1/10
968-150719
Procedimiento Nº: PS/00076/2020
RESOLUCIÓN R/00387/2020 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
En el procedimiento sancionador PS/00076/2020, instruido por la Agencia
Española de Protección de Datos a BANKIA, S.A., vista la reclamación presentada
por A.A.A., y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 8 de junio de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a BANKIA, S.A..
Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 5
de agosto de 2020 se emitió la propuesta de resolución que a continuación se
transcribe:
<<
Procedimiento nº: PS/00076/2020
Del procedimiento instruido por la Agencia Española de Protección de Datos y en
base a los siguientes:
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 20 de septiembre de 2019
interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación
se dirige contra BANKIA, S.A. con NIF A14010342 (en adelante, el reclamado).
Los motivos en que basa la reclamación son sus datos personales permanecían en los
ficheros de la entidad pese a haber dejado de ser cliente hace 16 años.
El reclamante manifiesta que hace más de 16 años dejó de ser cliente de Caja Madrid,
Bankia y por razones personales, ha tenido que hacerse cliente nuevamente para
solucionar un tema de una herencia.
Al llevar a cabo dicha gestión, en la oficina de BANKIA le han comunicado que sigue
siendo cliente, con nº interno ***CLIENTE.1 con datos que figuraban a una dirección de
2002.
Para poder solventar, los asuntos que le llevaban a ponerse en contacto nuevamente con
BANKIA, ha procedido a modificar los datos relativos a su persona, en una oficina de dicha
entidad pero no han sabido explicarle por qué sin tener ningún producto contratado, ni
tarjeta de débito/crédito, cuenta corriente, de ahorro o de valores, seguían teniendo sus
datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/10
Por este motivo, presenta denuncia ante este Organismo porque no comprende cómo es
posible que hayan conservado sus datos durante tanto tiempo, sin ser cliente.
.
SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de
Datos procedió a realizar las siguientes actuaciones:
El 5 de noviembre de 2019, fue trasladada a la entidad reclamada la reclamación
presentada por el reclamante, para su análisis, así como para que informase a este
Organismo sobre si se había puesto en comunicación con el reclamante, y la decisión
adoptada al respecto para solventar la situación planteada.
La reclamada manifiesta que los datos permanecen bloqueados conforme a la normativa
de protección de datos que permite su mantenimiento en esta situación en la que no están
accesibles.
TERCERO: Con fecha 8 de junio de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la
presunta infracción del Artículo 5.1.b) del RGPD, tipificada en el Artículo 83.5 del RGPD.
CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones en el que, manifiesta en primer lugar, la indefensión producida como
consecuencia de la fijación del importe de la sanción en el acuerdo de inicio, pese a que
no ha tenido ocasión en ningún momento de poner de manifiesto ante el citado órgano
cuáles pudieran ser las circunstancias que podrían resultar aplicables en el presente caso.
En segundo lugar, manifiesta además que ha aprobado, con ocasión de la plena aplicación
del RGPD, un documento denominado “Política de conservación de la información de
Bankia, S.A.” (en adelante, la “Política”), que tiene como objetivos:
la determinación de la normativa interna básica en materia de conservación de la
información,
el establecimiento de la obligación de conservar la información durante los plazos
exigidos en cada caso, determinados en dicho documento,
la fijación de las medidas esenciales de conservación de la información para
garantizar la seguridad de esta y
proporcionar un marco básico de regulación interna que facilite una toma de
decisiones adecuada en situaciones relacionadas con la conservación de la
información.
Esta Política se actualizó y aprobó nuevamente mediante acuerdo del Consejo de
Administración de 31 de marzo de 2020, y en ella se determinan los distintos plazos de
conservación y bloqueo aplicables a los datos personales de los interesados.
En concreto, de conformidad con las disposiciones de la Política, BANKIA procede al
bloqueo de los datos personales de sus clientes una vez se cancelan los distintos
productos o servicios contratados por aquéllos, mediante la identificación y reserva de sus
datos, adoptando medidas técnicas y organizativas para impedir su tratamiento, incluyendo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/10
su visualización, excepto para la puesta a disposición de los datos a los jueces y
tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular
de las autoridades de protección de datos, para la exigencia de posibles responsabilidades
derivadas del tratamiento y sólo por el plazo de prescripción de las mismas, lo que resulta
plenamente coincidente con lo establecido en el artículo 32 de la LOPDGDD.
QUINTO: Con fecha 2 de julio de 2020, el instructor del procedimiento acordó la apertura
de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones
previas de investigación, en el expediente E/10272/2019, así como los documentos
aportados por el reclamado.
De las actuaciones practicadas en el presente procedimiento y de la
documentación obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: el reclamante denuncia que sus datos personales han sido conservados por la
entidad financiera reclamada pese a haber dejado de ser cliente hace 16 años.
SEGUNDO: el 5 de noviembre de 2019, se dio traslado a la entidad reclamada de la
reclamación presentada por el reclamante, para su análisis, así como para que informase
a este Organismo sobre si se había puesto en comunicación con el reclamante, y la
decisión adoptada al respecto para solventar la situación planteada.
