013 del Grupo de trabajo sobre la limitación de la
finalidad (citado en el pie de página 9 anterior), en el caso de la elaboración de perfiles y la toma de
decisiones automatizada, se deberá dar acceso a los interesados o consumidores a sus perfiles para
garantizar la transparencia, así como a la lógica del proceso de toma de decisiones (algoritmo) que dio
lugar al desarrollo de dichos perfiles. En otras palabras: las organizaciones deberán revelar sus
criterios para la toma de decisiones. Se trata de una garantía fundamental y resulta especialmente
importante en el mundo de los macrodatos. El hecho de que una organización ofrezca o no esta
transparencia es un factor muy pertinente que se deberá considerar también en la prueba de
sopesamiento”.

Al referirse al derecho de oposición y al mecanismo de exclusión voluntaria o derecho
de oposición incondicional, el GT29 reflexiona sobre la publicidad basada en perfiles del
cliente, que requiere un seguimiento de las actividades y los datos personales de los
interesados, que son analizados con métodos automáticos sofisticados. Concluye lo siguiente:

“En este sentido, resulta útil recordar el Dictamen del Grupo de trabajo sobre la limitación de la
finalidad, donde se afirmaba concretamente que cuando una organización desea analizar o predecir de
manera específica las preferencias personales, el comportamiento y las actitudes de los clientes
individuales que posteriormente motivarán las «decisiones o medidas» adoptadas en relación con
dichos clientes... debería exigirse casi siempre un consentimiento gratuito, específico, informado e
inequívoco de «inclusión voluntaria», pues de otro modo la reutilización de los datos no podrá
considerarse compatible. Y lo que es más importante, dicho consentimiento deberá exigirse, por
ejemplo, para el seguimiento y la elaboración de perfiles con fines de prospección, publicidad
comportamental, comercialización de datos, publicidad basada en la localización, o investigación digital
de mercado basada en el seguimiento”.

En este caso, no se aprecia la existencia de un interés legítimo prevalente del
responsable que legitime los tratamientos de datos que BBVA pretende basar en esta base
jurídica.

Cabe destacar en primer término, los defectos expresados en el Fundamento de
Derecho anterior en relación con el cumplimiento del principio de transparencia, por las
limitaciones y dificultades, si no impedimento, que suponen a la hora de realizar una
verdadera evaluación sobre la concurrencia de un interés legítimo prevalente, real y no
especulativo.

Se reitera aquí lo ya indicado sobre el lenguaje empleado; la indefinición de las
finalidades para las que se usarán los datos personales (“conocer mejor al cliente” y “mejorar
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

128/146

los productos y servicio” o “elaborar el modelo de negocio”, etc.) y el análisis exhaustivo de la
información relativa a los clientes que conllevan tales finalidades; o sobre los tipos de perfiles
que se van a realizar y los usos específicos y aplicaciones que se darán a esos perfilados; y,
especialmente, la falta de información sobre el interés específico del responsable, que no se
expresa con la claridad y precisión que exige la normativa.

Considerando que ni siquiera es posible conocer claramente las finalidades del
tratamiento difícilmente las mismas pueden asociarse a intereses legítimos de BBVA que
puedan, además, prevalecer sobre los derechos de los interesados, a los que no se informa
claramente acerca de los extremos exigidos por las normas de protección de datos.

El interés legítimo expresado, que se describe en los mismos términos que las
finalidades, resulta vago y especulativo (los detalles sobre la descripción del interés legítimo
constan reseñados en el Fundamento de Derecho anterior, y coinciden con la descripción
contenida en el Informe de ponderación de la prevalencia aportado por BBVA). Ello tiene
como consecuencia que los tratamientos que se realizan no resulten previsibles para un
ciudadano medio.

Siendo así, resulta imposible que el interesado, o esta autoridad de control, pueda
valorar si las operaciones de tratamiento realizadas son necesarias, o si, por el contrario,
podría obtenerse el mismo resultado por medios menos invasivos; tampoco podrá concluirse,
menos aún, que el interés invocado sea prevalente.

Más bien parece que los “intereses” expresados por BBVA, ya sea en la Política de
Privacidad o en el Informe de Ponderación responden a intereses económicos de la entidad,
que no se expresan. La obtención de un beneficio económico a través de la actividad
empresarial que BBVA desarrolla no deja de ser un interés legítimo, pero en ningún caso
podrá prevalecer sobre el derecho fundamental a la protección de datos de las personas
afectadas. Con total claridad se ha pronunciado recientemente sobre esta cuestión la STS de
20/06/2020 (R. casación 1074/2019). En el Fundamento Jurídico sexto dice, a propósito de
una de las cuestiones de interés casacional planteadas en el Auto de admisión del recurso,
“Los intereses comerciales de una empresa responsable de un fichero de datos han de ceder
ante el interés legítimo del titular de los datos a la protección de los mismos”. Estos intereses
económicos no pueden calificarse como apremiantes.

No se dice, como parece indicar BBVA en sus alegaciones a la propuesta, que el
interés perseguido responda a intereses económicos y que, en base a ello, se rechacen los
tratamientos de datos personales basados en el interés legítimo. Lo que se destaca aquí es
que de ser ese el interés legítimo, en sí mismo considerado y sin tener en cuenta el resto de
factores que pueden operar en la ponderación de los intereses en juego, no se estima
suficiente para aceptar la existencia de un interés legítimo que ampare el tratamiento de los
datos conforme a lo previsto en el artículo 6.1 f) del RGPD.

Ahora bien, incluso admitiendo la tesis de BBVA, que califica como interés jurídico del
responsable o de terceros lo que estimamos que no es sino la finalidad del tratamiento, ese
pretendido interés en ningún caso podría calificarse como necesario.

