Müşteri Adresinin Geç Düzeltilmesi

1/20

 Expediente N.º: PS/00183/2022

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

ANTECEDENTES

PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 8 de febrero de
2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra CAIXABANK S.A. con NIF A08663619 (en adelante, la
parte reclamada o CaixaBank). Los motivos en que basa la reclamación son los
siguientes:

La parte reclamante manifiesta que es cliente de la parte reclamada, y que con fecha 8
de octubre de 2017 actualizó sus datos de domicilio a través de su acceso online, pero
en el año 2020 comprueba que existen documentos en los que consta su antigua
dirección, señala que su única dirección actual es ***DIRECCIÓN.1.

Pues bien, solicitó rectificación de su dirección postal el 10 de julio y el 28 de
septiembre del año 2020 a través de su espacio Mi Gestor de Caixabank.es, sin
respuesta por la parte reclamada.

Posteriormente, el 14 de octubre de 2020, con número de registro 8-724587XXXX
solicitó rectificación de su dirección postal a través de [email protected].

Con fecha 30 de octubre de 2020, la parte reclamada solicitó información adicional al
reclamante para poder realizar la gestión oportuna.

Asimismo, el 6 de noviembre de 2020 el reclamante recibe respuesta con número de
referencia reclamación 8-726689XXXX, en la cual le informan de que remitirán su
petición al departamento especializado correspondiente.

A fecha de 8 de febrero de 2021, el reclamante manifiesta que su dirección todavía no
se ha rectificado.

Documentación relevante aportada por la parte reclamante:

- Proporciona una captura de pantalla de CaixabankNow donde consta un recibo de
un préstamo a nombre del reclamante con número de préstamo ***CONTRATO.1,
fechado a 31 de enero 2021 y dirigido a la antigua dirección postal en
***DIRECCIÓN.2.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/20

acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 9 de marzo de 2021 como
consta en el acuse de recibo que obra en el expediente.

Con fecha 9 de abril de 2021 se recibe en esta Agencia escrito de respuesta indicando
que, en relación con el ejercicio del derecho de rectificación, se envió al reclamante
una nueva carta informando de los canales a través de los cuales puede ejercer su
solicitud.

Aporta copia de escrito dirigido al reclamante a su correo electrónico con fecha
06/11/2020 donde consta la referencia 8-72668XXXXX la manifestación de que “[…]se
remitirá su petición al departamento especializado correspondiente […]”.

Aporta copia de escrito dirigido al reclamante a la dirección postal ***DIRECCIÓN.1 y
fechado a 05/11/2020 donde se manifiesta que tras su solicitud de fecha 31/10/2020
se le informa de los canales habilitados para la modificación de sus datos, que son a
través del canal online CaixaBank Now o bien presencialmente.

Copia de justificante de Devuelto/Sobrante por el servicio de Correos en fecha
07/12/2020 relativo al envío de una carta certificada dirigida al reclamante a su
dirección postal en ***DIRECCIÓN.1. Consta asimismo en dicho justificante en letra
manuscrita que en fecha 01/12/2020 el destinatario se encontraba ausente.

Aporta copia de escrito dirigido al reclamante a la dirección postal ***DIRECCIÓN.1 y
fechado a 09/04/2021 donde se manifiesta que tras su solicitud de fecha 31/10/2020
se le informa de los canales habilitados para la modificación de sus datos, que son a
través del canal online CaixaBank Now o bien presencialmente.

TERCERO: Con fecha 22 de abril de 2021, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Con fecha 13/10/2021 el reclamado remite a esta Agencia respuesta al requerimiento.
Sin embargo, se aporta un Anexo con nombre “E046742021_Anexos.pdf” con
extensión .pdf que es ilegible por cualquier lector convencional de ficheros pdf. Tras
serle requerido en sucesivas ocasiones (10/03/2022 y 15/03/2022), con fecha
16/03/2022, el reclamado presenta la documentación correctamente visualizable:

1. Que el domicilio del reclamante para todos sus contratos es ***DIRECCIÓN.1.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/20

Aporta capturas de pantalla con 4 contratos a nombre del reclamante donde consta, en
todos los contratos, la misma mencionada dirección postal en el campo “Destino de
correspondencia”.

2. El reclamante ha mantenido contacto con la Entidad a través del Servicio de
Atención al Cliente de CaixaBank y del servicio de ejercicio de derechos en materia de
protección de datos. Que la única reclamación relacionada con ejercicio de derechos
en la 8-72668XXXXX. Que en esta reclamación el reclamante solicita la rectificación
de su domicilio fiscal mediante correo de fecha 30/10/2020. Que el servicio de
atención al cliente remite comunicación al reclamante señalando que la reclamación se
gestionará por el equipo especializado. Que una vez derivada internamente la
reclamación, se identifica con el ID (…) en el servicio de ejercicio de derechos en
materia de protección de datos. Que en relación a este ID (…), se remite carta de
respuesta en fecha 05/11/2020 al domicilio postal del reclamante, ya aportada
anteriormente por el reclamado.

Se aporta un listado con varios contactos entre el reclamante y el reclamado donde,
entre otros, consta:

En el servicio de Atención al Cliente:

Número SR Fecha Motivo Tipo Resolución
recepción

8-724587XXX 14/10/2020 Comisión y A favor del Cliente
Gasto
Cancelación/
Venta y
Amortización

8-72668XXXX 02/11/2020 GDPR Derivada a
Peticiones [email protected]

Se aporta copia de correo electrónico fechado a 04/11/2020 remitido
[email protected] y enviado a “EJERCICIO DE
DERECHOS” donde consta una nota que manifiesta que a través de correo electrónico
de fecha 31/10/2020 enviado por el reclamante a [email protected] y
donde se solicita el cambio de su dirección postal de ***DIRECCIÓN.2 POR
***DIRECCIÓN.1.

Se aporta escrito dirigido al reclamante y fechado a 06/11/2020 ya aportado
anteriormente por el reclamado.

