1/48
Procedimiento Nº: PS/00259/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y con
base en los siguientes:
ANTECEDENTES
PRIMERO: D. A.A.A., con NIF ***NIF.1 (en lo sucesivo, el reclamante), interpone
reclamación ante la Agencia Española de Protección de Datos (AEPD) con fecha
06/04/2020. La reclamación se dirige contra BANKIA, S.A., con NIF A14010342 (en lo
sucesivo, la reclamada). El motivo en el que basa su reclamación es la recepción de
publicidad comercial que la reclamada le envió a través de correo postal después de
que se hubiera opuesto al tratamiento de sus datos con fines publicitarios y de que la
reclamada, de quien él es cliente, le respondiera que atendía su derecho y procedía a
adoptar las medidas necesarias para su cumplimiento.
Aporta con su reclamación estos documentos:
a. El que contiene la comunicación comercial (anexo 2), integrado a su vez por
dos documentos. En el primero de ellos, en su parte inferior derecha, figuran
los datos personales del reclamante -nombre, dos apellidos y dirección postal
completa- y debajo un código de barras. La posición en la que están situados
en el documento los datos personales coincide con la que ocupa la ventana de
un tipo de sobres que se utiliza habitualmente en el correo postal y que permite
ver los datos del destinatario que figuran impresos dentro del sobre. En la
esquina superior derecha del documento figura el anagrama de la reclamada
con su nombre. En la esquina inferior derecha la indicación “11.02.2020”. En el
cuerpo del documento consta esta leyenda: “Cuesta mucho encontrar la casa
de tus sueños. Por eso, TE QUITAMOS LAS COMISIONES DE TU NUEVA
HIPOTECA. Sólo por tener tu nómina domiciliada y nada más. Te quitamos las
comisiones de:” Seguidamente, en dos columnas paralelas, figura:
“APERTURA”; “AMORTIZACIÓN ANTICIPADA”; “CANCELACIÓN
ANTICIPADA”; “GASTOS DE CORREO”. Inmediatamente debajo se indica:
“Para que soñar cueste menos. *Consulta condiciones en oficinas Bankia o
bankia.es”.
El segundo documento que integra el anexo 2 del escrito de reclamación es
idéntico al primero con esta particularidad: los datos personales del destinatario
no coinciden con los del reclamante -la dirección postal es la misma pero no el
nombre y apellidos, en este caso B.B.B.- ni tampoco la fecha del envío, en este
caso el 24/02/2020.
a. La carta, de fecha 28/11/2018, que la reclamada envió al reclamante en la que
acusa recibo de su solicitud de no recibir información de carácter comercial o
publicidad de la entidad y de que sus datos no fueran comunicados a otras
entidades, participadas del grupo Bankia o colaboradores con finalidad
comercial (anexo 1). En ella, la reclamada informa al reclamante que ha
atendido su solicitud y ha procedido a adoptar las medidas necesarias para su
cumplimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/48
Se reproduce el siguiente fragmento de la carta enviada al reclamante en
respuesta a su petición de no recibir información comercial:
“En relación con su solicitud por la que usted [el reclamante], con D.N.I. [ el del
reclamante], nos comunica su deseo de no recibir información de carácter
comercial o publicitario de esta Entidad, así como que sus datos no sean
comunicados a otras entidades o participadas del grupo Bankia o
colaboradores, le informamos que hemos atendido cumplidamente su solicitud
y hemos procedido a adoptar las medidas necesarias para su cumplimiento.”
(El subrayado es nuestro)
El reclamante aportó también a la AEPD junto con la carta de respuesta que
recibió de la reclamada un documento de siete hojas con el anagrama de la
entidad que lleva por rúbrica “Tratamiento de Datos Personales” “Información
sobre las condiciones para el tratamiento de datos personales (actualizado)”.
En el documento figuran en primer término, bajo la rúbrica “Datos de
identificación del Cliente”, los datos personales del reclamante. Más adelante
consta que “Los datos personales solicitados por [la reclamada] serán tratados
de acuerdo con la siguiente información básica de protección de datos.” El
“Informe básico sobre protección de datos” se estructura en varios apartados
dedicados al “Responsable”; “Finalidades”; “Legitimación”; “Destinatarios”;
“Derechos” e “Información adicional”. En el apartado “Finalidades” menciona,
entre otras, el “Envío de campañas comerciales, comunicación de ofertas de
productos, servicios y promociones tanto de la [reclamada] como de terceros”.
En el apartado “Legitimación” se mencionan “la ejecución del contrato, el
cumplimiento de una obligación legal, consentimiento del interesado y el
interés legítimo”. Más adelante existe un apartado denominado “Envío de
comunicaciones comerciales personalizadas”. El punto 1.1. se refiere a
“comunicaciones comerciales personalizadas a través de cualquier canal (...)
sobre productos, servicios, promociones [...] en base a su perfil, elaborado a
partir de sus datos personales, los productos que tiene contratados, así como a
partir de las operaciones, movimientos, transacciones asociadas a sus
productos” y se desdobla en los puntos 1.1.1, 1.1.2 y 1.1.3. En todos ellos
consta como opción “No”.
SEGUNDO: A la vista de los hechos expuestos en la reclamación, la Subdirección
General de Inspección de Datos, de conformidad con lo previsto en el artículo 65 de la
Ley Orgánica 3/2018, de Protección de Datos y Garantías de los Derechos Digitales
(LOPDGDD), a fin de valorar la admisibilidad de la reclamación, en el marco del
expediente E/3708/2020 y mediante escrito firmado el 03/06/2020, da traslado de la
reclamación a la reclamada para que en el plazo de un mes facilite una explicación de
los hechos denunciados, detalle las medidas adoptadas para evitar que en el futuro se
sigan produciendo situaciones similares y proceda a comunicar su decisión al
reclamante.
El escrito se notificó a la reclamada electrónicamente. El certificado emitido por el
Servicio de Notificaciones Electrónicas y de Dirección Electrónica Habilitada de la
FNMT-RCM (en adelante, FNMT), que obra en el expediente, deja constancia de la
puesta a disposición en la sede electrónica el 03/06/2020 y de la aceptación de la
notificación el 06/06/2020.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/48
La reclamada responde a la solicitud informativa el 03/07/2020 y remite un informe con
las actuaciones efectuadas por la oficina del delegado de protección de datos (DPD).
Expone, en primer término, que se ha verificado que el reclamante no formuló ante la
reclamada -ni ante su oficina gestora, ni ante el SAC ni ante el DPD- ninguna
reclamación por el motivo en el que basa la reclamación presentada ante la AEPD.
En segundo término, afirma que el reclamante ejerció “el derecho de oposición” a la
recepción de comunicaciones comerciales de la reclamada en fecha 04/11/2018,
mediante correo electrónico dirigido a la dirección [email protected],
siendo tramitada y contestada la solicitud el 21/11/2018 en escrito que coincide con el
que el reclamante adjuntó como anexo 1 a su reclamación. Indica también que el
reclamante ha alegado que el 11/02/2020 “recibió una comunicación” sobre la hipoteca
sin comisiones y que ha aportado una copia de dicha comunicación.
A propósito de la naturaleza de la “comunicación” que la reclamada envió al
reclamante y a la licitud del tratamiento de datos efectuado, hace estas
consideraciones:
-“Como puede apreciarse de los propios documentos aportados por el Sr. [reclamante],
a lo que se refiere el reclamante con “comunicación” es al envío de la carátula de
correspondencia que la entidad utiliza para el envío de información por
correspondencia física a los clientes sobre sus productos (extractos, movimientos,
comisiones…), que como se puede observar de las dos carátulas aportadas es igual
en su grafismo para todos los clientes con la única diferencia de que recoge los datos
de correspondencia específicos de cada cliente.”
- “No se trata, pues de una comunicación comercial personalizada ni dirigida al
reclamante por su perfil sino de una carátula genérica y común para todos los clientes,
similar a los carteles que se encuentran expuestos en las oficinas o sus fachadas, y
general para todos los clientes que reciben su correspondencia físicamente en formato
papel.”
- “Y por tanto, ha de entenderse que se trata de un envío amparado en el interés
legítimo de [¿?] tal y como se informa en la política de privacidad de la entidad, al
estar referido con carácter general a productos o servicios comercializados por la
entidad y similares a los productos contratados por sus clientes (productos
financieros).” (El subrayado es de nuestro)
La reclamada concluye con esta afirmación: “no se ha dirigido al reclamante ninguna
comunicación comercial personalizada al haber ejercitado el mismo su derecho de
oposición a recibir este tipo de comunicaciones comerciales”. (El subrayado es
nuestro)
La reclamada remite a la AEPD con su respuesta una copia de la carta que envió al
reclamante comunicándole la decisión adoptada a la vista de los hechos relatados en
su reclamación.
La Directora de la AEPD, de conformidad con lo previsto en el artículo 65 de la
LOPDGDD, con fecha 13/07/2020 acuerda admitir a trámite la presente reclamación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/48
El acuerdo de admisión a trámite se notificó al reclamante por correo postal el mismo
día de su firma y consta recibido el 21/07/2020.
TERCERO: Con fecha 07/10/2020 la Directora de la AEPD acuerda la apertura de un
procedimiento sancionador a la reclamada con arreglo a lo dispuesto en los artículos
63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común
de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del
artículo 6.1.f) del Reglamento (UE) 2016/679, de 27 de abril, del Parlamento Europeo y
del Consejo, relativo a la protección de las personas físicas en lo que respecta al
tratamiento de datos personales y a la libre circulación de estos datos y por el que se
deroga la Directiva 95/46/CE (RGPD), tipificada en el artículo 83.5.a) del RGPD.
CUARTO: Notificado el acuerdo de inicio, la reclamada, mediante escrito presentado el
19/10/2020, solicita que, conforme al artículo 53.1.a) de la LPACAP, se le facilite una
copia de los documentos que integran el expediente administrativo, y que, de
conformidad con el artículo 32.1 de la citada LPACAP, se amplíe en cinco días el plazo
inicialmente otorgado para formular alegaciones.
QUINTO: En escrito de fecha 23/10/2020 se acuerda ampliar el plazo para formular
alegaciones por el máximo permitido legalmente y se remite a la reclamada la copia
del expediente electrónico.