Sobre la idoneidad de los tratamientos de datos, el Informe de ponderación de
intereses solo se refiere a la generación de modelos analíticos de propensión, que declara
adecuados para conocer las preferencias de los clientes, a pesar de que la utilización de los
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

129/146

datos es mucho más amplia, y sin ningún argumento al respecto que justifique la utilización de
toda la información relativa al cliente o la imposibilidad de alcanzar el mismo fin por otro
medio menos invasivo.

Lo mismo puede decirse sobre la necesidad del tratamiento. En el repetido informe
únicamente se declara que el tratamiento de los datos es imprescindible para la gestión
adecuada de los recursos. A juicio de esta Agencia, esta valoración, que se reduce a calificar
como “imprescindible” el tratamiento de los datos personales, no es suficiente para apreciar la
“necesidad” de este tratamiento, en el sentido en que el concepto de necesidad se interpreta
por el Tribunal Europeo de Derechos Humanos (TEDH). Sin perjuicio de que el tratamiento de
los datos de los reclamantes sea “útil”, “deseable” o “razonable”, como precisó el TEDH en su
Sentencia de 25/3/1983, el término “necesario” no tiene la flexibilidad que está implícita en
esas expresiones.

Como puede apreciarse, lo expresado anteriormente se ajusta a la doctrina del
Tribunal Constitucional sobre el juicio de proporcionalidad que debe realizarse sobre una
medida restrictiva de un derecho fundamental, a la que se refiere BBVA en sus alegaciones a
la propuesta de resolución. Según esta doctrina, deberán constatarse tres requisitos:
idoneidad (si la medida permite conseguir el objetivo propuesto); necesidad (que no exista
otra medida más moderada); proporcionalidad en sentido estricto (más beneficios o ventajas
que perjuicios).

Sobre estas cuestiones, no se entiende lo indicado por BBVA en aquellas alegaciones
cuando señala que ha adoptado las medidas necesarias para minimizar la información
tratada, y clara que se excluyen los datos identificativos del cliente. Ya se ha dicho antes que
la información relativa al cliente utilizada es toda la información relativa al cliente, incluidos los
datos identificativos. No hay más que ver el detalle de los datos personales tratados que
consta en el Informe de Ponderación aportado por BBVA, ya reseñado.

Además de lo expuesto, se tienen en cuenta las circunstancias siguientes:

. La manera en la que se recopilan los datos utilizados en base al interés legítimo y la escala
en la recopilación de datos, que resulta excesiva; así como la utilización de datos personales
recabados de terceros sin el conocimiento del interesado (ficheros externos de solvencia
patrimonial y créditos) o de productos de terceros comercializados por BBVA.
. Las técnicas utilizadas (tratamiento de datos con la finalidad de obtener algoritmos) y la falta
de transparencia sobre la lógica del tratamiento consistente en la elaboración de perfiles, que
puede llevar a una discriminación de precios y suponer una repercusión potencial financiera
que puede tener el carácter de excesiva.
. El elevado número de afectados, así como la gran cantidad de datos que se tratan y
combinan con otros datos. La combinación ilimitada de datos personales de todos los
productos y servicios contratados por el cliente, incluidos productos de terceros
comercializados por BBVA y otros obtenidos de fuentes externas, y la falta de medios que
permitan al usuario el control real de sus datos bastan para considerar que el interés de BBVA
no puede prevalecer sobre los derechos de los afectados. Dicha combinación de datos, por su
carácter masivo y por la indefinición de los datos que se utilizarán y de las finalidades, no
respeta la proporcionalidad antes señalada ni posibilita el juicio de ponderación necesario
para valorar la concurrencia de un interés legítimo que justifique el tratamiento de los datos.
Es significativo que se utilice información correspondiente a dos años, que se estima un plazo
excesivo que incrementa la intromisión; y que se utilice, incluso, la información obtenida de
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

130/146

conformidad con la normativa de prevención del blanqueo de capitales y financiación del
terrorismo (en las evaluaciones de impacto, en el apartado “Destrucción” se indica “24 meses
(profundidad del tratamiento)” y “Datos personales usados en el modelo 10 años x Ley de
Prevención de Blanqueo de Capitales”).
. La posición dominante del responsable frente al interesado, por su condición de gran
empresa y una de las líderes del mercado en su sector.

Ninguna consideración realiza BBVA sobre las circunstancias anteriores en su escrito
de alegaciones a la propuesta, a pesar de su importancia, salvo en lo relacionado con el plazo
de conservación. Entiende BBVA que la AEPD interpreta erróneamente lo señalado sobre el
plazo de conservación de los datos para la realización del tratamiento. Este plazo será de dos
años, no utilizándose datos que tengan una mayor antigüedad ni conservándose los datos
para este tratamiento durante un período superior. Y aclara que los datos recabados en
cumplimiento de la legislación de prevención del blanqueo de capitales se conservan durante
el plazo establecido en esta legislación, a los fines previstos en la misma, pero no para el
tratamiento controvertido.

Como puede comprobarse, esta Agencia no interpreta erróneamente la cuestión
relativa a la antigüedad de los datos sometidos a tratamiento en base al interés legítimo y no
cuestiona la conservación de los datos que correspondan en cumplimiento de la legislación de
blanqueo de capitales. Lo que se cuestiona es, precisamente, que se utilicen datos
personales con dos años de antigüedad, que se califica como excesiva; y se cuestiona, de
forma significativa, la utilización de datos recabados de conformidad con dicha normativa para
las operaciones de tratamiento que nos ocupan.

Una importancia especial ha de prestarse, asimismo, a la ausencia de medidas o
garantías adicionales. Entre ellas, se han destacado el aumento de la transparencia y la
habilitación de mecanismos de exclusión voluntaria.

En cuanto a la transparencia, BBVA se remite a lo informado en la “Declaración de
Actividad Económica y Política de Protección de Datos”, sin poner a disposición de los
interesados el Informe de ponderación del interés legítimo ni las evaluaciones de impacto; y
menciona como garantía el ejercicio del derecho de oposición, que no es sino una exigencia
normativa. Este derecho exige una nueva ponderación, conforme a lo establecido en el
artículo 21 del RGPD (“el responsable del tratamiento dejará de tratar los datos personales,
salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre
los intereses, los derechos y las libertades del interesado”) y nada tiene que ver con los
mecanismos de exclusión voluntaria o incondicional que se recomiendan.