3. Aporta un listado con varias solicitudes del servicio de ejercicio de derechos en
materia de protección de datos entre las que se encuentran la ID (…) mencionada con
anterioridad y además:

a. Que relativo a la solicitud ID 588316 del servicio de derechos en materia de
protección de datos se registra solicitud del reclamante en fecha 21/04/2021 en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/20

relación con la cancelación de datos. Que en fecha 23/04/2021 se procede a dar
respuesta.

Se aporta copia de respuesta fechada a 23/04/2021 dirigida al reclamante a la
dirección postal ***DIRECCIÓN.1.

b. Que relativo a la solicitud ID (…) del servicio de derechos en materia de protección
de datos se registra solicitud del reclamante en fecha 21/04/2021 en relación con la
rectificación de datos. Que en fecha 23/04/2021 se procede a dar respuesta.

Se aporta copia de respuesta fechada a 23/04/2021 dirigida al reclamante a la
dirección postal ***DIRECCIÓN.1.

4. En relación a los cambios efectuados a los datos de correspondencia del
reclamante, se aporta un histórico de cambios donde consta exclusivamente la fecha
del cambio, una descripción genérica del movimiento, oficina y usuario. No se aporta
información sobre el detalle del cambio producido en los datos del reclamante.

Con fecha 01/04/2022, el reclamado presenta parcialmente la documentación adicional
requerida.

1. El reclamado manifiesta que no existen comunicaciones entre el reclamante y la
Entidad a través del canal Mi Gestor entre las fechas 01/07/2020 y 30/09/2020.

Aporta captura de pantalla de unas búsquedas en el canal Mi Gestor del reclamante
donde consta que se realiza dos búsquedas, una para documentos favoritos y otra
para mensajes en el rango temporal desde la fecha 01/07/2020 hasta la fecha
22/03/2022 (documentos) y 24/03/2022 (mensajes). Constan cero resultados en
ambas búsquedas.

2. Que la dirección postal ***DIRECCIÓN.2 fue facilitada por el reclamante en el
contrato ***CONTRATO.2 el cual consta cancelado. Que la dirección ***DIRECCIÓN.1
fue facilitada por el reclamante en el resto de sus contratos.

Aporta captura de pantalla con el contrato cancelado ***CONTRATO.2 y, asociada a
éste, la antigua dirección postal, así como los contratos ***CONTRATO.3,
***CONTRATO.1, ***CONTRATO.4, ***CONTRATO.5, y asociada a éstos, la nueva
dirección postal en ***DIRECCIÓN.1.

No se aporta la información requerida en relación a cómo y cuándo se han producido
los cambios de dirección postal del reclamante a la dirección ***DIRECCIÓN.1.

CONCLUSIONES

En relación a las solicitudes de rectificación por parte del reclamante y las respuestas
por parte de la reclamada:

1. No constan, con la información aportada por la parte reclamada, comunicaciones a
través del canal Mi Gestor.

2. Consta una respuesta por parte de la reclamada con fecha 05/11/2020 tras solicitud
por parte del reclamante de fecha 31/10/2020. En dicha respuesta exclusivamente se

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/20

explican los canales habilitados para el ejercicio de derechos. Dicha respuesta consta
enviada pero no entregada por encontrarse el reclamante ausente en su domicilio.

En relación al origen de las distintas direcciones postales y a su efectiva rectificación:

3. En las evidencias aportadas por el reclamante, consta con fecha 31/01/2021 la
dirección ***DIRECCIÓN.2 asociada al contrato ***CONTRATO.1, contrato que, en las
evidencias aportadas por el reclamado a fecha 13/10/2021, está asociado a la
dirección ***DIRECCIÓN.1.

4. En relación a la dirección postal del reclamante en ***DIRECCIÓN.1, dirección a la
cual éste solicitó la rectificación, la reclamada no aporta la información solicitada en
relación a cómo y cuándo se han producido los cambios a esa dirección postal ni el
motivo de dicho cambio. La reclamada tampoco aporta información en relación a que
se haya producido una modificación a esta dirección en ningún momento. Sin
embargo, esta dirección consta utilizada por la reclamada en algunas comunicaciones
dirigidas al reclamante en noviembre y diciembre de 2020 y en abril de 2021.

5. En relación a la dirección postal del reclamante en ***DIRECCIÓN.1 la reclamada
no aporta la información solicitada en relación al cómo y al cuándo se han producido
los cambios a esa dirección postal. Sí manifiesta que el origen de esa dirección son
contratos del reclamante y que la dirección fue proporcionada por éste, pero no se
aportan evidencias al respecto más allá de la mera asociación de esta dirección a
dichos contratos, según se extrae de captura de pantalla de los sistemas de la parte
reclamada.

CUARTO: Con fecha 20 de abril de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 16 del RGPD, tipificada en
el Artículo 83.5 del RGPD.

QUINTO: Notificado el acuerdo de inicio, la reclamada, mediante escritos presentados
el 6 de mayo y 3 de junio de 2022, solicita que, de conformidad con el artículo 32.1 de
la citada LPACAP, se amplíe en cinco días el plazo inicialmente otorgado para
formular alegaciones conforme al artículo 53.1.a) de la LPACAP, y se le facilite una
copia de los documentos que integran el expediente administrativo.

Se acuerda ampliar el plazo para formular alegaciones por el máximo permitido
legalmente y remitir a la reclamada la copia del expediente electrónico.

SEXTO: En fecha 13 de mayo de 2022 la reclamada presenta sus alegaciones al
acuerdo de apertura del procedimiento sancionador en las que solicita que se declare
la nulidad de pleno Derecho del procedimiento por los motivos que detalla en la
alegación primera de su escrito. Subsidiariamente, solicita que se acuerde el archivo
del procedimiento por inexistencia de infracción de la normativa de protección de datos
de personales. Y, con carácter subsidiario respecto a las anteriores pretensiones, que
se acuerde apercibir a la reclamada (artículo 58.2.b) RGPD.