Ese escrito, junto con la copia del expediente, se notificó a la reclamada por medios
electrónicos siendo la fecha de puesta a disposición el 23/10/2020 y la fecha de
aceptación el 26/10/2020. Así consta en el documento “Confirmación de la recepción
de la notificación” de la aplicación Carpeta Ciudadana.
SEXTO: En fecha 03/11/2020 la reclamada presenta sus alegaciones al acuerdo de
apertura del procedimiento sancionador en las que solicita que se declare la nulidad de
pleno Derecho del procedimiento por los motivos que detalla en la alegación primera
de su escrito. Subsidiariamente, solicita que se acuerde el archivo del procedimiento
por inexistencia de infracción de la normativa de protección de datos de carácter
personal. Y, con carácter subsidiario respecto a las anteriores pretensiones, que se
acuerde apercibir a la reclamada (artículo 58.2.b, RGPD) o, en su defecto, se reduzca
significativamente la cuantía de la multa prevista en el acuerdo de apertura del
procedimiento, en atención a lo señalado en su alegación cuarta.
En defensa de sus respectivas pretensiones aduce los argumentos siguientes:
La alegación primera de su escrito lleva por rúbrica “De la indefensión producida a [la
reclamada] como consecuencia de la fijación del importe de la sanción en el acuerdo
de inicio”.
En síntesis, expone que el acuerdo de apertura se encuentra viciado de nulidad por la
indefensión que le genera el que se haya fijado el importe de la sanción en el acuerdo
de inicio, en lugar de expresar solo los límites de la posible sanción; porque no se han
motivado las agravantes y porque a través del acuerdo de inicio se hace una
valoración de su culpabilidad sin que haya tenido ocasión de pronunciase al respecto.
Añade que el acuerdo de inicio excede del contenido previsto en el artículo 68 de la
LOPDGDD y que, al haber fijado el órgano decisor el importe de la sanción en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/48
acuerdo de apertura del procedimiento se compromete la imparcialidad del órgano
instructor, lo que determina en su opinión una “clara ruptura del principio de
separación de la fase instructora y de sanción”. Afirma que las reglas del artículo 85 de
la LPACAP no son aplicables al presente caso sino a los supuestos en los que la
norma sancionadora impone una multa de carácter fijo y objetivo y que la aplicación
que se ha hecho en el acuerdo de inicio no respeta su tenor literal, según el cual la
cuantía de la sanción pecuniaria podrá determinarse “iniciado el procedimiento
sancionador”,
En la alegación segunda, “De las circunstancias concurrentes en el presente caso”, la
reclamada hace una relación de los hechos del expediente. En particular relaciona los
siguientes:
-En fecha 04/11/2018 el reclamante dirige a la reclamada una comunicación
electrónica en la que ejercita el derecho de oposición y solicita que no se “utilicen para
comunicaciones comerciales de ningún tipo” los datos relativos a su correo electrónico,
número de teléfono y correo postal.
- El 21/11/2018 la reclamada responde a la solicitud de ejercicio del derecho de
oposición y le informa de que en relación con “su deseo de no recibir información de
carácter comercial o publicitario de esta Entidad, así como que sus datos no sean
comunicados a otras entidades o participadas del grupo Bankia o colaboradores con
finalidad comercial”, se ha “atendido cumplidamente su solicitud y [ha] procedido a
adoptar las medidas necesarias para su cumplimiento”. (El subrayado es nuestro)
-El 11/02/2020 el reclamante recibe una carta a su nombre de la reclamada “en cuya
carátula se hace referencia a determinados productos de crédito ofrecidos por [la
reclamada]”
- Consta entre la documentación aportada por el reclamante “otra carta”, de fecha
24/02/2020, dirigida a una persona que no es el reclamante, “con similar grafismo en
la carátula del sobre [...]”.
- El 03/06/2020 la AEPD le solicita que informe acerca de la reclamación presentada.
Señala que la AEPD no le remitió la reclamación sino exclusivamente los documentos
anexos a ella. La reclamada responde el 03/07/2020.
La alegación tercera del escrito de alegaciones lleva por rúbrica “De la inexistencia de
infracción alguna del artículo 6.1. del RGPD” y en ella expone los argumentos
centrales de su defensa.
Señala que la AEPD le atribuye una infracción del artículo 6.1.f del RGPD “por haber
procedido, a su juicio, a un tratamiento de datos con fines de marketing sin contar con
base jurídica suficiente para ello, al no poder amparar el tratamiento en el interés
legítimo” de la entidad” (El subrayado es nuestro)
A continuación, advierte que tal imputación parte de un error de la AEPD. Así, afirma
que el acuerdo de apertura incurre en un error al confundir la “existencia de publicidad
de [la reclamada] en la carátula incluida en el sobre que dirige al reclamante” con “la
realización de un tratamiento con fines de marketing directo”.
Reitera la misma idea en el curso de su alegación tercera. Dice, por ejemplo, que la
AEPD confunde el “marketing directo” con “el tratamiento de datos con fines de
marketing directo”, “siendo así que se trata de dos realidades completamente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/48
diferenciadas” O que “La AEPD incurre en una evidente contradicción al confundir [...]
la existencia de publicidad con la realización de un tratamiento de datos con esa
finalidad”, para precisar a continuación que, únicamente en este segundo supuesto,
serían aplicables las normas reguladoras del derecho fundamental a la protección de
datos de carácter personal y la AEPD podría ejercer los poderes que como autoridad
de control tiene encomendados.
La reclamada dice que “la remisión de dicho sobre con la publicidad inserta” no es el
“resultado de un tratamiento de datos con finalidades publicitarias. Del mismo modo,
no sería posible considerar que nos encontraríamos ante un tratamiento de datos con
tales fines en caso de que en la carátula del sobre únicamente hubiera aparecido el
nombre comercial de mi representada, aun cuando la AEPD, forzando el concepto
contenido en el Acuerdo de Inicio pudiera llegar a considerar la mera representación
de ese logotipo como publicidad.”
Para la reclamada los datos personales del reclamante se trataron, exclusivamente,
con la finalidad de informarle sobre los productos que tenía contratados con ella.
Indica al respecto que el único tratamiento que ha llevado a cabo en relación con los
datos personales del reclamante “ha sido la impresión, en la misma carátula del sobre
remitido a la totalidad de sus clientes, de los datos del Reclamante, con la única y
exclusiva finalidad de remitir al mismo información acerca del estado de los productos
y servicios contratados por el mismo con [la entidad reclamada]”.
Añade también:
“Como puede comprobarse, [la reclamada] distingue claramente los tratamientos de
datos necesarios para el mantenimiento de la relación contractual que le vincula con el
cliente, entre los que se encuentra la remisión de la documentación relacionada con la
evolución de los productos y servicios contratados (por ejemplo, un extracto de
cuenta, la situación de un producto de ahorro o crédito contratado, etc.), amparado
claramente en el artículo 6.1 b) del RGPD, y el envío de comunicaciones comerciales
de productos o servicios propios o de terceros, amparado, cuando se lleva a cabo por
medios postales en el interés legítimo de la Entidad (artículo 6.1 f) del RGPD).” (Folios
11 y 12 del escrito)
“Es decir, [la reclamada] no realizó tratamiento alguno de los datos del interesado con
la finalidad de remitirle información acerca de sus productos, sino únicamente con la
de facilitarle la información relacionada con los contratados por aquél, sin que el hecho
de que la carátula del sobre en que se remitía la información implique tratamiento
alguno de sus datos con la finalidad pretendida por la AEPD.
Y es que, en este sentido, no niega [la reclamada] que la información incluida en la
carátula pueda ser considerada publicidad a los efectos previstos en las normas que
menciona el Acuerdo de Inicio, lo que no puede considerarse es que el hecho de que
esa información se incluya en la carátula implique un tratamiento de datos con fines de
marketing directo, que es lo que se imputa a mi mandante.” (Folio 12 del escrito de
alegaciones) (El subrayado es nuestro)
La reclamada expone que es plenamente consciente del alcance del derecho
contemplado en el artículo 21.2 del RGPD y de que supone un contrapeso a la
aplicación de la regla del interés legítimo para el tratamiento de datos con fines de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/48
mercadotecnia directa, pero estima que ese precepto no resulta de aplicación al
presente asunto toda vez que no se ha producido el referido tratamiento.
Afirma, “frente a lo invocado por la AEPD en su Acuerdo de Inicio, que la misma no ha
llevado a cabo un tratamiento de datos del Reclamante cuya “razón de ser”, “objetivo”
o “intención última” consista en la realización de actividades de marketing directo. Dice
que “ha procedido al tratamiento de los datos del Reclamante con la única y exclusiva
finalidad de remitir al mismo la información relacionada con la evolución y situación de
los productos y servicios contratados por aquél, al amparo exclusivo de lo dispuesto
en el artículo 6.1 b) del RGPD, por ser necesaria esa comunicación para la adecuada
gestión y desarrollo de la relación contractual que vincula a [la reclamada] con sus
clientes. Y es que, como se anticipó, el hecho de que el sobre en que se remita esta
información puede implicar la existencia de publicidad, común por otra parte a la
totalidad de los clientes de [la reclamada], pero no un tratamiento de los datos de esos
clientes con el “objetivo”, “razón de ser” o “intención última” de realizar acciones de
marketing directo.” (El subrayado es nuestro)
El documento sobre política de privacidad que la reclamada ha aportado con sus
alegaciones al acuerdo de inicio, informa en el apartado destinado a las “condiciones
de privacidad” en relación con los datos personales de sus clientes que, sin perjuicio
de las condiciones especiales que se establezcan en relación con cada producto
contratado por aquéllos, se tratarán para seis finalidades determinadas y específicas,
a saber:
“1. Atender, gestionar y contestar las consultas, preguntas y solicitudes realizadas por
los usuarios a través de los canales de atención o comunicación habilitados por
Bankia (Legitimación del tratamiento: consentimiento del usuario).
2. Mantener, cumplir y controlar la relación contractual y precontractual entre los
usuarios y Bankia (Legitimación del tratamiento: Ejecución de un contrato).
3. Mejorar las páginas o herramientas web propiedad de Bankia, así como sus
productos y servicios, con tal de ofrecer una mejor calidad y servicio al usuario,
desarrollar nuevos productos/servicios o mejorar los procesos internos de la entidad
(Legitimación del tratamiento: Consentimiento del usuario (cookies) e Interés legítimo).