En el informe citado, la entidad BBVA menciona también como garantías otras
cuestiones que no tiene relevancia significativa para la ponderación de los intereses, como
son la adopción de medidas para garantizar la integridad y confidencialidad de la información,
las cuales no explica, la designación de un DPD y la minimización de datos, sobre la que esta
Agencia ya se ha pronunciado anteriormente.

Dicho informe dedica uno de sus apartados a la “ponderación del interés legítimo y el
cumplimiento del principio de proporcionalidad en el tratamiento de los datos”. Comienza este
apartado exponiendo una serie de consideraciones generales, entre las que menciona el
Informe del Gabinete Jurídico de la AEPD 195/2017, al que se hará referencia seguidamente;
y las obligaciones específicas que se imponen a las entidades financieras de crédito sobre la
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

131/146

realización de exámenes de evaluación de riesgos (cabe recordar, a este respecto, que los
tratamientos que aquí se analizan no están referidos a esta evaluación de riesgos para el
cumplimiento de una ley, sino que sus finalidades son mucho más amplias -definición del
modelo de negocio, productos y servicios, etc.-, del exclusivo interés de BBVA).

En este apartado del Informe de ponderación se analiza la expectativa razonable del
interesado, que BBVA describe como la expectativa que mantiene el cliente sobre la
posibilidad de que la entidad le asesore acerca de productos y servicios que puedan
satisfacer sus necesidades. Se justifica esta idea con un estudio realizado por la propia
entidad, según el cual el 40,3% de los nuevos clientes respondió que esperaba un trato
personalizado. Sin embargo, este estudio se basa en una pregunta de carácter comercial
(“¿Qué aspectos son para usted más importantes y que espera recibir de BBVA en esta
nueva relación?”), a la que no puede atribuirse el efecto pretendido por BBVA en cuanto a la
expectativa razonable del interesado respecto del tratamiento de sus datos personales. Nada
se dice sobre la expectativa razonable del interesado en relación con el seguimiento posterior
que supone la realización de perfilados, ni se valora la intromisión que ello conlleva.

BBVA invoca este estudio para justificar la concurrencia de la expectativa razonable
del cliente y acude al significado que el Diccionario de la Real Academia Española recoge de
los términos “expectativa” y “esperar”. Pero no tiene en cuenta la circunstancia antes
expresada sobre la naturaleza comercial del estudio. La respuesta del cliente a la pregunta
“¿qué espera recibir de BBVA en esta nueva relación?” no puede extrapolarse al juicio de
ponderación del interés legítimo como base para la realización de los tratamientos de datos
que nos ocupan, cuyo nivel de intrusión es excesivo, dada la cantidad de datos utilizados
(todos los datos relativos a os clientes disponibles por BBVA) y la naturaleza de los
tratamientos, que incluyen la elaboración de perfiles, como se ha dicho. En esta materia, se
ponen en juego todos los factores que se han indicado, los cuales no se valoran en forma
alguna a la hora de responder una encuesta comercial como la realizado por la entidad.

Procede añadir que la cuestión relativa al interés legítimo en el tratamiento de los
datos, dadas las implicaciones que puede representar para el cliente, no puede justificarse,
como dice BBVA, a partir de los “usos” que rigen las relaciones jurídicas entabladas por una
entidad financiera con sus clientes o por el supuesto vínculo de confianza en el que según
esa entidad se basa dicha relación.

Por último, debe señalarse que BBVA repetidamente, a lo largo de su escrito de
alegaciones, manifiesta que los tratamientos de datos personales que realiza con esta base
jurídica redundan en beneficio del cliente. Considera que lograr la excelencia en el servicio
mediante un conocimiento adecuado de sus clientes, que permita anticiparse a sus
necesidades y mejorar la cartera de productos y servicios de BBVA para que se ajusten a las
preferencias de aquellos; así como posibilitar el uso de los canales óptimos para cada cliente,
no solo se realiza en beneficio del Banco sino, en particular, de sus clientes.

Llega a afirmar esa entidad que el tratamiento es necesario para el cumplimiento de
ese interés legítimo de BBVA y del cliente.

El interés legítimo del cliente se considera, en los términos del artículo 6.1 f) del
RGPD, como el interés legítimo de terceros. En este caso, no cabe tal planteamiento, según
el cual las operaciones de tratamiento de datos personales se realizan sobre la base del
interés legítimo del cliente. Aceptarlo sería tanto como admitir un interés legítimo sobrevenido,
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

132/146

o a posteriori, respecto del cual no se han respetado las exigencias previstas en la normativa
de protección de datos personales y sobre el que no se informa en la Política de Privacidad.

En resumen, por las razones expresadas, no se acredita que el interés legítimo alegado
para el tratamiento de datos que manifiesta tener BBVA prevalezca sobre los intereses y
derechos y libertades fundamentales de los clientes. Además, las garantías ofrecidas no son
suficientes para salvar el desequilibrio que se produce con estas operaciones de tratamiento
de datos personales.

En consecuencia, se ha de concluir que no prevalece el interés legítimo de BBVA como
base legitima para el tratamiento.

La conclusión obtenida de este examen no contradice lo expresado en el Informe del
Gabinete Jurídico de la AEPD 195/2017, al que se refiere BBVA repetidamente, tanto en el
mencionado Informe de ponderación del interés legítimo, como en su escrito de alegaciones.
Según BBVA, este Informe 195/2017 concluye la prevalencia del interés legítimo de las
entidades financieras para el análisis de los movimientos transaccionales y/o capacidad de
ahorro del cliente, para realizar observaciones y ofrecer recomendaciones sobre productos y
servicios, así como para realizar un perfilado más detallado que permita concretar con
precisión los productos que deben ofrecerse.