TERCERO: 20 de diciembre de 2019, la entidad reclamada, no solventa la situación,
alegando que los datos permanecen bloqueados conforme a la normativa de protección de
datos que permite su mantenimiento en esta situación mientras no están accesibles.
CUARTO: el 31 de marzo de 2020, la entidad reclamada ha procedido a la actualización de
la Política de conservación de la información de Bankia, S.A. y solventar los hechos objeto
de esta reclamación.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad
de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de
la Agencia Española de Protección de Datos es competente para resolver este
procedimiento.
II
El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales.
Por su parte, el artículo 5 del RGPD establece que los datos personales serán:
“a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»);
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/10
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89,
apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés
público, fines de investigación científica e histórica o fines estadísticos no se considerará
incompatible con los fines iniciales («limitación de la finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para
los que son tratados («minimización de datos»);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que sean
inexactos con respecto a los fines para los que se tratan («exactitud»);
e) mantenidos de forma que se permita la identificación de los interesados durante
no más tiempo del necesario para los fines del tratamiento de los datos personales; los
datos personales podrán conservarse durante períodos más largos siempre que se traten
exclusivamente con fines de archivo en interés público, fines de investigación científica o
histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de
la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente
Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo
de conservación»);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su
pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u
organizativas apropiadas («integridad y confidencialidad»).
El responsable del tratamiento será responsable del cumplimiento de lo dispuesto
en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).”
Asimismo, en el artículo 32 de la LOPDGDD, se regula el bloqueo de los datos,
estableciéndose lo siguiente:
“1. El responsable del tratamiento estará obligado a bloquear los datos cuando
proceda a su rectificación o supresión.
2. El bloqueo de los datos consiste en la identificación y reserva de los mismos,
adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su
visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el
Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las
autoridades de protección de datos, para la exigencia de posibles responsabilidades
derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido
ese plazo deberá procederse a la destrucción de los datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/10
3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de
la señalada en el apartado anterior.
4. Cuando para el cumplimiento de esta obligación, la configuración del sistema de
información no permita el bloqueo o se requiera una adaptación que implique un esfuerzo
desproporcionado, se procederá a un copiado seguro de la información de modo que
conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la
misma, la fecha del bloqueo y la no manipulación de los datos durante el mismo.
5. La Agencia Española de Protección de Datos y las autoridades autonómicas de
protección de datos, dentro del ámbito de sus respectivas competencias, podrán fijar
excepciones a la obligación de bloqueo establecida en este artículo, en los supuestos en
que, atendida la naturaleza de los datos o el hecho de que se refieran a un número
particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera
generar un riesgo elevado para los derechos de los afectados, así como en aquellos casos
en los que la conservación de los datos bloqueados pudiera implicar un coste
desproporcionado para el responsable del tratamiento.”
III
Se considera probado que la entidad reclamada conservaba en sus registros los
datos personales del reclamado, pese a haber transcurrido 16 años desde su última
relación comercial, ya que disponía de los mismos cuando el reclamante acudió
nuevamente a dicha entidad financiera para contratar un nuevo servicio financiero en
septiembre de 2019.
Por lo tanto, se imputa al reclamado la comisión de una infracción por vulneración
del artículo 5.1.b) del RGPD, que regula el principio de limitación de la finalidad,
estableciendo que los datos personales serán recogidos con fines determinados, explícitos
y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines, así
mismo se establece también la responsabilidad proactiva del responsable del tratamiento
de demostrar su cumplimiento.
IV
En respuesta a las alegaciones presentadas, hay que señalar que la Agencia
Española de Protección de Datos, el 5 de noviembre de 2019, dio traslado a la entidad
reclamada de la reclamación presentada por el reclamante, para su análisis, así como para
que informase a este Organismo sobre si se había puesto en comunicación con el
reclamante, y la decisión adoptada al respecto para solventar la situación planteada.
Pese a ello, la reclamada manifestó que los datos permanecían bloqueados
conforme a la normativa de protección de datos que permite su mantenimiento en esta
situación mientras no están accesibles, no solventando el problema ni actualizando su
política de conservación de datos, hasta marzo de 2020.
En este sentido, hay que señalar que tal y como se ha indicado en el fundamento
de derecho II, el artículo 32.2 de la LOPDGDD, establece que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/10
“El bloqueo de los datos consiste en la identificación y reserva de los mismos,
adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su
visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el
Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las
autoridades de protección de datos, para la exigencia de posibles responsabilidades
derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido
ese plazo deberá procederse a la destrucción de los datos. “
Por lo tanto los datos bloqueados no pueden estar accesibles a los trabajadores de
las oficinas de las entidades financieras, y sin embargo así ha sido en este caso, tal y
como ha quedado constatado.
Cuando se habla de datos bloqueados en el mencionado artículo, se quiere decir
que sólo pueden estar accesibles a jueces y tribunales, el Ministerio Fiscal o las
Administraciones Públicas competentes, en particular de las autoridades de protección de
datos.