En defensa de sus respectivas pretensiones aduce los argumentos siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/20

<<Primera. - de la indefensión producida a mi mandante como consecuencia de la
fijación del importe de la sanción en el acuerdo de inicio que, a nuestro juicio, viciaría
de nulidad el mismo. En efecto, los apartados primero y cuarto de la parte dispositiva
del Acuerdo de Inicio del presente procedimiento sancionador señalan textualmente
que la se vienen a determinar los criterios a tener en cuenta para graduar el importe
de la sanción que, a juicio del Órgano Sancionador, procede imponer en este caso “sin
perjuicio de lo que resulte de la instrucción”, pronunciándose en los siguientes
términos: “De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte
de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa
a imponer al reclamado como responsable de una infracción tipificada en el artículo
83.5.b) del RGPD, en una valoración inicial, se estiman concurrentes en el presente
caso, en calidad de agravantes, los siguientes factores: - La evidente vinculación del
responsable con el tratamiento de datos. (art.83.2. k) del RGPD en relación con el art.
76.2 b de la LOPDGDD). - El tiempo desde que solicitó la parte reclamante la
rectificación hasta que se llevó a cabo (art. 83.2 a) del RGPD).”

De este modo, el Órgano Sancionador viene a determinar en el acto que supone el
inicio de la tramitación del procedimiento sancionador cuál es el reproche sancionador
que, a su juicio, procede imponer a mi mandante, evaluando incluso las atenuantes y
agravantes concurrentes en el caso, pese a que Caixabank no ha tenido ocasión en
ningún momento de poner de manifiesto ante el citado órgano cuáles pudieran ser las
circunstancias que podrían resultar aplicables en el presente caso, dado que,
obviamente, no podía tener conocimiento de la apertura del procedimiento hasta que
le ha sido notificado el acuerdo en que se aprecian unilateralmente por el Órgano
Sancionador las mencionadas circunstancias. Todo ello supone, a juicio de esta
Entidad, una conducta que afecta sensiblemente a la aplicación de los principios
fundamentales del derecho penal que, con ciertas especificaciones, son aplicables al
procedimiento administrativo sancionador, tal y como ha puesto de manifiesto
reiterada jurisprudencia de nuestro Tribunal Constitucional.

En resumen, en este procedimiento el propio Órgano Sancionador hace en el Acuerdo
de Inicio una valoración (anticipada y carente de motivación alguna), de la
responsabilidad de esta Entidad, indicando incluso, aunque sea únicamente por su
mera mención, las agravantes concurrentes en el caso, aun cuando formalmente
pretenda dejarse a salvo lo que proceda finalmente en función de la instrucción. Pues
bien, de lo antedicho sólo cabe extraer la conclusión de que, dicho sea con el mayor
de los respetos, queda afectada seriamente la legalidad de la actuación administrativa,
toda vez que se valora in audita parte el grado de culpabilidad de la Entidad en la
supuesta comisión de la conducta infractora, sin que por aquél haya podido en ningún
momento llevarse a cabo alegación alguna que permita al Órgano Sancionador
valorar, siquiera mínimamente, las circunstancias concurrentes en el caso a la luz de
dichas alegaciones. Todo ello conduce a la generación de una absoluta y total
indefensión a esta parte, que en ningún momento puede hacer uso de su derecho
para poder poner de manifiesto lo inexacto de la valoración llevada a cabo por el
Órgano Sancionador al determinar a limine la cuantía de la sanción que “pudiera
corresponder” por la, aún, presunta vulneración del artículo 6.1 en relación con el 5.1.
a) ambos del RGPD, dado que aún no era parte en el procedimiento, por la sencilla
razón de que la sanción se fija en el acto por el que se inicia el mismo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/20

Pues bien, el hecho de que el Órgano Sancionador establezca en el acuerdo de inicio
el importe de la sanción que, a su juicio, procede imponer a esta Entidad, afecta
sustancialmente a la imparcialidad de la actuación del Órgano Instructor, que es
conocedor, antes de iniciar la tramitación del procedimiento, de cuál es el criterio del
Órgano al que finalmente elevará el expediente para la imposición de la sanción que
“pudiera corresponder”, en lo que respecta al importe de la misma y las circunstancias
modificativas de la responsabilidad que han de tenerse en cuenta en su
determinación. Se ve así afectado sustancialmente al ámbito de actuación del órgano
competente para la instrucción.

Por otra parte, no se ignora la invocación que el Acuerdo de Inicio hace del artículo 85
de la LPACAP. Sin embargo, a juicio de esta parte, las reglas establecidas en el
artículo 85 no resultan aplicables en el presente caso, toda vez que dicha norma
resulta de aplicación a los supuestos en que la norma sancionadora impone una multa
de carácter fijo y objetivo por la comisión de una infracción, de forma que solo
corresponda al encartado debatir la efectiva concurrencia de la conducta típica.

En consideración a lo anterior, esta parte entiende que existe un vicio radical en la
tramitación de este expediente sancionador que incide en la nulidad del
procedimiento, en tanto que la fase de instrucción ha quedado contaminada por la
actuación del Órgano Sancionador que, al valorar el importe de la sanción que
procede imponer, ha comprometido la imparcialidad del Instructor, del que es superior
jerárquico, al haber evaluado las causas de agravación de la responsabilidad a su
juicio concurrentes en el caso y ha cuantificado cuál ha de ser, en su opinión, el
reproche sancionador que debe imponerse a esta parte.

La consecuencia de todo lo indicado es que existe un vicio radical en la tramitación de
este expediente sancionador, derivado de una interpretación contraria a la
Constitución de los artículos 64 y 85 de la LPACAP, que incide en la nulidad del
procedimiento, al haberse vulnerado los derechos fundamentales de mi mandante, tal
y como establece el artículo 47.1 a) de la LPACAP.

Segunda. - Actuaciones y hechos objeto del expediente.