4. Enviar comunicaciones comerciales sobre productos y servicios, propios o de
terceros (Legitimación del tratamiento: Consentimiento del usuario).
5. Realizar estudios con fines estadísticos que puedan ser de interés para Bankia o
terceros (Legitimación del tratamiento: Interés legítimo).
6. Cumplir con las obligaciones legales de Bankia (Legitimación del tratamiento:
Cumplimiento de una obligación legal).” (El subrayado es nuestro)
La alegación cuarta del escrito de alegaciones versa sobre las circunstancias
apreciadas por la AEPD para la cuantificación de la sanción.
La reclamada aduce que la AEPD ha vulnerado el principio de proporcionalidad en la
determinación de la sanción, toda vez que la cuantía de la multa administrativa fijada
en el acuerdo de inicio “no se ajusta a la valoración de las atenuantes y agravantes
que el propio acuerdo toma en consideración.”
A ese respecto explica que el acuerdo de inicio apreció la concurrencia de dos
agravantes y una atenuante y fijó una sanción de multa de 50.000 euros cuando, dice
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/48
esa es la cuantía que habitualmente impone la AEPD como sanción por vulneración
del artículo 6.1 RGPD en los casos que “no merezcan un reproche sancionador
especialmente elevado” y cuando, a diferencia de lo que acontece en este caso, las
resoluciones en las que se impone una multa de tal cuantía suelen apreciar la
concurrencia de múltiples agravantes y no suelen apreciar la concurrencia de ninguna
atenuante.
La reclamada hace una comparación entre las circunstancias modificativas de la
responsabilidad que la AEPD apreció en la resolución dictada en el PS/00076/2020,
seguido también contra ella, y las que constan en el acuerdo de apertura del
procedimiento, y advierte dos diferencias: Que en la resolución del PS/00076/2020 no
se tomó en consideración la circunstancia, que sí se aprecia en este caso como
agravante, de la vinculación de la actividad que la entidad realiza con el tratamiento de
datos de carácter personal. Que en la citada resolución se matizaba que la falta de
diligencia de la reclamada era “significativa”, lo cual, explica, no se indica en el
presente caso. Adelantamos ya que, como puede constatarse con la lectura del
acuerdo de inicio del expediente, se utilizó la expresión “La grave falta de diligencia
[...]”.
Argumenta también que, dado que en este caso se ha apreciado la concurrencia de
una atenuante, resulta llamativo que la sanción sea la misma -50.000 euros- que en el
PS/0076/2020. Consideraciones que en su opinión son exponente de la invocada
vulneración del principio de proporcionalidad.
SÉPTIMO: El acuerdo de inicio del procedimiento, en el punto 3 de la parte dispositiva,
acordó “INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por el reclamante y su documentación anexa, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos durante la fase previa a la admisión a trámite de la reclamación.”
Mediante diligencia de la instructora de fecha 14/06/2021 se dejó constancia a efectos
de prueba de que, en virtud de lo acordado por la Directora de la AEPD en el acuerdo
de apertura del procedimiento, quedaron incorporados a éste la reclamación
presentada y su documentación adjunta, así como la documentación generada y
obtenida por la Subdirección General de Inspección de Datos en el marco del
E/03708/2020, en el trámite de solicitud informativa previa a la admisión a trámite de la
reclamación.
OCTAVO: La propuesta de resolución se firma por la instructora del procedimiento en
fecha 16/06/2021 y en esa misma fecha se notifica electrónicamente poniéndose a
disposición de la reclamada. La notificación fue aceptada el 15/06/2021. Ambos
extremos quedan acreditados a través del certificado de la FNMT que obra en el
expediente.
La propuesta de resolución se formuló en los siguientes términos:
<<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a BANKIA, S.A., con NIF A14010342, por una infracción del artículo 6.1.f)
del RGPD, tipificada en el artículo 83.5.a del RGPD, con multa administrativa de
50.000€ (cincuenta mil euros)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/48
SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se
ordene a BANKIA, S.A., con NIF A14010342, por una infracción del artículo 6.1.f) del
RGPD, tipificada en el artículo 83.5.a del RGPD, que adopte, en el plazo máximo de
un mes, las medidas necesarias para ajustar sus operaciones de tratamiento a las
disposiciones del RGPD; de tal manera que ponga fin al tratamiento de datos
personales con fines de marketing directo respecto de aquellos clientes que se
hubieran opuesto al tratamiento de sus datos con tal finalidad.>>
NOVENO: En fecha 25/06/2021 tiene entrada en el registro de la AEPD un escrito de
CAIXABANK, S.A., en el que comunica la subrogación, en el presente procedimiento
sancionador, en la posición jurídica de BANKIA, S.A., en virtud de la fusión por
absorción acordada entre ella, como sociedad absorbente, y BANKIA, S.A., en calidad
de sociedad absorbida.
En el mismo escrito solicita que se amplíe, por el máximo permitido legalmente, 5 días,
el plazo otorgado inicialmente para formular alegaciones a la propuesta de resolución.
El escrito remitido por la reclamada estuvo accesible en la aplicación informática el
lunes 28/06/2021, último día del plazo inicialmente otorgado para presentar
alegaciones a la propuesta de resolución. En escrito de esa misma fecha dirigido a la
reclamada se deniega la solicitud de ampliación del plazo de alegaciones.
DÉCIMO: La reclamada -antes BANKIA, S.A., ahora CAIXABANK, S.A.- presenta sus
alegaciones a la propuesta de resolución el 28/06/2021. Solicita en ellas que se
declare la nulidad de pleno Derecho del procedimiento sancionador por los motivos
que describe en su alegación primera. Subsidiariamente, solicita que se proceda al
archivo del procedimiento “al no constituir la conducta de BANKIA (actualmente
CAIXABANK) infracción alguna de la normativa de protección de datos personales.” Y,
subsidiariamente respecto a las anteriores peticiones, que se le aperciba conforme al
artículo 58.2.b) del RGPD, o, en su defecto, se reduzca significativamente la cuantía
de la sanción de multa administrativa en atención a los argumentos expuestos en su
alegación cuarta.
Aduce en defensa de sus respectivas pretensiones los siguientes razonamientos:
-Con carácter preliminar, además de constatar que en fecha 14/06/2021 se le notificó
la propuesta de resolución, reitera las manifestaciones hechas en su escrito de
alegaciones al acuerdo de inicio, presentadas el 03/11/2020, “toda vez que, a nuestro
parecer, el contenido de la Propuesta de Resolución no rebate en modo alguno lo
señalado en las citadas alegaciones”.
-La alegación primera lleva por rúbrica “Sobre la fijación del importe de la sanción en
el acuerdo de inicio.”
Esta alegación es, en esencia, idéntica a la formulada en el escrito de alegaciones al
acuerdo de inicio del procedimiento. En ella reitera la “manifiesta indefensión” que se
le ha generado como consecuencia de que la AEPD haya fijado el importe de la
sanción en el acuerdo de apertura del expediente.
La indefensión que afirma haber sufrido se sustenta, a su juicio, en que la AEPD “ha
procedido a la valoración del grado de culpabilidad de mi mandante y de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/48
circunstancias que afectan a aquél, [...] in audita parte, sin que mi mandante haya
tenido la posibilidad de efectuar alegación alguna o efectuar la más mínima prueba en
defensa de su derecho, quedando así gravemente perjudicado su derecho a la
defensa” y en que tal valoración se efectuó por el órgano competente para resolver,
lo que supone una intromisión del órgano sancionador en la actuación inspectora y
“una dilución entre las fases de instrucción y resolución del presente procedimiento
sancionador, con el consiguiente perjuicio para mi mandante.”
La reclamada sostiene que la “manifiesta indefensión” sufrida se produce al
“prescindirse de las garantías otorgadas por la normativa reguladora del procedimiento
sancionador” y la quiebra del “derecho a la tutela judicial efectiva”, todo lo cual provoca
un vicio de nulidad absoluta del artículo 47.1.a) de la LPACAP al haberse lesionado los
derechos y libertades susceptibles de amparo constitucional
Pasa seguidamente a hacer los siguientes comentarios que pone en relación con
algunas de las manifestaciones contenidas en la propuesta de resolución:
Afirma que la propuesta señala “que la evaluación in audita parte de las circunstancias
concurrentes en el caso y, en consecuencia, la determinación por el órgano
competente para sancionar del importe de la sanción procedente con anterioridad a la
instrucción del asunto derivaban directa e inmediatamente de lo establecido en el
artículo 64 de la Ley 39/2015 [...],si bien, a continuación, se incurre en una manifiesta
contradicción, al indicarse, como se hace en la Resolución, que la actuación de la
AEPD “va más allá” de lo previsto en la norma.”
Que “la AEPD señala en la Propuesta que la fijación del importe de la sanción que
procedería imponer al encartado es una exigencia de lo dispuesto en la Ley, pero al
mismo tiempo considera que no lo es, dado que parece indicar que, de una forma
completamente graciable y beneficiosa para el encartado, la AEPD ha decidido “ir más
allá” de lo establecido en la norma, otorgando una suerte de beneficio al administrado,
aun cuando ello sea a costa de menoscabar los derechos consagrados en el artículo
24 de la Constitución.”
Asimismo, partiendo de la particular interpretación que la reclamada viene haciendo
del artículo 85 de la LPACAP, afirma que “la literalidad de la norma” no supone una
habilitación al órgano sancionador para prejuzgar el caso, proponiendo ab initio el
importe de la sanción, “dado que con ello se quebrantan los más elementales
principios del procedimiento sancionador”.
Insiste en que el artículo 85.1 de la LPACAP “no exige una previa determinación de la
sanción, pues se refiere a la “imposición de la sanción que proceda”; que la norma es
aplicable, en todo caso, “iniciado el procedimiento”. Añade que el artículo 85.3. prevé
que las reducciones deberán adoptarse sobre la sanción “propuesta”, de lo que
concluye que es preciso que se haya determinado cuál es ese importe en el seno del
procedimiento, previa audiencia del administrado, pues el acuerdo de inicio “no es el
lugar idóneo para “proponer” la imposición de una sanción”.