Sin embargo, las premisas valoradas en dicho informe no se ajustan al supuesto
presente, en el que los tratamientos de datos personales tienen un propósito mucho más
amplio que los analizados en dicho informe, tanto en lo que se refiere a los fines del
tratamiento como a la información o datos personales utilizados. No hay más que señalar que
ese informe analiza simplemente la realización de tratamientos con fines de mercadotecnia,
siempre que la oferta se refiera a productos similares a los contratados por el interesado y se
utilice únicamente la información disponible como consecuencia de la gestión de los
productos.

Por otra parte, el Informe del Gabinete Jurídico aludido responde, asimismo, a las
consultas planteadas en relación con la anonimización de los datos transaccionales para
desarrollar nuevos productos, para analizar patrones de uso de los servicios para desarrollar
otros nuevos. Estos usos coinciden con los tratamientos de datos que BBVA realiza en base
al interés legítimo, pero con información no anónima.

En cuanto a la anonimización de datos expresada, se concluye que deben distinguirse
dos tratamientos. A saber, el que dé lugar a la información anónima (la anonimización
propiamente dicha), sometido a la normativa de protección de datos, y el tratamiento que se
lleve a cabo con los datos ya anonimizados, excluidos de dicha normativa. Expone el informe
que cuando la anonimización sea completa, siendo imposible la vinculación de la información
de forma directa o indirecta con un determinado afectado, y mucho más si los datos
resultantes son agregados, el tratamiento podrá ampararse en el interés legítimo.

En base a todo lo expuesto en este informe, alega BBVA que los tratamientos de datos
que se realizan con las finalidades 3 y 5 de la “Declaración de Actividad Económica y Política
de Protección de Datos” (3. Ofrecer productos y servicios personalizados de BBVA, del Grupo
BBVA y de otros; 5. Mejorar la calidad de los productos y servicios) podrían haberse basado
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

133/146

en la concurrencia del interés legítimo, de modo que al recabar el consentimiento de los
interesados ha adoptado por medidas reforzadas de responsabilidad activa.

No comparte esta Agencia la idea de que el consentimiento constituya una base
jurídica reforzada. Como ha quedado aquí expuesto, el consentimiento está sometido a
requisitos concretos en su prestación, de modo que su prestación por sí misma no garantiza
la legalidad de los tratamientos.

Lo mismo puede decirse sobre la realización de aquellos tratamientos en base al
interés legítimo. Sería necesario, como aquí se ha visto, un análisis exhaustivo de todas las
circunstancias concurrentes en relación con los tratamientos pretendidos para valorar esta la
pertinencia de base jurídica.

En todo caso, ha sido la propia entidad BBVA la que dispuso, en el diseño de sus
operaciones de tratamiento, amparar en el consentimiento aquellos que se describen en las
finalidades 3 y 5.

En consecuencia, de conformidad con las constataciones expuestas, los citados
hechos suponen una vulneración del artículo 6 del RGPD, en relación con el artículo 7 del
mismo texto legal y artículo 6 de la LOPDGDD, que da lugar a la aplicación de los poderes
correctivos que el artículo 58 del RGPD otorga a la Agencia Española de Protección de datos.

VIII

Para el caso de que concurra una infracción de los preceptos del RGPD, entre los
poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como
autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes:

“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a
continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”
(...)
d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a
las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de
un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas
mencionadas en el presente apartado, según las circunstancias de cada caso particular;”.

Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra d)
anterior es compatible con la sanción consistente en multa administrativa.

En el presente caso, ha quedado acreditado el incumplimiento del principio de
trasparencia establecido en los artículos 12, 13 y 14 del RGPD, así como el principio de licitud
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

134/146

del tratamiento regulado en el artículo 6 del mismo Reglamento, con el alcance expresado en
los Fundamentos de Derecho anteriores, lo que supone la comisión de sendas infracciones
tipificadas en el artículo 83.5 del RGPD, que bajo la rúbrica “Condiciones generales para la
imposición de multas administrativas” dispone lo siguiente:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con
multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una
cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio
financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de
los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;(…)”.

A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83
del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley
orgánica”.

A efectos del plazo de prescripción, los artículos 72 y 74 de la LOPDGDD indican:

“Artículo 72. Infracciones consideradas muy graves.
1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy
graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los
artículos mencionados en aquel y, en particular, las siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del
tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”.

“Artículo 74. Infracciones consideradas leves.
Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de
los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en
particular, las siguientes:
a) El incumplimiento del principio de transparencia de la información o el derecho de información del
afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE)
2016/679”.

A fin de determinar la multa administrativa a imponer se han de observar las previsiones
de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al
presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean
en cada caso individual efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a
título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y
j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá
debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o
propósito de la operación de tratamiento de que se trate así como el número de interesados afectados
y el nivel de los daños y perjuicios que hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

135/146

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y
perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las
medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y
mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el
responsable o el encargado notificó la infracción y, en tal caso, en qué medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente
contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento
de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación
aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los
beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la
infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se
aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado
artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán
tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no
puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de
resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre
aquellos y cualquier interesado”.

En este caso, considerando la gravedad de las infracciones constatadas procede la
imposición de multa, además de la adopción de medidas. No cabe aceptar la solicitud
formulada por BBVA para que se impongan otros poderes correctivos que hubiesen permitido
la corrección de la situación irregular, como es el apercibimiento, que está previsto para
personas físicas y cuando la sanción constituya una carga desproporcionada (considerando
148 del RGPD).

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

136/146

BBVA manifiesta no entender que en el pasado la Agencia acudiera a planes
sectoriales y en este caso se inicie expediente sancionador. No considera dicha entidad que
esos planes se realizan de oficio con el propósito de examinar un sector en general y concluir
recomendaciones que faciliten a las entidades ajustar sus procesos en materia de protección
de datos personales.