Los derechos de rectificación ejercicios por el reclamante, han sido oportunamente
atendidos por CaixaBank, cómo ya fue acreditado en la respuesta al requerimiento de
información que origina el presente Acuerdo de Inicio.

 En fecha 04/11/2020 se recibió en el buzón [email protected]
una solicitud de rectificación a través del Servicio de Atención al Cliente de CaixaBank
(DOCUMENTO NUMERO DOS)

 Se identificó internamente con el número de solicitud 459887

 Se remitió carta de respuesta en fecha 5 de noviembre de 2020 (DOCUMENTO
NÚMERO TRES)

 El envío se remitió al domicilio que justamente el reclamante reivindica como
domicilio de notificaciones (***DOMICILIO.1) y fue devuelto (DOCUMENTO NÚMERO
4)

En relación al derecho de rectificación realizado en fecha 21 de abril de 2021:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/20

 En fecha 21 de abril de 2021 se recibió por el portal de ejercicio de derechos una
solicitud de rectificación de datos

 Se identificó internamente con el número de solicitud 588319

 Se remitió carta de respuesta en fecha 23 de abril de 2021 (DOCUMENTO
NUMERO CINCO)

 Consta el acuse de recibo del reclamante en fecha 30 de abril de 2021
(DOCUMENTO NUMERO SEIS)

Cúmplenos manifestar que tal declaración no se ajusta a la realidad, puesto que
consta en nuestros archivos que en fecha 3 de mayo de 2021 el cliente se personó en
la oficina 6435- STORE COSO y se procedió al cambio de dirección del contrato. Ello
de acuerdo con las indicaciones facilitadas por la Entidad en la respuesta al ejercicio
del derecho de rectificación solicitado. A tal efecto, les adjuntamos (DOCUMENTO
NUMERO OCHO y DOCUMENTO NUMERO NUEVE, respectivamente) los recibos
correspondientes al contrato interesado, de fechas abril 2021 y mayo 2021, donde se
puede observar la modificación realizada.

En el caso de mi mandante, CAIXABANK pone a su disposición de sus clientes dos
entornos reforzados para llevar a cabo la modificación de su domicilio postal: su banca
digital (a través de medios electrónicos) y su oficina bancaria (de manera presencial):

Como ya hemos indicado, a raíz de la información facilitada por mi mandante, el
reclamante acudió a su oficina en fecha 3 de mayo de 2021 y solicitó presencialmente
el cambio del domicilio, que se realizó el mismo día.

Es por ello que el derecho de rectificación se ejecutó sin dilación indebida, una vez
debidamente identificado el solicitante, ello de acuerdo con las obligaciones normativa
y procedimiento que les hemos trasladado.

En consecuencia, a juicio de mi mandante no concurre en ningún caso una dilación en
la gestión y respuesta a los ejercicios de derechos planteados por el reclamante>>.

SÉPTIMO: Con fecha 19 de mayo de 2022, el instructor del procedimiento acordó
practicar las siguientes pruebas:

1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por
A.A.A. y su documentación, los documentos obtenidos y generados durante la fase
de admisión a trámite de la reclamación, y el informe de actuaciones previas de
investigación que forman parte del procedimiento E/04674/2021.

2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo
de inicio del procedimiento sancionador referenciado, presentadas por
CAIXABANK S.A., y la documentación que a ellas acompaña.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/20

1. El reclamante, cliente de la reclamada, manifiesta que el 8 de octubre de 2017
actualizó sus datos de domicilio a través de su acceso online, pero en el año 2020
comprueba que existen documentos en los que consta su antigua dirección
***DIRECCIÓN.2.

2. Según manifiesta el reclamado solicitó rectificación de su dirección postal el 10 de
julio y el 28 de septiembre de 2020 a través de su espacio Mi Gestor de Caixabank.es,
sin respuesta por la parte reclamada.

3. En fecha 14 de octubre de 2020, con número de registro 8-724587XXXX solicitó
rectificación de su dirección postal a través de [email protected].

Con fecha 30 de octubre de 2020, la parte reclamada solicitó información adicional al
reclamante para poder realizar la gestión oportuna.

4. El 6 de noviembre de 2020 el reclamante recibe respuesta con número de
referencia reclamación 8-72668XXXXX, en la cual le informan de que remitirán su
petición al departamento especializado correspondiente.

A fecha de 8 de febrero de 2021, el reclamante manifiesta que su dirección todavía no
se ha rectificado.

5. La parte reclamada, proporciona una captura de pantalla de CaixabankNow donde
consta un recibo de un préstamo a nombre del reclamante con número de préstamo
***CONTRATO.1, fechado a 31 de enero 2021 y dirigido a su antigua dirección postal
en ***DIRECCIÓN.2.

6. Consta con fecha 31 de enero de 2021 la dirección ***DIRECCIÓN.2 asociada al
contrato ***CONTRATO.1, contrato que, en las evidencias aportadas por la reclamada
a fecha 13/10/2021, está asociado a la dirección ***DIRECCIÓN.1.

7. Consta en el documento 8 aportado por la reclamada de fecha 30 de abril de2021
figura como domicilio postal ***DIRECCIÓN.2 asociada al contrato ***CONTRATO.1,
correspondiente al recibo de fecha 30 de abril de 2021.

8. Consta en el documento 9 aportado por la reclamada de fecha 31 de mayo de 2021
figura como domicilio postal C/ ***DIRECCIÓN.1 asociada al contrato
***CONTRATO.1, correspondiente al recibo de fecha 31 de mayo de 2021.

OCTAVO: Con fecha 4 de julio de 2022 se formuló propuesta de resolución,
proponiendo
que por la Directora de la Agencia Española de Protección de Datos se sancione a
CAIXABANK S.A. con NIF A08663619, por una infracción del artículo 16 del RGPD,
tipificada en el artículo 83.5.b del RGPD, con multa administrativa de 25.000€
(veinticinco mil euros).