Tomando como punto de partida las consideraciones que se hicieron en la propuesta
de resolución acerca de cuál pudiera ser la circunstancia del artículo 47.1. de la
LPACAP en la que la reclamada pretendía fundamentar la nulidad del procedimiento
que invocaba, realiza los siguientes comentarios que, por su importancia -toda vez que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/48
difieren sustancialmente de lo que esta Agencia expuso en la propuesta de
resolución-, merecen ser reproducidos:
“[...] de lo expuesto se desprende que el legislador no ha apreciado respecto del
procedimiento administrativo sancionador la necesaria separación de las fases de
instrucción y de resolución y la necesaria intervención en las mismas de dos órganos
distintos, sin que ni el órgano sancionador pueda intervenir ni “dirigir”, como ha
sucedido en este caso, la actuación independiente del órgano instructor.
“Y para mayor sorpresa la Propuesta de Resolución no sólo considera que el citado
principio de separación de las fases de instrucción y resolución no es predicable al
procedimiento sancionador, contradiciendo así lo establecido expresamente en la
LPACAP y recordado por reiteradísima jurisprudencia del Tribunal Constitucional (por
todas en la STC 9/2018, de 5 de febrero), sino que además afirma sin ningún reparo
que el principio “a tenor del cual quien instruye no resuelve, no es aplicable al
procedimiento administrativo”, sobre la base de una supuesta jurisprudencia
constitucional que en nada guarda relación con semejante conclusión.”
A propósito de las SSTC precitadas dice: “Sin ánimo de extendernos en este punto,
basta hacer una mera referencia a la jurisprudencia invocada para determinar sin el
más mínimo atisbo de duda, su absoluta irrelevancia:
“En efecto, la STC 175/2005 que invoca la Propuesta ni siquiera guarda relación
alguna con el derecho fundamental consagrado en el artículo 24 de la Constitución,
sino con el principio de igualdad consagrado en su artículo 14.”
“Por su parte, la STC 74/2004 sí hace referencia al derecho a la tutela judicial efectiva,
pero en cuanto a la no aplicación al procedimiento administrativo del derecho al juez
ordinario predeterminado por la Ley, lo que tampoco guarda relación alguna con lo
analizado en el presente procedimiento.”
-La alegación segunda lleva por rúbrica “De la licitud de la conducta de Bankia
(actualmente Caixabank) y la inexistencia de infracción del artículo 6.1 del RGPD”.
La reclamada llega a la conclusión, anunciada en el título de este epígrafe, de que en
el asunto que nos ocupa no ha existido un tratamiento de datos personales con fines
de mercadotecnia directa por lo cual “resulta ocioso acudir al artículo 6.1 del RGPD
para valorar si dicho no-tratamiento cuenta con una base jurídica suficiente, y por
ende apreciar que se ha producido una vulneración del cualquiera de los apartados de
la norma”.
En definitiva, la reclamada considera que el tratamiento de datos efectuado se realizó
en el marco de la relación contractual que vinculaban a reclamante y reclamada cuya
finalidad era facilitarle información relacionada con el estado de los productos
contratados, por lo cual sostiene que “el hecho de que la carátula del sobre en que se
produce la citada remisión incorpore información referida a productos comercializados
por la entidad, sin haber llevado a cabo actividad de tratamiento vinculada a la
determinación del contenido de dicho documento no puede en ningún caso implicar la
existencia de un tratamiento específico encaminado a la realización de actuaciones de
mercadotecnia directa, sino la mera adopción de una decisión empresarial acerca del
formato de los sobres dirigidos a los clientes de la entidad”. (El subrayado es de la
AEPD)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/48
En el curso de la alegación segunda la reclamada detalla los diversos elementos sobre
los que construye su conclusión.
Comienza exponiendo que la propuesta de resolución considera que ella “ha llevado a
cabo un tratamiento de los datos del Reclamante con fines de mercadotecnia directa” y
que, también considera la propuesta que “el mero hecho de la impresión de los datos
de contacto del Reclamante en la carátula de un sobre que, en un formato predefinido
incorpora información sobre los productos de mi mandante, implica la utilización y
tratamiento de los datos con la citada finalidad.”
Insiste en que la propuesta considera que, el mero hecho de que la carátula contenga
la información sobre el citado producto es suficiente para apreciar la existencia de “un
envío personalizado” al reclamante “con la finalidad de fomentar la adquisición del
mencionado producto de la entidad”; aunque “[...] no haya supuesto realización de una
previa actuación por parte de Bankia para la determinación de si dicha publicidad
puede o no corresponderse con las preferencias del interesado”.
Afirma también que la “propuesta considera” que el hecho de haberle remitido la carta
al reclamante, en la que constan los datos de contacto a los que se dirige “implica la
realización de dos tratamientos de datos personales: uno relacionado con el desarrollo
de la relación contractual y el otro derivado del puro y simple hecho de que la carátula
del sobre incorpora la citada información”. Como contrapunto expone cuál es su
posición: que existió y efectuó “un único tratamiento de datos y con la única y
exclusiva finalidad de remitir al reclamante los extractos de los productos contratados,
tratamiento amparado por tanto en el artículo 6.1.b, del RGPD.”
Refrenda esta última afirmación diciendo que bajo ningún concepto podría calificarse
de tratamiento de datos del interesado, en los términos en los que lo define el artículo
4.2 del RGPD (precepto que transcribe en su escrito de alegaciones), el hecho de
haber incorporado en la carátula del sobre “información acerca de la entidad e incluso
de los productos y servicios que comercializa”.
A fin de argumentar que no existió un tratamiento de datos con fines de mercadotecnia
directa expone lo siguiente:
Que, incluso en la hipótesis de que admitiera que “la inclusión en la carátula de un
sobre de la información citada pudiera ser considerada mercadotecnia directa” – lo que
por otra parte niega rotundamente-, lo que “en ningún modo puede probar ...la AEPD
es que se haya llevado a cabo un tratamiento de los datos del interesado relacionado
con la finalidad de remitirle publicidad, ni de carácter general ni específica.” (El
subrayado es nuestro)
Que, como expuso en sus alegaciones al acuerdo de apertura “no niega que la
información contenida en la carátula del sobre pueda ser considerada publicidad de la
entidad, pero lo que sí niega y reitera es que haya existido un tratamiento de datos
con fines de mercadotecnia directa efectuado sin contar con base jurídica para ello
como consecuencia del ejercicio por el interesado de su derecho de oposición”.
Añade que “La decisión acerca del formato de los sobres en los que una entidad
privada incorpore su documentación es una mera decisión empresarial, que en modo
alguno puede suponer un tratamiento de datos personales, dado que no implica la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/48
realización de ninguna de las operaciones que se incluyen en el mencionado
concepto.”
“[...] como también se indicaba en las alegaciones de mi mandante al Acuerdo de
Inicio, la inclusión de información acerca de un determinado producto de mi mandante
en la carátula del sobre al que se dirige la comunicación mencionada puede
considerarse una actividad publicitaria, pero no una acción de mercadotecnia directa
[...]” Y dice seguidamente: “Esa acción [de mercadotecnia directa] se produciría si el
contenido, que no el “continente” de la comunicación remitida al interesado contuviese
información relacionada con un producto de la entidad, pero no en aquellos casos en
los que es el sobre, que será accesible por una pluralidad indeterminada de personas
a lo largo del proceso de tramitación y remisión de la comunicación contiene dicha
información.”
“[...] para la AEPD parece que únicamente el destinatario de la comunicación tendrá
un efectivo conocimiento del mensaje publicitario contenido en la carátula del sobre
remitido, y, en consecuencia, será el único destinatario del citado mensaje,
permaneciendo el sobre oculto a los restantes operadores, lo que convierte su
remisión en una acción de mercadotecnia directa.” Y añade que, “incluso en el negado
supuesto de que se considerase que únicamente el destinatario tendrá acceso al
citado mensaje”, ello no supone que se haya efectuado un tratamiento con fines de
mercadotecnia directa porque no se habrá llevado a cabo con los datos personales del
interesado ninguna de las operaciones de tratamiento a las que se refiere el artículo
4.2 del RGPD.”
La reclamada manifiesta asimismo que la AEPD, al haber apreciado una infracción del
RGPD en los hechos objeto de la reclamación, ha “ampliado artificialmente sus
competencias” “hasta el punto de considerar sometidos a su supervisión” “decisiones
empresariales ajenas a todo tratamiento de datos”.
También hace mención a la Ley 34/2002, de 11 de julio, de servicios de la sociedad de
la información y de comercio electrónico (LSSI) y al concepto de comunicación
comercial que la ley ofrece para, seguidamente, plantear un supuesto de hecho: que,
en el marco de la actividad regulada por la LSSI, se hubiera incluido un banner en el
que se informara de un nuevo producto. Ante lo cual dice lo siguiente:
“Pues bien, siguiendo el razonamiento de la AEPD, la mera inclusión de un banner
genérico y no dirigido, previa realización de una actividad se segmentación o perfilado,
a cada cliente de la entidad supondría un tratamiento de datos de todos y cada uno de
los clientes con acceso al área privada con la finalidad de dirigirles una comunicación
comercial, consistente en la publicitación del producto mencionado”. “De este modo,
cualquier entidad estaría obligada o bien a implementar complejos procesos de
delimitación de los clientes en cuya área personal podría incorporarse el mencionado
banner o bien a establecer dos o más áreas personales diferencias (con o sin banner)
[...]” (El subrayado es nuestro)
-Alegación tercera, “Sobre la aplicación de la medida contenida en el artículo 58.2.d)
del RGPD”.
Manifiesta la reclamada que la medida correctiva propuesta en el dispositivo segundo
de la propuesta de resolución “resulta de imposible aplicación, al haberse producido la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/48
extinción de la personalidad de la entidad contra la que se pretende por la AEPD dirigir
la medida”. Añade que tal medida “ya no resultaría aplicable”, pues como
consecuencia de la desaparición de la persona jurídica (BANKIA) ha cesado en la
totalidad de los tratamientos de datos personales.
-Alegación cuarta: “Sobre las circunstancias apreciadas por la AEPD en la conducta
de BANKIA”.
La reclamada denuncia “la irrelevancia que para la AEPD revisten las circunstancias
concurrentes en un caso concreto, así como la predeterminación de la sanción por
parte de la misma que no resulta de la aplicación de las citadas circunstancias.” Añade
que la Agencia, en la determinación del importe de la sanción, procede “con una
suerte de automatismo que conduce con carácter general a imponer sanciones de
idéntica cuantía en supuestos que no pueden guardar relación entre ellos, siempre
que considere que la gravedad del hecho alcanza un umbral predeterminado ...”