Asimismo, en su escrito de alegaciones a la propuesta de resolución, BBVA ha
solicitado que en la determinación de la sanción que pueda imponerse se tenga en cuenta la
aplicación de los principios de culpabilidad y proporcionalidad.

Alega la no concurrencia de culpabilidad en su actuación, considerando que ha
actuado en todo momento con total diligencia. Destaca que ha seguido las directrices de la
AEPD recogidas en la “Guía para el cumplimiento del deber de informar” y que ha informado
sobre todos los extremos establecidos en el artículo 13 del RGPD, así como sobre otros
extremos que esa norma no impone y que tampoco imponía la interpretación de la AEPD; y
añade que actuó en el convencimiento, después de haber informado sobre las reclamaciones
formuladas, de que la Agencia no había advertido elemento que contraviniera lo establecido
en el RGPD y LOPDGDD. En base a ello, invoca el principio de confianza legítima, al haber
actuado en la creencia de que su conducta se ajustaba a la legalidad, y la Sentencia de la
Audiencia Nacional de 15/10/2012 (recurso 608/2011), en la que se valora “la activa
participación de la Administración”, que pudo llevar al interesado a la conclusión de que su
actuación era conforme a derecho; que su conducta no se halla amparada por una
interpretación jurídica razonable de las normas aplicables; y las dificultades en la
interpretación descritas por la Administración”.

Se refiere BBVA a la diferente apreciación de algunas concretas expresiones
contenidas en la Política de Privacidad respecto a las indicaciones contenidas al respecto en
la Guía citada y a lo que BBVA ha calificado como “inactividad de la Administración”, por el
tiempo transcurrido entre la admisión a trámite de las reclamaciones formuladas por los
reclamantes 1 y 2, que tuvo lugar el 01/02/2019, y la adopción del acuerdo de apertura del
presente procedimiento sancionador, en fecha 02/12/2019. En base a ello, invoca el principio
de confianza legítima y entiende que la actuación de esta Agencia ha influido en la comisión
de las infracciones.

Esta alegación debe ser desestimada por las razones que ya se han expuesto en esta
resolución al tratar estas alegaciones.

Por un lado, es preciso reiterar que BBVA ha interpretado parcialmente la “Guía para el
cumplimiento del deber de informar”, basando sus conclusiones en tres expresiones
puntuales que se citan como ejemplo en la misma, pero sin considerar los criterios generales
y advertencias que contiene, los cuales también dan cobertura a los importantes reparos que
han determinado la calificación de los hechos como constitutivos de infracción, referidos no
solo al lenguaje sino también al contenido de la Política de Privacidad, en lo que dice y en lo
que omite, así como a todas las operaciones de tratamiento que lleva a cabo BBVA.

También se indica en la propia Guía citada que debe ser completada con otras que
tengan relación con el RGPD, como ocurre en este caso en relación con el aspecto al que nos
referimos. En concreto, el documento del Grupo de Trabajo del Artículo 29 “Directrices sobre
la transparencia en virtud del Reglamento 2016/679”, adoptadas el 29/11/2017 y revisadas el
11/04/2018, que debe ser conocido por una entidad como BBVA, al referirse al lenguaje que
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

137/146

deberá emplearse en la información en materia de protección de datos personales cita las
expresiones en cuestión como “ejemplos de prácticas deficientes”.

Por otro lado, la actuación de esta Agencia no ha influido en modo alguno en la
conducta de BBVA determinante de las infracciones analizadas. La supuesta “inactividad de la
Administración”, por el tiempo transcurrido entre la admisión a trámite de las primeras
reclamaciones formuladas y la adopción del acuerdo de apertura del procedimiento, no influye
en absoluto en la comisión de las infracciones ni las agrava, y esta Agencia no ha realizado
actuación alguna que haya permitido a BBVA concluir que esta Autoridad de Control no
advirtió en las reclamaciones formuladas ningún elemento que contraviniera lo establecido en
el RGPD y LOPDGDD. BBVA no puede aportar ningún pronunciamiento o actuación de esta
Agencia que le llevase a esa presunta confusión, simplemente porque no existe actuación
alguna en ese sentido.

Sí se realizaron, en cambio, actuaciones frente a BBVA de las que pudo deducir que el
asunto se encontraba en curso. Nos referimos a los trámites realizados por esta Agencia
durante el proceso de admisión a trámite de las reclamaciones recibidas con posterioridad al
01/02/2019, previos al acuerdo de admisión de la reclamación respectiva, consistentes en
trasladar esas reclamaciones a la propia entidad BBVA para que procediese a su análisis y
diera respuesta a esta Agencia y al reclamante.

Como se ha dicho en los Fundamentos de Derecho anteriores, BBVA conocía las
reclamaciones formuladas y conocía también que no existía pronunciamiento alguno de esta
Agencia al respecto.

Así, no puede hablarse de “inactividad de la Administración”, dado que durante ese
tiempo se realizaron los trámites de admisión del resto de reclamaciones. Según ha quedado
detallado, las reclamaciones presentadas por los reclamantes 3 a 5 tuvieron entrada en esta
Agencia en las fechas 13/02/2019 (unos días después de aquella admisión a trámite de
01/02/2019), 23/05/2019 y 27/08/2019; y se admitieron a trámite mediante acuerdos de
06/08/2019, 13/09/2019 y 30/10/2019, respectivamente.

Con carácter previo a la admisión, las reclamaciones formuladas por los reclamantes 3
a 5 fueron trasladadas a BBVA con el propósito indicado. El traslado de estas reclamaciones
fue notificado a BBVA en fechas 21/05/2019, 28/06/2019 y 19/09/2019. En el caso del
reclamante 4, BBVA solicitó ampliación del plazo habilitado para dar respuesta y se concedió
dicha ampliación mediante escrito notificado a esa entidad el 19/08/2019.