En fecha 19 de julio de 2022 la reclamada presentó alegaciones a la propuesta de
resolución en las que solicita que se declare la nulidad de pleno Derecho del
procedimiento por los motivos que detalla en la alegación primera de su escrito.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/20

Subsidiariamente, solicita que se acuerde el archivo del procedimiento por inexistencia
de infracción de la normativa de protección de datos de personales. Y, con carácter
subsidiario respecto a las anteriores pretensiones, que se acuerde apercibir a la
reclamada (artículo 58.2.b) RGPD.

En defensa de sus respectivas pretensiones se reafirma en sus alegaciones al
acuerdo de inicio y dan por reproducidos los mismos, señalan que no existe
acreditación alguna de la supuesta “dilación” en la respuesta al ejercicio de derechos
y, en consecuencia, prueba de cargo alguna que motive una posible sanción a la
Entidad.

Asimismo, manifiesta que la Propuesta de Resolución recoge los mismos agravantes
que se indicaban en el Acuerdo de Inicio, sin estimar ninguna de sus alegaciones, e
insiste en los argumentos esgrimidos en el Acuerdo de Inicio, a saber: “estando
acreditado que el reclamado no ejerció derecho de rectificación alguno a través del
canal “Mi gestor” en 2017, a juicio de mi mandante no existe dilación ninguna entre la
solicitud de rectificación y la respuesta facilitada, tal y como ya puede acreditar en los
ejercicios de derechos en fecha 4/11/20 y de 21/04/21, respondidos ambos en el plazo
de un mes que indica el artículo 12.3 del RGPD. Mi mandante, como responsable del
tratamiento de los datos del reclamante, procedió en tiempo y forma a dar respuesta
motivada a su ejercicio de derechos, cumpliendo en todo momento la normativa
aplicable y facilitando los canales por los que el reclamante podía modificar sus datos.
Es más, la modificación de su dato de domicilio fue inmediata en el momento en el
que el reclamante, en fecha 3/5/21, acudió a su oficina y solicitó el cambio”

FUNDAMENTOS DE DERECHO

I

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver
este procedimiento la Directora de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

II

Se examinan con carácter previo las cuestiones que la reclamada ha planteado en sus
dos escritos de alegaciones y que son ajenas al fondo del asunto sobre el que versa el
procedimiento sancionador que nos ocupa.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/20

En sus alegaciones a la propuesta de resolución la reclamada, además de manifestar
que “reitera” íntegramente las alegaciones que hizo frente al acuerdo de apertura del
procedimiento, incide de nuevo sobre las cuestiones, ajenas al fondo del asunto, que
ya planteó en su primer escrito de alegaciones.

Esta Agencia reitera, asimismo, lo que manifestó en la propuesta de resolución en
respuesta a los alegatos esgrimidos por la reclamada frente al acuerdo de inicio.

A juicio de la reclamada el acuerdo de apertura se encuentra viciado de nulidad por la
indefensión que le ha generado el hecho de que la AEPD haya fijado en él el importe
de la sanción, en lugar de expresar solo los límites de la posible sanción; porque no se
han motivado las agravantes y porque a través del acuerdo de inicio se hace una
valoración de la culpabilidad de la reclamada sin que haya tenido ocasión de
pronunciase al respecto. Añade también que el acuerdo de inicio excede del contenido
previsto en el artículo 68 de la LOPDGDD y que, al haber fijado el órgano decisor el
importe de la sanción en el acuerdo de apertura del procedimiento, se ha visto
comprometida la imparcialidad del órgano instructor, que conoce así, antes de iniciar el
procedimiento, el criterio del órgano al que deberá elevar el expediente, lo que
determina en su opinión una “clara ruptura del principio de separación de la fase
instructora y de sanción”.

Entiende la reclamada que las reglas del artículo 85 de la LPACAP no son aplicables
al presente caso sino a los supuestos en los que la norma sancionadora impone una
multa de carácter fijo y objetivo y que la aplicación que se ha hecho de este precepto
en el acuerdo de inicio no respeta su tenor literal, según el cual la cuantía de la
sanción pecuniaria podrá determinarse “iniciado el procedimiento sancionador”, por lo
que, sostiene la entidad, “se estaría asimilando” “el acto mismo de iniciación con el
hecho de que el procedimiento se encuentre iniciado”.

Los argumentos que esgrime la reclamada no pueden admitirse.

El acuerdo de apertura se ajusta a lo previsto en el artículo 68 de la LOPDGDD,
conforme al cual bastará con que concrete los hechos que motivan la apertura, se
identifique la persona o entidad contra la que se dirige el procedimiento, la infracción
que hubiera podido cometer y su posible sanción. En idéntico sentido se expresa el
artículo 64.2 de la LPACAP que refiere cuál es el contenido mínimo del acuerdo de
iniciación. Según este precepto, entre otros detalles, deberá contener “los hechos que
motivan la incoación del procedimiento, su posible calificación jurídica y las sanciones
que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. Por ello,
en este caso, no solo se cumplen las exigencias mencionadas en los preceptos
citados, sino que se va más allá, ofreciendo razonamientos que justifican la posible
calificación jurídica de los hechos y se mencionan las circunstancias que pueden influir
en la determinación de la sanción.

No puede obviarse que el artículo 85 de la LPACAP - que contempla la posibilidad de
aplicar reducciones sobre el importe de la sanción para el caso de que el infractor
reconozca su responsabilidad y en caso de pago voluntario de la sanción- obliga a
determinar esas reducciones en la notificación del acuerdo de iniciación del
procedimiento, lo que implica, necesariamente, que deba fijarse en dicho acuerdo el
importe de la sanción correspondiente a los hechos imputados. Extremo que justifica
sobradamente que se refieran en él las circunstancias modificativas de la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/20

responsabilidad, pues éstas inciden directamente en la determinación de la cuantía de
la sanción.