Respecto a la agravante, apreciada en la propuesta de resolución, del artículo 83.2.a)
RGPD, critica que fuera calificada como atenuante en el acuerdo de inicio y que en la
propuesta de resolución se produzca tal cambio.
Respecto a la circunstancia agravante del artículo 83.2.b) llama la atención sobre el
hecho de que la propuesta de resolución se refiera, para sustentar esta circunstancia
agravante, a que “cabe presumir que en su actividad es frecuente el tratamiento de
datos con fines de mercadotecnia directa y los supuestos en los que los clientes se
oponen con esa finalidad”. Afirma que estamos ante una presunción carente de
soporte probatorio que vulnera el derecho a la presunción de inocencia.
Respecto a la agravante del artículo 83.2.e) RGPD, critica, por una parte, que se
aprecie sobre la base de la cita a un único procedimiento sancionador dirigido contra la
reclamada y relacionado con unos hechos que no guardan relación con los que son
objeto del actual expediente sancionador, con la agravante de que la mención al
PS/0076/2020 se haya incluido en la propuesta de resolución a raíz de que lo hubiera
citado la reclamada en el ejercicio de su derecho de defensa en su escrito de
alegaciones al acuerdo de inicio. Por otra, afirma que la AEPD actúa de modo
arbitrario pues, con carácter general, no hace uso en sus resoluciones de esta
circunstancia agravante, salvo cuando la entidad haya sido “sancionada de modo
reiterado y habitual” y menciona como ejemplo el procedimiento PS/00030/2021.
Considera así que, al apreciar esta circunstancia, se genera en el presente caso una
situación de perjuicio y discriminación para la entidad, máxime cuando la resolución a
la que se alude (PS/00076/2020) en la propuesta de resolución es la única dictada
frente a la reclamada desde la entrada en vigor del RGPD.
Respecto a la atenuante del artículo 83.2.k) RGDP en relación con el artículo 76.2. e)
de la LOPDGDD, la considera irrelevante toda vez que su aplicación no ha conducido
a modificar la cuantía de la sanción de multa prevista en la propuesta respecto a la
que se fijó en el acuerdo de inicio. Todo lo cual le lleva a reiterar su opinión acerca de
la “absoluta arbitrariedad en la valoración de las circunstancias del caso”.
Dentro de esta alegación cuarta se dedica un apartado a justificar la procedencia de
que no se le imponga una sanción económica (multa administrativa). Comienza su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/48
alegato diciendo que ya en el acuerdo de inicio recordó que la AEPD dispone, a tenor
del artículo 58.2 del RGPD, “de una gran pluralidad de potestades distintas a la
imposición de una sanción económica”. Critica que la propuesta de resolución, frente a
su pretensión de que se imponga un apercibimiento, se haya limitado a transcribir el
Considerando 148 del RGPD pues el citado considerando toma en consideración
únicamente dos elementos: que nos encontremos ante una infracción leve y que la
multa que debería imponerse constituyera una carga desproporcionada para la
persona física, por lo cual, dice la reclamada, si bien no es aplicable esta última
condición, sí se daría a su juicio la condición de la levedad de la infracción de la que
se le responsabiliza. Añade a tal efecto que la levedad a la que el RGPD se refiere
nada tiene que ver con la clasificación que la LOPDGDD hace de las infracciones en
leves, graves y muy graves – pues esta norma que es posterior al RGDPD-. Así, indica
que “Cuando el considerando 148 hace referencia a la gravedad o levedad de la
sanción se refiere a los supuestos en los que se ha producido o no un compromiso
particularmente relevante para el derecho fundamental a la protección de datos [...]”.
Menciona a tal efecto el documento WP253 del Grupo de Trabajo del artículo 29,
“Directrices sobre la aplicación y fijación de multas administrativas a efectos del
Reglamento 2016/679” del que transcribe lo siguiente:
“En el considerando 148 se presenta la noción de «infracciones leves». Dichas
infracciones pueden constituir violaciones de una o varias disposiciones del
Reglamento citadas en el artículo 83, apartados 4 o 5. No obstante, la
evaluación de los criterios previstos en el artículo 83, apartado 2, puede dar
lugar a que la autoridad de control estime, por ejemplo, que en las circunstancias
concretas del caso la violación no entraña un riesgo importante para los
derechos de los interesados y no afecta a la esencia de la obligación en
cuestión. En tales casos, la multa puede ser sustituida (aunque no siempre) por
un apercibimiento.”
(El subrayado es nuestro)
Completa su argumentación señalando que en este supuesto “sólo existe una
reclamación singular”. “Es decir, sólo una persona de entre quienes se han opuesto al
tratamiento de sus datos con fines de mercadotecnia directa ha llegado a la
conclusión, que parece compartir esa Agencia, de que la adopción de un formato
estándar de carátula del sobre en que se remite la información sobre la evolución de
los productos contratados con mi mandante supone un tratamiento adicional de sus
datos personales con fines de mercadotecnia directa.” Y que “el perjuicio que pudiera
causar esa conducta a los destinatarios de los envíos, reiteramos que únicamente
relacionados con la evolución de los productos contratados es sencillamente
inexistente”.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
se consideran probados en el presente procedimiento los siguientes
HECHOS
1. El reclamante, cliente de la reclamada, denuncia que recibió, a través de correo
postal, una carta con información sobre sus cuentas que incluía, además, información
comercial de la entidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/48
2. El documento con información comercial recibido por el reclamante, del que aporta
una copia, lleva en su esquina inferior derecha la fecha “11.02.2020” y tiene estas
características:
En la parte inferior derecha figuran los datos personales del reclamante -nombre, dos
apellidos y dirección postal completa- y debajo un código de barras. La posición en la
que los datos personales están situados en ese documento coincide con la que ocupa
la ventana o espacio transparente de un tipo de sobres que se utiliza habitualmente en
el correo postal y que permite ver los datos del destinatario impresos dentro del sobre.
En la esquina superior derecha del documento figura el anagrama de la reclamada con
su nombre. En el cuerpo del documento aparece esta leyenda:
“Cuesta mucho encontrar la casa de tus sueños. Por eso, TE QUITAMOS LAS
COMISIONES DE TU NUEVA HIPOTECA. Sólo por tener tu nómina domiciliada y
nada más. Te quitamos las comisiones de:” Seguidamente, en dos columnas
paralelas, figura: “APERTURA”; “AMORTIZACIÓN ANTICIPADA”; “CANCELACIÓN
ANTICIPADA”; “GASTOS DE CORREO”. Inmediatamente debajo se indica: “Para que
soñar cueste menos. *Consulta condiciones en oficinas Bankia o bankia.es”.
3. En fecha 04/11/2018 el reclamante remitió un correo electrónico dirigido a
[email protected], en el que comunicaba a la reclamada su deseo de “no
recibir información de carácter comercial o publicitario”. Así lo reconoce la entidad
reclamada en sus alegaciones al acuerdo de inicio.
La reclamada atendió su solicitud mediante una carta de fecha 21/11/2018 -que obra
en el expediente- en la que respondió:
“En relación con su solicitud por la que usted [el reclamante], con D.N.I. [el del
reclamante], nos comunica su deseo de no recibir información de carácter comercial o
publicitario de esta Entidad, así como que sus datos no sean comunicados a otras
entidades o participadas del grupo Bankia o colaboradores, le informamos que hemos
atendido cumplidamente su solicitud y hemos procedido a adoptar las medidas
necesarias para su cumplimiento.” (El subrayado es nuestro)
4. El DPD de la reclamada respondió a la petición informativa de la Subdirección
General de Inspección de Datos, previa a la admisión a trámite de la reclamación, que
“no se ha dirigido al reclamante ninguna comunicación comercial personalizada al
haber ejercitado el mismo su derecho de oposición a recibir este tipo de
comunicaciones.” (El subrayado es nuestro)
5. Respecto a la información comercial enviada al reclamante, el DPD respondió a la
petición informativa de la Subdirección General de Inspección de Datos que “No se
trata, [...] de una comunicación comercial personalizada ni dirigida al reclamante por
su perfil sino de una carátula genérica y común para todos los clientes, [...].”
6. Respecto a la base jurídica de ese tratamiento, el DPD respondió a la petición
informativa hecha por la Subdirección General de Inspección de Datos:
“ha de entenderse que se trata de un envío amparado en el interés legítimo de [¿?] tal
y como se informa en la política de privacidad de la entidad, al estar referido con
carácter general a productos o servicios comercializados por la entidad y similares a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/48
los productos contratados por sus clientes (productos financieros).” (El subrayado es
nuestro)
7.La reclamada ha manifestado en su escrito de alegaciones (folios 11 y 12 del
escrito):
“Como puede comprobarse, [la reclamada] distingue claramente los tratamientos de
datos necesarios para el mantenimiento de la relación contractual que le vincula con el
cliente, entre los que se encuentra la remisión de la documentación relacionada con la
evolución de los productos y servicios contratados (por ejemplo, un extracto de
cuenta, la situación de un producto de ahorro o crédito contratado, etc.), amparado
claramente en el artículo 6.1 b) del RGPD, y el envío de comunicaciones comerciales
de productos o servicios propios o de terceros, amparado, cuando se lleva a cabo por
medios postales en el interés legítimo de la Entidad (artículo 6.1 f) del RGPD).” (El
subrayado es nuestro)
8. La política de privacidad de la reclamada que figura en el documento anexo a las
alegaciones al acuerdo de inicio informa de que los datos personales de los clientes se
tratarán, sin perjuicio de las condiciones especiales que se establezcan en relación
con cada producto contratado por aquéllos, para seis finalidades determinadas y
específicas y, para cada una de ellas, precisa cuál es la base jurídica del tratamiento:
“1. Atender, gestionar y contestar las consultas, preguntas y solicitudes realizadas por
los usuarios a través de los canales de atención o comunicación habilitados por
Bankia (Legitimación del tratamiento: consentimiento del usuario).
2. Mantener, cumplir y controlar la relación contractual y precontractual entre los
usuarios y Bankia (Legitimación del tratamiento: Ejecución de un contrato).