Por otro lado, hay que señalar, en relación a sus alegaciones de indefensión, que
en el artículo 64 de la ley 39/2015 se establece respecto de los acuerdos de inicio de los
procedimientos de naturaleza sancionadora lo siguiente:
“1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con
traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados,
entendiendo en todo caso por tal al inculpado.
Asimismo, la incoación se comunicará al denunciante cuando las normas
reguladoras del procedimiento así lo prevean.
2. El acuerdo de iniciación deberá contener al menos:
a) Identificación de la persona o personas presuntamente responsables.
a) Los hechos que motivan la incoación del procedimiento, su posible calificación
y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la
instrucción.
c) Identificación del instructor y, en su caso, Secretario del procedimiento, con
expresa indicación del régimen de recusación de los mismos.
d) Órgano competente para la resolución del procedimiento y norma que le
atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda
reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
e) Medidas de carácter provisional que se hayan acordado por el órgano
competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan
adoptar durante el mismo de conformidad con el artículo 56.
f) Indicación del derecho a formular alegaciones y a la audiencia en el
procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no
efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste
podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento
preciso acerca de la responsabilidad imputada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/10
3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación no
existan elementos suficientes para la calificación inicial de los hechos que motivan la
incoación del procedimiento, la citada calificación podrá realizarse en una fase posterior
mediante la elaboración de un Pliego de cargos, que deberá ser notificado a los
interesados.”
Asimismo para poder aplicar el artículo 85 de la ley 39/2015, al que hace alusión el
citado artículo 64.2 d) de dicho texto legal, ante sanciones de carácter pecuniario, el
infractor podrá beneficiarse de una reducción del 20 o 40% de la sanción, por
reconocimiento de la responsabilidad, por pronto pago, o ambas, por lo que para ello, es
imprescindible establecer una cuantía, ya que si no se impone la cuantía de la sanción, no
podrían cumplirse las normas procedimentales establecidas en la ley 39/2015.
Debe tenerse en cuenta, no obstante, que esto no impide que se finalice el
procedimiento con una resolución que establezca una multa diferente a la del acuerdo de
inicio, si se aportasen a lo largo del procedimiento pruebas o documentos que acreditasen
que la valoración de los hechos objeto de la presente infracción debe ser distinta.
Por otro lado, el artículo 72.1.a) de la LOPDGDD señala que “en función de lo que
establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y
prescribirán a los tres años las infracciones que supongan una vulneración sustancial de
los artículos mencionados en aquel y, en particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.”
V
La infracción presuntamente cometida se tipifica en el artículo 83.5 a) del RGPD,
que considera que la vulneración de los principios básicos para el tratamiento, incluidas las
condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; se sancionarán con
multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa,
de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global
del ejercicio financiero anterior, optándose por la de mayor cuantía.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con
los siguientes criterios que establece el artículo 83.2 del RGPD:
Como agravantes los siguientes:
En el presente caso estamos ante acción negligente no intencional, pero significati-
va (artículo 83.2 b)
Se encuentran afectados identificadores personales básicos (nombre, apellidos,
domicilio, teléfono), según el artículo 83.2 g)
A la vista de lo expuesto se procede a emitir la siguiente
PROPUESTA DE RESOLUCIÓN
Que por la Directora de la Agencia Española de Protección de Datos se sancione a
BANKIA, S.A., con NIF A14010342, por una infracción del artículo 5.1.b) del RGPD,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/10
tipificada en el artículo 83.5 del RGPD, en relación con el artículo 72.1 a) de la LOPDGDD,
con una multa de 50.000 € (cincuenta mil euros).
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se
le informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá
una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la
sanción quedaría establecida 40.000€ (CUARENTA MIL euros) y su pago implicará la
terminación del procedimiento. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000
abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria
CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento
que figura en el encabezamiento de este documento y la causa, por pago voluntario, de
reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el
procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su
defensa y presentar los documentos e informaciones que considere pertinentes, de
acuerdo con el artículo 89.2 de la LPACAP).
B.B.B.
INSPECTOR/INSTRUCTOR
>>
SEGUNDO: En fecha 20 de agosto de 2020, BANKIA, S.A. ha procedido al pago de la
sanción en la cuantía de 40.000 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere la
propuesta de resolución.
FUNDAMENTOS DE DERECHO
I
.
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para sancionar las infracciones que se cometan contra dicho
Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General
de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el
artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c), d) e i) y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/10
38.4 d), g) y h) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo
43.1 de dicha Ley.
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo
la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su
responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción
que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa
imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado
la improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario,
el órgano competente para resolver el procedimiento aplicará reducciones de, al
menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables
entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de
iniciación del procedimiento y su efectividad estará condicionada al desistimiento o
renuncia de cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00076/2020, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a BANKIA, S.A..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo
preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas, los interesados podrán
interponer recurso contencioso administrativo ante la Sala de lo Contencioso-
administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y
en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio,
reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a
contar desde el día siguiente a la notificación de este acto, según lo previsto en el
artículo 46.1 de la referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/10
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es