En contra de la tesis que defiende la reclamada, el artículo 85 de la LPACAP no prevé
tampoco que la cuantía de la sanción se determine una vez iniciado el procedimiento.
Más al contrario, es el reconocimiento de la responsabilidad y el pago voluntario de la
sanción lo que ha de producirse con posterioridad a ese momento, pero no la fijación
de su cuantía.

Respecto a que según la cual el artículo 85 LPACAP únicamente podría aplicarse a los
supuestos en los que la norma sancionadora impone una multa de carácter fijo y
objetivo y que la aplicación que se ha hecho de este precepto en el acuerdo de inicio
no respeta su tenor literal, se ha de indicar que la AEPD viene aplicando el artículo 85
LPACAP de igual forma desde la entrada en vigor de la citada ley sin que la Sala de lo
Contencioso Administrativo de la Audiencia Nacional, ante la que cabe recurso
contencioso administrativo frente a sus resoluciones, se haya pronunciado nunca en
línea con el criterio que esa entidad defiende.

No puede tampoco admitirse que haber indicado en el acuerdo de inicio las sanciones
que pudiesen corresponder a la reclamada por las infracciones imputadas sea
determinante de indefensión o suponga una ruptura del principio de separación de las
fases de instrucción y resolución, pues esta Agencia se limita a dar cumplimiento con
ello a una de las exigencias previstas en las normas reseñadas. A mayor
abundamiento, también los artículos 68 de la LOPDGDD y 64.2 de la LPACAP exigen
como contenido del acuerdo de apertura que se fije la sanción que pudiera
corresponder.

Así pues, la pretendida ruptura “del principio de separación de la fase instructora y de
sanción” que aduce la reclamada -extremo que esta Agencia niega- sería, de existir, la
consecuencia de la correcta aplicación que esta Agencia viene haciendo de un
precepto legal, el artículo 85 de la LPACAP.

Sobre lo manifestado por la reclamada de que, habiendo fijado el acuerdo de apertura
el importe de la sanción y las circunstancias modificativas de la responsabilidad que
podrían apreciarse, ella no ha tenido ocasión de pronunciarse, nos limitamos a señalar
que el procedimiento administrativo se inicia precisamente con el acuerdo de apertura
y es a partir de entonces -no antes- cuando el artículo 53 de la LPACAP reconoce al
interesado una serie de derechos, entre ellos el previsto en el artículo 53.1.e).

Por último, por lo que concierne al vicio de nulidad del que, a juicio de la reclamada,
adolece el procedimiento como consecuencia de la indefensión que dice haber sufrido
cabe indicar lo siguiente: En primer término, la reclamada no especifica en qué
apartado del artículo 47.1 de la LPACAP funda la nulidad que invoca.

En segundo término, la invocada nulidad del procedimiento en ningún caso podría
fundarse en el apartado a) del artículo 47.1. de la LPACAP, en conexión con la
supuesta ruptura de la separación entre la fase instructora y la resolutoria a tenor del
artículo 24.2 de la C.E. Esto, porque de acuerdo con las SSTC 74/2004 y 175/2005, el
principio consagrado en el artículo 24.2 de la C.E. a tenor del cual quien instruye no
resuelve, no es aplicable al procedimiento administrativo, de forma que en este ámbito
no estamos ante un derecho con rango constitucional.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/20

Y finalmente, en tercer lugar, para el caso de que se pretenda fundar la nulidad del
procedimiento en el motivo recogido en el apartado e) del artículo 47.1 de la LPACAP
parece conveniente traer a colación la STC 78/1999, de 26 de abril, que en su
Fundamento Jurídico 2, dice:

“Así pues, según reiterada doctrina constitucional que se sintetiza en el fundamento
jurídico 3º de la STC 62/1998, "la estimación de un recurso de amparo por la
existencia de infracciones de las normas procesales 'no resulta simplemente de la
apreciación de la eventual vulneración del derecho por la existencia de un defecto
procesal más o menos grave, sino que es necesario acreditar la efectiva concurrencia
de un estado de indefensión material o real' (STC 126/1991, fundamento jurídico 5º;
STC 290/1993, fundamento jurídico 4º). Para que pueda estimarse una indefensión
con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de
alegar y defender en el proceso sus derechos, no basta con una vulneración
meramente formal, siendo necesario que de esa infracción formal se derive un efecto
material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC
149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los
interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989,
fundamento jurídico 2º)".

En atención a lo expuesto, la petición de la reclamada de que se declare la nulidad del
procedimiento administrativo sancionador que nos ocupa debe ser rechazada.

Para finalizar el capítulo sobre la pretendida nulidad radical del procedimiento que la
reclamada aduce en su defensa, cabe añadir las consideraciones siguientes.

Una de ellas relativa al derecho fundamental a un juez imparcial garantizado en el
artículo 24.2 de la C.E. La reclamada se ha referido en sus dos escritos de
alegaciones a que la actuación de la AEPD ha determinado que se haya “visto
afectada sustancialmente la imparcialidad del órgano instructor”, razón por la cual
aprovechamos para precisar que esta pretendida afectación de la imparcialidad del
instructor tampoco tiene encaje en ese derecho fundamental que garantiza el artículo
24.2 de la C.E., por lo que tampoco podría fundar en ella la nulidad del procedimiento
al amparo del apartado a) del artículo 47.1 de la LPACAP.

Sobre el derecho a un juez imparcial cabe señalar que, a mayor abundamiento, no es
que no resulte trasladable esta garantía al instructor -que es sobre quien la reclamada
hace pivotar la tan deseada nulidad del procedimiento- sino que ni siquiera se
reconoce este derecho en el marco del procedimiento administrativo. La STC 76/1990,
fundamento jurídico 8, no puede ser más clara:

“El derecho a [...] y a un proceso con todas las garantías -entre ellas, la independencia
e imparcialidad del juzgador- es una garantía característica del proceso judicial que no
se extiende al procedimiento administrativo, ya que la estricta imparcialidad e
independencia de los órganos del poder judicial no es, por esencia, predicable con
igual significado y en la misma medida de los órganos administrativos (SSTC
175/1987 y 22/1990...”. (El subrayado es nuestro)

Por último, respecto al contenido mínimo del acuerdo de apertura previsto en el
artículo 64 de la LPACAP y a la “manifiesta contradicción” en la que, según la entidad,
se habría incurrido al decir que se “va más allá” de ese contenido mínimo, basta

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/20

señalar que el artículo 64.2 indica que “deberá contener al menos”, “b) [...] las
sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”.