3. Mejorar las páginas o herramientas web propiedad de Bankia, así como sus
productos y servicios, con tal de ofrecer una mejor calidad y servicio al usuario,
desarrollar nuevos productos/servicios o mejorar los procesos internos de la entidad
(Legitimación del tratamiento: Consentimiento del usuario (cookies) e Interés legítimo).
4. Enviar comunicaciones comerciales sobre productos y servicios, propios o de
terceros (Legitimación del tratamiento: Consentimiento del usuario).
5. Realizar estudios con fines estadísticos que puedan ser de interés para Bankia o
terceros (Legitimación del tratamiento: Interés legítimo).
6. Cumplir con las obligaciones legales de Bankia (Legitimación del tratamiento:
Cumplimiento de una obligación legal).” (El subrayado es nuestro)
FUNDAMENTOS DE DERECHO
I
Es competente para resolver este procedimiento la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo dispuesto en el artículo 58.2 del RGPD
y en los artículos 47 y 48.1 de la LOPDGDD.
II
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/48
Por razones de lógica argumental se examinan con carácter previo las cuestiones que
la reclamada ha planteado en sus dos escritos de alegaciones y que son ajenas al
fondo del asunto sobre el que versa el procedimiento sancionador que nos ocupa.
En sus alegaciones a la propuesta de resolución la reclamada, además de manifestar
que “reitera” íntegramente las alegaciones que hizo frente al acuerdo de apertura del
procedimiento, incide de nuevo sobre las cuestiones, ajenas al fondo del asunto, que
ya planteó en su primer escrito de alegaciones.
Esta Agencia reitera, asimismo, lo que manifestó en la propuesta de resolución en
respuesta a los alegatos esgrimidos por la reclamada frente al acuerdo de inicio.
Respuesta que pasamos a reproducir:
<<A juicio de la reclamada el acuerdo de apertura se encuentra viciado de
nulidad por la indefensión que le ha generado el hecho de que la AEPD haya
fijado en él el importe de la sanción, en lugar de expresar solo los límites de la
posible sanción; porque no se han motivado las agravantes y porque a través del
acuerdo de inicio se hace una valoración de la culpabilidad de la reclamada sin
que haya tenido ocasión de pronunciase al respecto. Añade también que el
acuerdo de inicio excede del contenido previsto en el artículo 68 de la
LOPDGDD y que, al haber fijado el órgano decisor el importe de la sanción en el
acuerdo de apertura del procedimiento, se ha visto comprometida la
imparcialidad del órgano instructor, que conoce así, antes de iniciar el
procedimiento, el criterio del órgano al que deberá elevar el expediente, lo que
determina en su opinión una “clara ruptura del principio de separación de la fase
instructora y de sanción”.
Entiende la reclamada que las reglas del artículo 85 de la LPACAP no son
aplicables al presente caso sino a los supuestos en los que la norma
sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que
se ha hecho de este precepto en el acuerdo de inicio no respeta su tenor literal,
según el cual la cuantía de la sanción pecuniaria podrá determinarse “iniciado el
procedimiento sancionador”, por lo que, sostiene la entidad, “se estaría
asimilando” “el acto mismo de iniciación con el hecho de que el procedimiento se
encuentre iniciado”.
Los argumentos que esgrime la reclamada no pueden admitirse.
El acuerdo de apertura se ajusta a lo previsto en el artículo 68 de la LOPDGDD,
conforme al cual bastará con que concrete los hechos que motivan la apertura,
se identifique la persona o entidad contra la que se dirige el procedimiento, la
infracción que hubiera podido cometer y su posible sanción. En idéntico sentido
se expresa el artículo 64.2 de la LPACAP que refiere cuál es el contenido mínimo
del acuerdo de iniciación. Según este precepto, entre otros detalles, deberá
contener “los hechos que motivan la incoación del procedimiento, su posible
calificación jurídica y las sanciones que pudieran corresponder, sin perjuicio de
lo que resulte de la instrucción”. Por ello, en este caso, no solo se cumplen las
exigencias mencionadas en los preceptos citados, sino que se va más allá,
ofreciendo razonamientos que justifican la posible calificación jurídica de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/48
hechos y se mencionan las circunstancias que pueden influir en la determinación
de la sanción.
No puede obviarse que el artículo 85 de la LPACAP - que contempla la
posibilidad de aplicar reducciones sobre el importe de la sanción para el caso de
que el infractor reconozca su responsabilidad y en caso de pago voluntario de la
sanción- obliga a determinar esas reducciones en la notificación del acuerdo de
iniciación del procedimiento, lo que implica, necesariamente, que deba fijarse en
dicho acuerdo el importe de la sanción correspondiente a los hechos imputados.
Extremo que justifica sobradamente que se refieran en él las circunstancias
modificativas de la responsabilidad, pues éstas inciden directamente en la
determinación de la cuantía de la sanción.
En contra de la tesis que defiende la reclamada, el artículo 85 de la LPACAP no
prevé tampoco que la cuantía de la sanción se determine una vez iniciado el
procedimiento. Más al contrario, es el reconocimiento de la responsabilidad y el
pago voluntario de la sanción lo que ha de producirse con posterioridad a ese
momento, pero no la fijación de su cuantía.
Respecto a la opinión de la reclamada según la cual el artículo 85 LPACAP
únicamente podría aplicarse a los supuestos en los que la norma sancionadora
impone una multa de carácter fijo y objetivo y que la aplicación que se ha hecho
de este precepto en el acuerdo de inicio no respeta su tenor literal, se ha de
indicar que la AEPD viene aplicando el artículo 85 LPACAP de igual forma desde
la entrada en vigor de la citada ley sin que la Sala de lo Contencioso
Administrativo de la Audiencia Nacional, ante la que cabe recurso contencioso
administrativo frente a sus resoluciones, se haya pronunciado nunca en línea
con el criterio que esa entidad defiende.
No puede tampoco admitirse que haber indicado en el acuerdo de inicio las
sanciones que pudiesen corresponder a la reclamada por las infracciones
imputadas sea determinante de indefensión o suponga una ruptura del principio
de separación de las fases de instrucción y resolución, pues esta Agencia se
limita a dar cumplimiento con ello a una de las exigencias previstas en las
normas reseñadas. A mayor abundamiento, también los artículos 68 de la
LOPDGDD y 64.2 de la LPACAP exigen como contenido del acuerdo de apertura
que se fije la sanción que pudiera corresponder.
Así pues, la pretendida ruptura “del principio de separación de la fase instructora
y de sanción” que aduce la reclamada -extremo que esta Agencia niega- sería,
de existir, la consecuencia de la correcta aplicación que esta Agencia viene
haciendo de un precepto legal, el artículo 85 de la LPACAP.
Sobre lo manifestado por la reclamada de que, habiendo fijado el acuerdo de
apertura el importe de la sanción y las circunstancias modificativas de la
responsabilidad que podrían apreciarse, ella no ha tenido ocasión de
pronunciarse, nos limitamos a señalar que el procedimiento administrativo se
inicia precisamente con el acuerdo de apertura y es a partir de entonces -no
antes- cuando el artículo 53 de la LPACAP reconoce al interesado una serie de
derechos, entre ellos el previsto en el artículo 53.1.e).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/48
Por último, por lo que concierne al vicio de nulidad del que, a juicio de la
reclamada, adolece el procedimiento como consecuencia de la indefensión que
dice haber sufrido cabe indicar lo siguiente: En primer término, la reclamada no
especifica en qué apartado del artículo 47.1 de la LPACAP funda la nulidad que
invoca.
En segundo término, la invocada nulidad del procedimiento en ningún caso
podría fundarse en el apartado a) del artículo 47.1. de la LPACAP, en conexión
con la supuesta ruptura de la separación entre la fase instructora y la resolutoria
a tenor del artículo 24.2 de la C.E. Esto, porque de acuerdo con las SSTC
74/2004 y 175/2005, el principio consagrado en el artículo 24.2 de la C.E. a tenor
del cual quien instruye no resuelve, no es aplicable al procedimiento
administrativo, de forma que en este ámbito no estamos ante un derecho con
rango constitucional.
Y finalmente, en tercer lugar, para el caso de que se pretenda fundar la nulidad
del procedimiento en el motivo recogido en el apartado e) del artículo 47.1 de la
LPACAP parece conveniente traer a colación la STC 78/1999, de 26 de abril,
que en su Fundamento Jurídico 2, dice:
“Así pues, según reiterada doctrina constitucional que se sintetiza en el
fundamento jurídico 3º de la STC 62/1998, "la estimación de un recurso de
amparo por la existencia de infracciones de las normas procesales 'no resulta
simplemente de la apreciación de la eventual vulneración del derecho por la
existencia de un defecto procesal más o menos grave, sino que es necesario
acreditar la efectiva concurrencia de un estado de indefensión material o real'
(STC 126/1991, fundamento jurídico 5º; STC 290/1993, fundamento jurídico 4º).
Para que pueda estimarse una indefensión con relevancia constitucional, que
sitúa al interesado al margen de toda posibilidad de alegar y defender en el
proceso sus derechos, no basta con una vulneración meramente formal, siendo
necesario que de esa infracción formal se derive un efecto material de
indefensión, un efectivo y real menoscabo del derecho de defensa (STC
149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo
para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y
112/1989, fundamento jurídico 2º)".
En atención a lo expuesto, la petición de la reclamada de que se declare la
nulidad del procedimiento administrativo sancionador que nos ocupa debe ser
rechazada.>>
(El subrayado es nuestro)
A la vista de las alegaciones a la propuesta de resolución que la reclamada ha
presentado es evidente que la respuesta de la AEPD, antes transcrita, no solo no ha
despejado las dudas que le suscita la aplicación que este organismo viene haciendo
del artículo 85 de la LPACAP desde la entrada en vigor de la citada Ley, sino que ha
aprovechado la ocasión para desvirtuar algunos de los argumentos que entonces se
expusieron.
La pretendida nulidad del procedimiento administrativo que la reclamada invoca -que,
según ha tenido a bien precisar en este escrito de alegaciones a la propuesta estaría
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/48
amparada en el apartado a) del artículo 47.1 de la LPACAP- deriva a su juicio de la
aplicación que la AEPD hace del artículo 85 LPACAP, al haber fijado el importe de la
sanción en el acuerdo de apertura.