En definitiva, ninguna consecuencia jurídica puede atribuirse al tiempo transcurrido
entre la admisión a trámite de las reclamaciones y la apertura del procedimiento, menos aún
la pretendida por BBVA.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de las sanciones
de multa a imponer en el presente caso al reclamado, como responsable de infracciones
tipificadas en el artículo 83.5.a) y b) del RGPD, procede graduar la multa que correspondería
imponer por cada una de las infracciones imputadas como sigue:

1. Infracción por incumplimiento de lo establecido en los artículos 13 y 14 del RGPD, tipificada
en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo 74.a) de la
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

138/146

LOPDGDD.

Se estima que concurren en calidad de agravantes los siguientes factores que revelan
una mayor antijuridicidad y/o culpabilidad en la conducta de la entidad BBVA:

a) La naturaleza, gravedad y duración de la infracción: los hechos constatados afectan muy
gravemente a uno de los principios básicos relativos al tratamiento de los datos, como es el
de la transparencia, poniendo en cuestión toda la actuación desarrollada por BBVA, en su
conjunto, por cuanto las infracciones resultan de los procedimientos de gestión de datos
personales diseñados por BBVA para la adecuación de esos procesos al RGPD, los cuales se
consideran irregulares desde el mismo momento de la recogida de los datos personales. Sin
embargo, el presente caso no se refiere a un supuesto de ausencia total de información, sino
que los hechos controvertidos resultan de no proporcionar a los interesados información
suficiente en relación con los diversos tratamientos realizados.

BBVA considera que no es aceptable en Derecho valorar como una circunstancia
agravante un elemento del tipo infractor, como es el principio de transparencia. Sin embargo,
lo que aquí se tiene en cuenta no es el tipo infractor, aunque se mencione en la presentación
del argumento. Como ha quedado indicado, se valora como agravante el hecho de que las
deficiencias apreciadas ponen en cuestión toda la actuación desarrollada por BBVA desde el
mismo momento de la recogida de los datos personales de sus clientes.

Ninguna alusión realiza BBVA a estas circunstancias específicas.

La entidad interesada considera que la labor realizada desde 2016 para la plena
adaptación al RGPD, que incluyó la elaboración de una nueva Política de Privacidad y un plan
para hacerla llegar a los clientes, después de haberla testado con la participación de los
mismos para hacerla clara y sencilla, dan fe de buena voluntad, responsabilidad proactiva y
diligencia en cuanto al cumplimiento de la normativa de protección de datos. Así, entiende que
haber desarrollado esas actuaciones no puede resultar en su contra como una agravante de
su responsabilidad, especialmente, habiendo ajustado su actuación a las directrices de la
AEPD. Al contrario, entiende que tales actuaciones han de tomarse como una circunstancia
atenuante por falta de intencionalidad.

Es obvio que no se agrava la responsabilidad por las actuaciones aludidas por BBVA.
Lo que se considera, como puede verse, no es la realización de esos trabajos o los estudios
previos.

No vemos, por otra parte, a qué “directrices emanadas de la AEPD” ha ajustado el
diseño de este mecanismo.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

139/146

c) El carácter continuado de la infracción, en el sentido interpretado por la Audiencia Nacional,
como infracción permanente.

Advierte BBVA en sus alegaciones que este reproche es imputable a esta Agencia,
que conocía la Política de Privacidad casi un año antes de la apertura del procedimiento y,
mediante su inacción, “facilitó que BBVA no adoptase medida alguna para subsanar o
modificar la Política de Privacidad”.

Esta alegación debe ser igualmente desestimada. Nos remitimos a lo ya expuesto en
este mismo Fundamento de Derecho sobre la supuesta “inactividad de la Administración”.

d) La alta vinculación de la actividad del infractor con la realización de tratamientos de datos
personales: todas las operaciones que constituyen la actividad empresarial desarrollada por
BBVA implican operaciones de tratamiento de datos personales.

e) La condición de gran empresa de la entidad responsable y su volumen de negocio: es una
empresa líder en el sector financiero con una fuerte implantación internacional. Según la
información que consta en la web “bbva.com”, la Cuenta de Resultados del ejercicio 2019, a
fecha 30/09/2019, refleja un “Margen neto” de 9.304 millones de euros. En el apartado
“Diversificación geográfica” se indica el desglose por países, correspondiendo a España el
23,4%.

f) Elevado volumen de datos y tratamientos que constituye el objeto del expediente: las
infracciones afectan a todos los tratamientos de datos que realiza BBVA que no resulten
necesarios para la ejecución del contrato, para los que se utiliza la totalidad de la información
relativa a los clientes.

g) Elevado número de interesados: los defectos apreciados afectan a todos los clientes
personas físicas de la entidad (ocho millones treinta y un mil, según ha declarado BBVA en su
escrito de alegaciones).

h) La entidad imputada no tiene implantados procedimientos adecuados de actuación en la
recogida y tratamiento de los datos de carácter personal, de modo que la infracción no es
consecuencia de una anomalía en el funcionamiento de dichos procedimientos, sino un
defecto del sistema de gestión de los datos personales diseñado por la responsable.

En relación con esta circunstancia agravante, BBVA alega nuevamente que no puede
considerarse como tal el tipo infractor, entendiendo que el incumplimiento de las obligaciones
de información y de los requisitos de obtención del consentimiento ya implican que el
responsable no tiene procedimientos adecuados.

Esta alegación debe ser rechazada. La circunstancia expresada se toma en el sentido
literal establecido en la norma. Además, en este caso, no se toma en consideración para
justificar esta agravante la obligación de información. Se tiene en cuenta que la infracción
consistente en llevar a cabo operaciones de tratamiento de datos sin base jurídica es
estructural y no resulta de un incumplimiento puntual. Y ello resulta no solo del incumplimiento
de los requisitos de obtención del consentimiento y no solo afecta a operaciones realizadas
con esta base jurídica. Por ello se habla de ausencia de procedimientos adecuados en la
recogida y tratamiento de datos personales.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

140/146

Considerando los factores expuestos, la valoración que alcanza la multa por esta
infracción es de 2.000.000 euros.