De manera que, tal y como se expuso en su momento, el acuerdo de apertura de este
procedimiento no sólo cumplió las exigencias del articulo 64.2 LPACAP -fijó los hechos
que motivan la incoación del procedimiento, su posible calificación y las sanciones que
pudieran corresponder- sino que “fue más allá” por cuanto detalló, entre otras cosas,
las circunstancias modificativas de la responsabilidad que en esa fase se apreciaron.

Con ello, ni se otorga “una suerte de beneficio al administrado” ni se “menoscaban”
“los derechos consagrados en el artículo 24 de la Constitución.”, tal y como nos
reprocha la reclamada. Comentario que no deja de ser llamativo si tenemos en cuenta
que uno de los argumentos esgrimidos por la reclamada en sus alegaciones al
acuerdo de apertura fue la deficiente argumentación de las circunstancias
modificativas de la responsabilidad expuestas en el citado acuerdo.

En definitiva, las garantías reconocidas al encartado en el procedimiento administrativo
sancionador y las normas reguladoras del procedimiento se han respetado
escrupulosamente. Los extremos mencionados por la reclamada en sus dos escritos
de alegaciones no entrañan la vulneración de ningún derecho fundamental reconocido
en el artículo 24.2 de la C.E. en el que poder sustentar la concurrencia del motivo de
nulidad radical del artículo 47.1.a) LPACAP.

Por cuanto antecede, se rechaza la pretensión de la reclamada de que se declare la
nulidad del procedimiento.

III

El apartado d) del artículo 5.1. del RGPD determinan en cuanto a los “Principios
relativos al tratamiento” que: “Los datos personales serán:

(…)

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan (<exactitud>)”

Por su parte, en cuanto a los “Principios de protección de Datos”, el artículo 4.1 de la
LOPDGDD determina:

“4. Exactitud de los datos.

1. Conforme al artículo 5.1.d) del Reglamento (UE) 2016/679 los datos serán exactos
y, si fuere necesario, actualizados.”

IV

El artículo 16 del RGPD, respecto del “Derecho de rectificación” establece que:

“El interesado tendrá derecho a obtener sin dilación indebida del responsable del
tratamiento la rectificación de los datos personales que le conciernan. Teniendo en
cuenta los fines del tratamiento, el interesado tendrá derecho a que se complementen

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/20

los datos personales que sean incompletos, inclusive mediante una declaración
adicional.”

A su vez, el artículo 12.4 de la citada LOPDGDD, establece como una de las
“Disposiciones generales sobre ejercicio de los derechos” que:

“4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de
sus derechos formulado por el afectado recaerá sobre el responsable”.

Por su parte, el artículo 14 de la LOPDGDD, bajo la rúbrica, “Derecho de rectificación”,
dispone que: “Al ejercer el derecho de rectificación reconocido en el artículo 16 del
Reglamento (UE) 2016/679, el afectado deberá indicar en su solicitud a qué datos se
refiere y la corrección que haya de realizarse. Deberá acompañar, cuando sea
preciso, la documentación justificativa de la inexactitud o carácter incompleto de los
datos objeto de tratamiento.”

El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de
multas administrativas”, señala:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose
de una empresa, de una cuantía equivalente al 4% como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:

b) los derechos de los interesados a tenor de los artículos 12 a 22.”

La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD) en su artículo 74.c) establece que: “Se consideran
leves y prescribirán al año las restantes infracciones de carácter meramente formal de
los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamente (UE)
2016/679 y, en particular, las siguientes: (…)

c) No atender las solicitudes de ejercicio de los derechos establecidos en los artículos
15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto
en el artículo 72.1.k) de esta ley orgánica.”

Y, a estos efectos, obviamente, el hecho de que la parte reclamante solicitara la
rectificación varias veces, y la parte reclamada no procediera a realizar dicha
rectificación, es por lo que resulta aplicable la excepción establecida.

El artículo 72.1k) de la LOPDGDD establece que son infracciones consideradas muy
grave “El impedimento o la obstaculización o la no atención reiterada del ejercicio de
los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.”

V

De conformidad con las evidencias de las que se dispone hay que tener en cuenta, la
falta de atención al derecho del reclamante de obtener sin dilación indebida del
responsable del tratamiento la rectificación de los datos personales que le conciernan.
Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se
complementen los datos personales que sean incompletos, inclusive mediante una
declaración adicional.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/20

En el supuesto aquí analizado, ha quedado acreditado que la parte reclamante ejercitó
su derecho de rectificación ante la entidad demandada, su solicitud no obtuvo la
respuesta legalmente exigible.

Asimismo, tras las evidencias obtenidas, se constata en relación con las solicitudes de
rectificación por parte del reclamante y las respuestas por parte de la reclamada:

1. No constan, con la información aportada por la reclamada, comunicaciones a través
del canal Mi Gestor.

2. Consta una respuesta por parte de la reclamada con fecha 05/11/2020 tras solicitud
por parte del reclamante de fecha 31/10/2020. En dicha respuesta exclusivamente se
explican los canales habilitados para el ejercicio de derechos. Dicha respuesta consta
enviada pero no entregada por encontrarse el reclamante ausente en su domicilio.

En relación al origen de las distintas direcciones postales y a su efectiva rectificación:

3. En las evidencias aportadas por el reclamante, consta con fecha 31/01/2021 la
dirección ***DIRECCIÓN.2 asociada al contrato ***CONTRATO.1, contrato que, en las
evidencias aportadas por la reclamada a fecha 13/10/2021, está asociado a la
dirección ***DIRECCIÓN.1.