De la extensa exposición que ha dedicado a las cuestiones ajenas al fondo del asunto
que nos ocupa - alegación primera del escrito de alegaciones a la propuesta, que se
reproduce en lo esencial en el Antecedente décimo de esta resolución- la más
llamativa, y que obliga a hacer las necesarias puntualizaciones, es la atribución a la
AEPD de afirmaciones que nunca ha hecho e igualmente la atribución a esta Agencia
de conclusiones que no cabe extraer de lo manifestado en el escrito de propuesta.
Este modo peculiar de ejercer el legítimo y sagrado derecho de defensa conducen a la
paradójica situación de que la reclamada dedique gran parte de sus esfuerzos
argumentales a rebatir afirmaciones que esta Agencia nunca hizo y a desvirtuar
conclusiones a las que la reclamada llega por su cuenta, pues no cabe derivarlas de
lo expuesto en la propuesta de resolución siempre, claro está, que el lector no tenga
un particular interés en desvirtuar lo que allí está escrito.
La reclamada, tomando como punto de partida el examen que hace la propuesta de
resolución de las consecuencias de fundar la invocada nulidad del procedimiento en
una u otra circunstancia del artículo 47.1 LAPAC -toda vez que la reclamada no
especificó en sus alegaciones al acuerdo de inicio cuál era a su entender el vicio de
nulidad radical que concurría, limitándose a afirmar que el procedimiento estaba
viciado de nulidad- hace los siguientes comentarios que por su importancia merecen
ser reproducidas:
“[...] de lo expuesto se desprende que el legislador no ha apreciado respecto del
procedimiento administrativo sancionador la necesaria separación de las fases de
instrucción y de resolución y la necesaria intervención en las mismas de dos órganos
distintos, sin que ni el órgano sancionador pueda intervenir ni “dirigir”, como ha
sucedido en este caso, la actuación independiente del órgano instructor.
“Y para mayor sorpresa la Propuesta de Resolución no sólo considera que el citado
principio de separación de las fases de instrucción y resolución no es predicable al
procedimiento sancionador, contradiciendo así lo establecido expresamente en la
LPACAP y recordado por reiteradísima jurisprudencia del Tribunal Constitucional (por
todas en la STC 9/2018, de 5 de febrero), sino que además afirma sin ningún reparo
que el principio “a tenor del cual quien instruye no resuelve, no es aplicable al
procedimiento administrativo”, sobre la base de una supuesta jurisprudencia
constitucional que en nada guarda relación con semejante conclusión.” (El subrayado
es nuestro)
A propósito de las SSTC precitadas la reclamada añade: “Sin ánimo de extendernos
en este punto, basta hacer una mera referencia a la jurisprudencia invocada para
determinar sin el más mínimo atisbo de duda, su absoluta irrelevancia:” (El subrayado
es nuestro) “En efecto, la STC 175/2005 que invoca la Propuesta ni siquiera guarda
relación alguna con el derecho fundamental consagrado en el artículo 24 de la
Constitución, sino con el principio de igualdad consagrado en su artículo 14.” “Por su
parte, la STC 74/2004 sí hace referencia al derecho a la tutela judicial efectiva, pero
en cuanto a la no aplicación al procedimiento administrativo del derecho al juez
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/48
ordinario predeterminado por la Ley, lo que tampoco guarda relación alguna con lo
analizado en el presente procedimiento.”
Pues bien, estos alegatos hacen imprescindible reproducir de nuevo, aun a riesgo de
resultar reiterativos, los siguientes fragmentos de la propuesta de resolución:
“Por último, por lo que concierne al vicio de nulidad del que, a juicio de la
reclamada, adolece el procedimiento como consecuencia de la indefensión que
dice haber sufrido cabe indicar lo siguiente: En primer término, la reclamada no
especifica en qué apartado del artículo 47.1 de la LPACAP funda la nulidad que
invoca.
En segundo término, la invocada nulidad del procedimiento en ningún caso
podría fundarse en el apartado a) del artículo 47.1. de la LPACAP, en conexión
con la supuesta ruptura de la separación entre la fase instructora y la resolutoria
a tenor del artículo 24.2 de la C.E. Esto, porque de acuerdo con las SSTC
74/2004 y 175/2005, el principio consagrado en el artículo 24.2 de la C.E. a tenor
del cual quien instruye no resuelve, no es aplicable al procedimiento
administrativo, de forma que en este ámbito no estamos ante un derecho con
rango constitucional.”
Parece evidente que a lo que esta Agencia se refiere en ese párrafo es a que en el
procedimiento administrativo la garantía de la separación entre la fase instructora y
resolutoria no tiene rango constitucional, sino que su rango es el de la legalidad
ordinaria – garantía expresamente recogida en el artículo 63.1 de la LPACAP e
indirectamente en el artículo 53.2.a, de la LPACAP; artículo 134.2 de la derogada Ley
30/1992 y 10.1 del Reglamento de procedimiento de la potestad sancionadora,
también derogado-.
El argumento expuesto era que difícilmente podría ampararse en el apartado a) del
artículo 47.1 de la LPACAP, por vulneración del principio de separación de la fase
instructora y resolutoria, la nulidad del procedimiento invocada de contrario pues “no
estamos ante un derecho con rango constitucional” -recordemos que el apartado a, se
refiere a la vulneración de derechos que sean susceptibles de amparo constitucional- y
no, como gusta dar a entender la reclamada, que no exista esta garantía en el
procedimiento administrativo.
El reconocimiento en el procedimiento administrativo del rango constitucional de este
derecho -implícito en el artículo 24.2 de la CE- es una cuestión debatida en la doctrina
administrativa y sobre la que el Tribunal Constitucional ha ido efectuando importantes
matizaciones en sus sentencias para terminar con un pronunciamiento claro en contra
de que en ese ámbito tal garantía tenga rango constitucional. Nos remitimos a la STC
174/2005, de 4 de julio que se citó en la propuesta de resolución.
Por ello, trasladando la doctrina del Alto Tribunal relativa al derecho fundamental a la
separación de las fases de instrucción y resolutoria y a su aplicación al procedimiento
administrativo sancionador, debemos concluir también ahora, en fase de resolución lo
que se afirmó en la propuesta: que la nulidad del procedimiento que la reclamada
pretende “en ningún caso podría fundarse en el apartado a) del artículo 47.1. de la
LPACAP, en conexión con la supuesta ruptura de la separación entre la fase
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/48
instructora y la resolutoria a tenor del artículo 24.2 de la C.E.”. En otras palabras, no
podría integrar el vicio de nulidad absoluta previsto en el artículo 47.1.a, de la LPACAP.
El artículo 24.2 de la CE que la reclamada entiende vulnerado alude a once derechos
fundamentales que constituyen a su vez un conjunto de garantías procesales. Las
SSTC han ido delimitando cuáles de ellas resultan aplicables y cuáles no al
procedimiento administrativo. Por lo que respecta al principio de separación de la fase
instructora y sancionadora – principio que tiene su origen en que la imparcialidad del
juzgador es incompatible o queda comprometida por su actuación como instructor
(STC 145/1988, de 12 de julio)- el T.C. se ha pronunciado sobre su aplicación al
procedimiento administrativo sancionador en los siguientes términos:
En STC de 15/02/1990 (RTC 1990/22) dice que “Es doctrina reiterada de este Tribunal
que no puede pretenderse que el Instructor en un procedimiento administrativo
sancionador, y menos aún, el órgano llamado a resolver el expediente, goce de las
mismas garantías que los órganos judiciales; porque en este tipo de procedimientos el
Instructor es también acusador en cuanto formula una propuesta de resolución
sancionadora y, por otra parte, el órgano llamado a decidir es el mismo que incoa el
expediente y, por ello, no deja de ser Juez y parte al mismo tiempo.” (El subrayado es
nuestro)
En STC de 26/04/1990 (RTC 1990/76) afirma que “Por la naturaleza misma de los
procedimientos administrativos, en ningún caso puede exigirse una separación entre
instrucción y resolución equivalente a la que respecto de los Jueces ha de darse en
los procesos jurisdiccionales. El derecho al juez ordinario predeterminado por la ley y
a un proceso con todas las garantías -entre ellas, la independencia e imparcialidad
del juzgador- es una garantía característica del proceso judicial que no se extiende al
procedimiento administrativo, ya que la estricta imparcialidad e independencia de los
órganos del poder judicial no es, por esencia, aplicable con igual significado y en la
misma medida a los órganos administrativos.” (El subrayado es nuestro)
En la STC de 17/03/1995 el Alto Tribunal dice lo siguiente:
“En relación con este derecho fundamental a no ser juzgado por quien ha sido
previamente instructor de la causa, tiene declarado este Tribunal que, debido a su
finalidad consiste exclusivamente en evitar, por parte del órgano jurisdiccional
encargado de conocer del juicio oral y de dictar Sentencia de determinados prejuicios
acerca de la culpabilidad del acusado [...] Asimismo, y desde un punto de vista
objetivo, también hemos dicho que, al enmarcarse dentro de las garantías del
proceso penal acusatorio, no es necesariamente extensible a otros procesos de
similar naturaleza como es el caso del procedimiento administrativo sancionador
(STC 22/1990 [RTC 1999, 22]
En cualquier caso, la acumulación de funciones instructoras y sentenciadoras no
pueden examinarse en abstracto, sino que hay que descender a los casos concretos y
comprobar si se ha vulnerado efectivamente la imparcialidad del juzgador (STC
98/1990), debiéndose tener muy en cuenta que no todo acto instructorio compromete
dicha imparcialidad, sino tan solo aquellos que, por asumir el Juez un juicio sobre la
participación del imputado en el hecho punible, puedan producir en su ánimo
determinados prejuicios sobre la culpabilidad del acusado que lo inhabiliten para
conocer de la fase de juicio oral (SSTC 106/1989; 136/1992, 170 y 320 1993)”.
(El subrayado es nuestro)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/48
De la STC 174/2005, de 4 de julio, a la que la AEPD hizo mención en la propuesta de
resolución y sobre la cual la reclamada ha afirmado taxativamente que nada tiene que
ver con esta cuestión previa, reproducimos los siguientes fragmentos:
“1. El objeto del presente recurso de amparo es determinar, por un lado, si en el
procedimiento administrativo sancionador, que ha dado lugar a la imposición de la
sanción a la entidad recurrente, se ha vulnerado su derecho a un proceso con todas
las garantías (art. 24.2 CE), al no haberse respetado la debida separación entre el
órgano de instrucción y el sancionador; [...]