2. Infracción por incumplimiento de lo establecido en el artículo 6 del RGPD, tipificada en el
artículo 83.5.a) y calificada como muy grave a efectos de prescripción en el artículo 72.1.b) de
la LOPDGDD:

Se estima que concurren en calidad de agravantes, además de todos los factores
expuestos en relación con la infracción anterior señalados con las letras c), d), e), f), g) y h),
los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta
de la entidad BBVA:

a) La naturaleza, gravedad y duración de la infracción: las infracciones resultan de los
procedimientos de gestión de datos personales diseñados por BBVA para la adecuación de
esos procesos al RGPD, los cuales se consideran irregulares desde el mismo momento de la
recogida de los datos personales y de la prestación de los consentimientos solicitados a los
clientes en el mismo momento. La gravedad de las infracciones se incrementa atendiendo al
alcance o propósito de las operaciones de tratamiento de que se trata, que incluyen la
elaboración de perfilados utilizando una información excesiva.

b) La intencionalidad o negligencia apreciada en la comisión de la infracción: las actuaciones
han acreditado una conducta intencionada en relación con la vulneración de la normativa de
protección de datos personales. Ya se ha dicho en el presente documento que BBVA era
consciente de que el mecanismo habilitado para recabar el consentimiento al tratamiento de
los datos personales tendría como resultado que la mayoría aceptara todas las finalidades por
defecto. La ausencia de garantías específicas en relación con los tratamientos de datos
basados en el interés legítimo es una circunstancia más a considerar en este caso,
considerando el alcance de tales tratamientos.

Los trabajos y estudios previos han revelado que la citada entidad era consciente de
las consecuencias del irregular mecanismo diseñado para recabar el consentimiento. BBVA
conocía que la Política de Privacidad se aceptaba en la mayoría de casos sin leer y que,
como consecuencia de ello, las casillas diseñadas quedaban sin marcar (lo que equivalía,
según su propio diseño, a entender prestado el consentimiento).

b) Los beneficios obtenidos como consecuencia de la comisión de la infracción: la información
relativa a los clientes se utiliza para la mejora del negocio de la entidad y para la difusión de
sus productos.

c) La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas:
se tiene en cuenta el alto grado de intromisión en la privacidad de los clientes de BBVA y que
la información es comunicada a terceros (empresas del Grupo BBVA) con fines no legítimos.

Considerando los factores expuestos, la valoración que alcanza la multa por esta
infracción es de 3.000.000 euros.

Las alegaciones a la propuesta de resolución formuladas por la entidad BBVA no
contienen ninguna observación sobre las circunstancias señaladas con las letras d), e), f) y g)
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

141/146

del punto 1 (incumplimiento de los artículos 13 y 14 del RGPD), y las señaladas con las letras
a) y b) del punto 2 anterior (incumplimiento del artículo 6 del RGPD).

En cambio, solicita que se tengan en cuenta como atenuante las medidas tomadas
para regularizar la situación de los reclamantes y la elaboración de una nueva versión de la
Política de Privacidad de BBVA, en julio de 2020.

En cuanto a las actuaciones realizadas en relación con las reclamaciones formuladas,
se limitan, básicamente, a marcar a los reclamantes como excluidos de acciones comerciales.
En unos casos como consecuencia del ejercicio del derecho de oposición por el interesado y,
en otros, a la vista de la reclamación formulada. En dos de los casos, la acción llevada a cabo
consistió en la formalización de la “Declaración de actividad económica y política de
protección de datos personales” en los mismos términos analizados en esta resolución.

Estas acciones no tienen relevancia suficiente para ser consideradas en este
procedimiento a los efectos pretendidos por BBVA. Puede decirse que, en unos casos,
aquellos en los que se formaliza la suscripción por el cliente de la “Declaración” no existe
ninguna regularización; y en los otros la actuación viene a cumplir la normativa en lo referido
al ejercicio de los derechos por los interesados. No es una verdadera regularización de la
situación irregular que se determina en el presente procedimiento sancionador. Por tanto, se
desestima la solicitud de considerar tales actuaciones como una circunstancia atenuante.

Por otra parte, BBVA considera que deben tenerse en cuenta como circunstancias
atenuantes la diligencia, proactividad y celeridad mostrada, una vez conocida la apertura del
procedimiento, con la mejora de la información proporcionada a los interesados y el
establecimiento de un nuevo mecanismo de obtención del consentimiento del interesado,
incluyendo en la primera capa informativa casillas diferenciadas y granulares que el
interesado debe marcar si desea autorizar que BBVA trate sus datos con cada una de las
finalidades que se indican

Señala que ha llevado a cabo un conjunto de actuaciones internas y ha intensificado
su actividad con el propósito de reforzar la información proporcionada a los clientes, habiendo
elaborado, en julio de 2020 una nueva versión de la Política de Privacidad.

Sin embargo, no aporta ningún detalle ni justificación sobre las actuaciones que dice
haber desarrollado.

En cuanto a la nueva versión de la Política de Privacidad, con la que pretende
subsanar o dejar sin “contenido la totalidad de los reproches realizados por la AEPD”, y se
modifica el mecanismo habilitado para recabar el consentimiento, ni si quiera aporta el texto
íntegro de la misma, sino únicamente algunos fragmentos.

Tampoco BBVA aporta ningún informe o evaluación, ni explica cómo ha adaptado el
resto de documentos que determinan la configuración de esa nueva Política de Privacidad y
su posterior análisis (ej., el registro de actividades de tratamiento, los informes de evaluación
de impacto o la ponderación del interés legítimo).

Esta documentación resulta especialmente necesaria considerando que los
fragmentos de esta nueva Política de Privacidad incluidos en las alegaciones hacen
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

142/146

referencia a operaciones de tratamiento y otros aspectos concretos que no figuran en la
documentación que integra el expediente.