4. En relación a la dirección postal del reclamante en ***DIRECCIÓN.1, dirección a la
cual éste solicitó la rectificación, el reclamado no aporta la información solicitada en
relación a cómo y cuándo se han producido los cambios a esa dirección postal ni el
motivo de dicho cambio. La reclamada tampoco aporta información en relación a que
se haya producido una modificación a esta dirección en ningún momento. Sin
embargo, esta dirección consta utilizada por la reclamada en algunas comunicaciones
dirigidas al reclamante en noviembre y diciembre de 2020 y en abril de 2021.

5. En relación a la dirección postal del reclamante en ***DIRECCIÓN.1 la reclamada
no aporta la información solicitada en relación al cómo y al cuándo se han producido
los cambios a esa dirección postal. Sí manifiesta que el origen de esa dirección son
contratos del reclamante y que la dirección fue proporcionada por éste, pero no se
aportan evidencias al respecto más allá de la mera asociación de esta dirección a
dichos contratos, según se extrae de captura de pantalla de los sistemas de la parte
reclamada.

En fecha 13 de mayo de 2022 la reclamada presenta sus alegaciones al acuerdo de
apertura del presente procedimiento sancionador, manifestando: << Cúmplenos
manifestar que tal declaración no se ajusta a la realidad, puesto que consta en
nuestros archivos que en fecha 3 de mayo de 2021 el cliente se personó en la oficina
6435- STORE COSO y se procedió al cambio de dirección del contrato. Ello de
acuerdo con las indicaciones facilitadas por la Entidad en la respuesta al ejercicio del
derecho de rectificación solicitado. A tal efecto, les adjuntamos (DOCUMENTO
NUMERO OCHO y DOCUMENTO NUMERO NUEVE, respectivamente) los recibos
correspondientes al contrato interesado, de fechas abril 2021 y mayo 2021, donde se
puede observar la modificación realizada>>.

Pues bien, a lo contrario que manifiesta la parte reclamada, consta en el documento
número 8 la antigua dirección postal del reclamante ***DIRECCIÓN.2 asociada al
contrato ***CONTRATO.1, correspondiente al recibo de fecha 30 de abril de 2021.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/20

En definitiva, obran en el expediente evidencias de la falta de atención al derecho de
rectificación de datos, por parte de Caixabank. Hay que destacar, que en el recibo de
fecha 30 de abril de 2021, aportado por la reclamada, consta todavía la antigua
dirección postal y solo en el recibo fecha de 31 de mayo de 2021, es cuando aparece
ya la nueva dirección postal del reclamante.

La conducta descrita vulnera el artículo 16 del RGPD y es subsumible en el tipo
sancionador del artículo 83.5.b, del RGPD.

V

La reclamada ha solicitado en sus alegaciones que, en sustitución de la multa
administrativa prevista en el acuerdo de inicio, esta Agencia le aperciba y,
subsidiariamente, reduzca el importe de la sanción de multa fijada en el acuerdo de
apertura en 25.000 euros.

Sobre la pretensión de que se le dirija un apercibimiento nos remitimos al
Considerando 148 del RGPD que dice así:

“A fin de reforzar la aplicación de las normas del presente Reglamento, cualquier
infracción de este debe ser castigada con sanciones, incluidas multas administrativas,
con carácter adicional a medidas adecuadas impuestas por la autoridad de control en
virtud del presente Reglamento, o en sustitución de estas. En caso de infracción leve,
o si la multa que probablemente se impusiera constituyese una carga
desproporcionada para una persona física, en lugar de sanción mediante multa puede
imponerse un apercibimiento. Debe no obstante prestarse especial atención a la
naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las
medidas tomadas para paliar los daños y perjuicios sufridos, al grado de
responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la
autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de
medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante. La imposición de
sanciones, incluidas las multas administrativas, debe estar sujeta a garantías
procesales suficientes conforme a los principios generales del Derecho de la Unión y
de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas
las garantías.”

Resulta patente que no concurren en el supuesto que nos ocupa los elementos que
permiten sustituir la sanción de multa administrativa fijada por el artículo 83.5. del
RPGD por un apercibimiento.

En la determinación de la multa que deba imponerse a la reclamada por la infracción
del artículo 16 RGPD de la que se le responsabiliza, tipificada en el artículo 83.5.b)
RGPD, se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD,
preceptos que señalan:

“Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento
indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas,
proporcionadas y disuasorias.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/20

“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, establece:

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/20

b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

En el supuesto analizado se aprecia la concurrencia de los siguientes factores que
operan agravando la responsabilidad exigible a la entidad por cuanto evidencian una
mayor antijuridicidad de su conducta o una mayor culpabilidad:

- La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales (artículo 83.2.k, del RGPD en relación con el artículo
76.2.b, de la LOPDGDD) La actividad de la reclamada exige que se traten numerosos
datos de carácter personal de sus clientes por lo que, dado el importantísimo volumen
de negocio de la entidad financiera reclamada cuando acontecen los hechos, la
transcendencia que puede tener su conducta infractora es innegable.
- El tiempo desde que solicitó la parte reclamante la rectificación hasta que se llevó a
cabo (art. 83.2 a) del RGPD).

Así las cosas, valoradas las circunstancias previstas en el artículo 83.2 del RGPD,
apartados. a) y k), este último en relación con el artículo 76.2.b) LOPDGDD, en calidad
de agravantes de la conducta examinada, que la multa administrativa a imponer por la
infracción del artículo 16 del RGPD, tipificada en el artículo 83.5.b RGPD, se fije en
25.000 euros.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a CAIXABANK S.A., con NIF A08663619, por una infracción
del Artículo 16 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 25.000
euros (veinticinco mil euros)..

SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK S.A.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/20

TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-120722
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es