Además, BBVA no ha justificado haber trasladado a sus clientes esta nueva
información en materia de protección de datos, ni tan siquiera haber planificado este traslado.

Y lo mismo puede decirse en relación con los consentimientos prestados y con los
tratamientos de datos que realiza. BBVA, en sus alegaciones, no hace mención alguna a la
regularización en sus registros de las anotaciones correspondientes a los consentimientos
recabados hasta la fecha, ni a la suspensión de los tratamientos de datos personales
calificados como ilícitos en las presentes actuaciones o la supresión de los datos personales
recabados de terceros o inferidos por la propia entidad.

BBVA ha disfrutado de numerosas oportunidades para aportar esta documentación
durante la tramitación del procedimiento. En todas y cada una de las comunicaciones que le
han sido remitidas ha sido advertida sobre el principio de acceso permanente regulado en el
artículo 53 “Derechos del interesado en el procedimiento administrativo” de la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que
reconoce a los interesados en el procedimiento el derecho a conocer, en cualquier momento,
el estado de la tramitación y a formular alegaciones, utilizar los medios de defensa admitidos
por el Ordenamiento Jurídico, y a aportar documentos en cualquier fase del procedimiento
anterior al trámite de audiencia. De modo que

No es posible, en consecuencia, considerar regularizada la situación irregular.

De acuerdo con lo establecido en el artículo 58.2.d) del RGPD, cada autoridad de
control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”.

En este caso, considerando las circunstancias expresadas en relación con los
incumplimientos apreciados, desde el punto de vista de la normativa de protección de datos
personales, procede requerir a la entidad BBVA para que, en el plazo que se indica en la parte
dispositiva, adecúe a la normativa de protección de datos personales las operaciones de
tratamiento de datos personales que realiza, la información ofrecida a sus clientes y el
procedimiento mediante el que los mismos prestan su consentimiento para la recogida y
tratamiento de sus datos personales. Todo ello con el alcance y en el sentido expresado en
los Fundamentos de Derecho del presente acto.

En aquellos casos en los que el cliente no haya sido debidamente informado sobre las
circunstancias reguladas en los artículos 13 y 14 del RGPD o no hubiese prestado su
consentimiento válido, BBVA no podrá llevar a cabo la recogida y tratamiento de los datos
personales. Lo mismo procede en relación con los tratamientos de datos basados en el
interés legítimo de BBVA o de terceros.

De acuerdo con lo expresado anteriormente, en relación con los datos personales de
los clientes que hubiesen prestado su consentimiento mediante el formulario denominado
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

143/146

“Declaración de actividad económica y política de protección de datos personales”, procede
que BBVA, en el plazo que se indica en la parte dispositiva, cese en los tratamientos de datos
personales siguientes: tratamientos de datos personales consistentes en ofrecer a los clientes
productos y servicios de la propia entidad BBVA, del Grupo BBVA y otros personalizados para
el cliente; cese en los tratamientos de datos personales de sus clientes consistentes en
comunicar tales datos a las empresas del Grupo BBVA para que puedan ofrecerles productos
y servicios propios personalizados para el cliente; y cese en el tratamiento de los datos
personales de sus clientes para mejorar la calidad de los productos y servicios nuevos y
existentes.

Asimismo, procede requerir a BBVA para que, en el plazo que se indica en la parte
dispositiva, comunique a las entidades del Grupo BBVA a las que hubiese comunicado datos
personales de los clientes que hubiesen prestado su consentimiento mediante el formulario
denominado “Declaración de actividad económica y política de protección de datos
personales” que deberán suprimir tales datos y cesar en la utilización de los mismos para
ofrecer a sus titulares productos y servicios propios de las entidades del Grupo
personalizados para el cliente y para la mejorar las características y precios de la oferta de
productos y servicios.

De la misma forma, procede requerir a BBVA para que, en el plazo que se indica en la
parte dispositiva, cese en los tratamientos de datos personales que la citada entidad
fundamenta en el interés legítimo de BBVA o de terceros.

Se advierte que no atender los requerimientos de la AEPD puede ser considerado
como una infracción administrativa grave al “no cooperar con la Autoridad de control” ante los
requerimientos efectuados, pudiendo ser sancionada tal conducta con multa pecuniaria.

Las alegaciones a la propuesta de resolución formuladas por la entidad BBVA no
contienen ninguna observación sobre estas cuestiones.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de
las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF
A48265169, por una infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo
83.5.b) y calificada como leve a efectos de prescripción en el artículo 74.a) de la LOPDGDD,
una multa por importe de 2.000.000 euros (dos millones de euros).

SEGUNDO: IMPONER a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., por una
infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como muy grave
a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, una multa por importe de
3.000.000 euros (tres millones de euros).

TERCERO: REQUERIR a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A. para que,
en el plazo de seis meses, adecúe a la normativa de protección de datos personales las
operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el
procedimiento mediante el que los mismos deben prestar su consentimiento para la recogida
y tratamiento de sus datos personales, con el alcance expresado en el Fundamento de
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

144/146

Derecho X. En el plazo indicado, BBVA deberá justificar ante esta Agencia Española de
Protección de Datos la atención del presente requerimiento.

CUARTO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA,
S.A.

QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la
ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido
en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005,
de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su
ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el
encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000
0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria
CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los
días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta
el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y
último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes
siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución
se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados
podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia
Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la
notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala
de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el
artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de
julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a
contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo
46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta
su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día
siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.
938-300320
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

145/146

Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

146/146

ANEXO 1

“DECLARACIÓN DE ACTIVIDAD ECONÓMICA Y POLÍTICA DE PROTECCIÓN DE DATOS
PERSONALES”

(…)

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

Müşteri Bilgilendirmesi ve Rıza Süreçleri

Türkçe özet

Hukuki mesele

Sonuç

Karar metni