2. La queja relativa a la vulneración del derecho a un proceso con todas las garantías
(art. 24.2 CE), desde la perspectiva de la exigencia de imparcialidad, hay que
entenderla articulada por la vía del art. 43 LOTC, puesto que la entidad recurrente
aduce que se habría producido en el procedimiento administrativo sancionador por no
respetarse la debida separación entre el órgano administrativo de instrucción y el
sancionador, derivada de que el Alcalde del Ayuntamiento fue el instructor del
procedimiento y, además, presidente de la Comisión de Gobierno que le impuso la
sanción.
Al respecto se debe recordar que, si bien este Tribunal ha reiterado que, en principio,
las exigencias derivadas del derecho a un proceso con todas las garantías se aplican
al procedimiento administrativo sancionador, sin embargo, también se ha hecho
especial incidencia en que dicha aplicación debe realizarse con las modulaciones
requeridas en la medida necesaria para preservar los valores esenciales que se
encuentran en la base del art. 24.2 CE y la seguridad jurídica que garantiza el art. 9.3
CE, en tanto sean compatibles con su propia naturaleza (por todas, STC 197/2004, de
15 de noviembre, FJ 2). Más en concreto, y por lo que se refiere específicamente a la
garantía de imparcialidad, se ha señalado que es uno de los supuestos en que resulta
necesario modular su proyección en el procedimiento administrativo sancionador, toda
vez que dicha garantía “no puede predicarse de la Administración sancionadora en el
mismo sentido que respecto de los órganos judiciales” (STC 2/2003, de 16 de enero,
FJ 10), pues, “sin perjuicio de la interdicción de toda arbitrariedad y de la posterior
revisión judicial de la sanción, la estricta imparcialidad e independencia de los órganos
del poder judicial no es, por esencia, predicable en la misma medida de un órgano
administrativo” (STC 14/1999, de 22 de febrero, FJ 4), concluyéndose de ello que la
independencia e imparcialidad del juzgador, como exigencia del derecho a un proceso
con todas las garantías, es una garantía característica del proceso judicial que no se
extiende sin más al procedimiento administrativo sancionador (STC 74/2004, de 22 de
abril, FJ 5).
En atención a ello, el principio del procedimiento sancionador establecido en el art.
134.2 de la Ley 30/1992, de 26 de noviembre, de régimen jurídico de las
Administraciones públicas y del procedimiento administrativo común, conforme al cual
“los procedimientos que regulen el ejercicio de la potestad sancionadora deberán
establecer la debida separación entre la fase instructora y la sancionadora,
encomendándolos a órganos distintos”, es un principio de carácter legal cuya tutela
corresponde a los órganos judiciales a través de los correspondientes recursos, sin
que la exigencia de imparcialidad del órgano administrativo sancionador sea, como
pretende la entidad recurrente, una garantía derivada, con el carácter de derecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/48
fundamental, del art. 24.2 CE, cuyas exigencias, relativas a la imparcialidad judicial,
sólo rigen para el órgano judicial que deba resolver sobre la legalidad de la actuación
administrativa.
De ese modo, la eventual infracción en un procedimiento administrativo sancionador
del principio de que se encomiende a órganos distintos la fase instructora y la
sancionadora carece de relevancia constitucional a los efectos del art. 24.2 CE y, [....]”
(El subrayado es nuestro)
La STC 74/2004 de 22 de abril (F.J. 5) - en la propuesta se indicó, por error, el número
175/2004- declaró lo siguiente:
“5. Se aduce también por el demandante de amparo la infracción del derecho a un
proceso con todas las garantías (art. 24.2 CE) [...] alegando que el mando que impuso
la sanción, que fue quien practicó el trámite de audiencia, había sido denunciado por
el recurrente ante el Director General del cuerpo por la comisión de determinadas
irregularidades.
[...]
De conformidad con nuestra doctrina hemos de recordar que el derecho [...] a un
proceso con todas las garantías -entre ellas, la independencia e imparcialidad del
juzgador- es una garantía característica del proceso judicial que no se extiende al
procedimiento administrativo, ya que la estricta imparcialidad e independencia de los
órganos del poder judicial no es, por esencia, predicable con igual significado y en la
misma medida de los órganos administrativos (SSTC 22/1990, de 15 de febrero, FJ 4,
y 76/1990, de 26 de abril, FJ 8.a; AATC 320/1986, de 9 de abril, FJ 4, y 170/1987, de
11 de febrero, FJ 1). Como ya se expresó en la STC 22/1990, de 15 de febrero (FJ 4),
no es ocioso traer a colación la cautela con la que conviene operar cuando de
trasladar garantías constitucionales extraídas del orden penal al Derecho
administrativo sancionador se trata; esta delicada operación no puede hacerse de
forma automática, porque la aplicación de dichas garantías al procedimiento
administrativo sólo es posible en la medida en que resulten compatibles con su
naturaleza. De este modo en distintas ocasiones el Tribunal Constitucional ha
sostenido que no puede pretenderse que, ni el instructor de un procedimiento
administrativo sancionador, ni menos aún el órgano llamado a resolver el expediente,
goce de las mismas garantías que los órganos judiciales (STC 14/1999, de 22 de
febrero, FJ 4).
En consecuencia, la interpretación y aplicación del régimen de abstención y
recusación de quienes integran los órganos administrativos pertenece al ámbito de la
legalidad ordinaria, sin que pueda utilizarse la vía del recurso de amparo para revisar
la realizada por los Tribunales, en este caso por la jurisdicción militar, ya que el
recurso de amparo no constituye una tercera instancia judicial en la que puedan
debatirse problemas de mera legalidad ordinaria (ATC 170/1987, de 11 de febrero, FJ
2).” (El subrayado es nuestro)
Así pues, a la luz de la exposición precedente, la tantas veces invocada por la
reclamada “clara ruptura del principio de separación de la fase instructora y de
sanción” que habría afectado a la imparcialidad del órgano instructor, con la
consiguiente vulneración de las garantías esenciales del procedimiento amparadas en
la Constitución, “carece de relevancia constitucional a los efectos del art. 24.2 CE.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/48
Por otra parte, cabe subrayar otro aspecto de la invocada garantía que no hace sino
evidenciar aún más la radical inconsistencia de los argumentos que la reclamada
esgrime para sustentar la nulidad del procedimiento.
Tanto si atendemos al origen de esta garantía del procedimiento, reconocida en el
ámbito judicial por el artículo 24.2 de la C.E., como a su posterior desarrollo por el
T.C., su contenido tiene por objeto garantizar la imparcialidad del juzgador; pues lo que
persigue este que esta imparcialidad no se vea afectada por el hecho de haber
actuado previamente como instructor.
Obsérvese que la reclamada lo que viene sosteniendo desde sus primeras
alegaciones es la supuesta contaminación o “dirección” sufrida por el instructor como
consecuencia de que el órgano decisor fijara en el acuerdo de apertura el importe de
la sanción, extremo que nada tiene que ver con el contenido del derecho fundamental
al que nos venimos refiriendo.
En definitiva, incluso aunque no existieran -como existen- pronunciamientos claros del
TC acerca de que el principio de separación de la fase de instrucción y decisión no
tiene en el ámbito del procedimiento administrativo rango constitucional, en ningún
caso podría encajarse esa supuesta “dirección” o “contaminación” del instructor en la
vulneración de un derecho cuyo contenido trata de proteger la imparcialidad del
juzgador evitando su intromisión en actos de instrucción.
Para finalizar el capítulo sobre la pretendida nulidad radical del procedimiento que la
reclamada aduce en su defensa, cabe añadir las consideraciones siguientes.
Una de ellas relativa al derecho fundamental a un juez imparcial garantizado en el
artículo 24.2 de la C.E. La reclamada se ha referido en sus dos escritos de
alegaciones a que la actuación de la AEPD ha determinado que se haya “visto
afectada sustancialmente la imparcialidad del órgano instructor”, razón por la cual
aprovechamos para precisar que esta pretendida afectación de la imparcialidad del
instructor tampoco tiene encaje en ese derecho fundamental que garantiza el artículo
24.2 de la C.E., por lo que tampoco podría fundar en ella la nulidad del procedimiento
al amparo del apartado a) del artículo 47.1 de la LPACAP.
Sobre el derecho a un juez imparcial cabe señalar que, a mayor abundamiento, no es
que no resulte trasladable esta garantía al instructor -que es sobre quien la reclamada
hace pivotar la tan deseada nulidad del procedimiento- sino que ni siquiera se
reconoce este derecho en el marco del procedimiento administrativo. La STC 76/1990,
fundamento jurídico 8, no puede ser más clara:
“El derecho a [...] y a un proceso con todas las garantías -entre ellas, la independencia
e imparcialidad del juzgador- es una garantía característica del proceso judicial que no
se extiende al procedimiento administrativo, ya que la estricta imparcialidad e
independencia de los órganos del poder judicial no es, por esencia, predicable con
igual significado y en la misma medida de los órganos administrativos (SSTC
175/1987 y 22/1990...”. (El subrayado es nuestro)
Por último, respecto al contenido mínimo del acuerdo de apertura previsto en el
artículo 64 de la LPACAP y a la “manifiesta contradicción” en la que, según la entidad,
se habría incurrido al decir que se “va más allá” de ese contenido mínimo, basta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/48
señalar que el artículo 64.2 indica que “deberá contener al menos”, “b) [...] las
sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”.
De manera que, tal y como se expuso en su momento, el acuerdo de apertura de este
procedimiento no sólo cumplió las exigencias del articulo 64.2 LPACAP -fijó los hechos
que motivan la incoación del procedimiento, su posible calificación y las sanciones que
pudieran corresponder- sino que “fue más allá” por cuanto detalló, entre otras cosas,
las circunstancias modificativas de la responsabilidad que en esa fase se apreciaron.
Con ello, ni se otorga “una suerte de beneficio al administrado” ni se “menoscaban”
“los derechos consagrados en el artículo 24 de la Constitución.”, tal y como nos
reprocha la reclamada. Comentario que no deja de ser llamativo si tenemos en cuenta
que uno de los argumentos esgrimidos por la reclamada en sus alegaciones al
acuerdo de apertura fue la deficiente argumentación de las circunstancias
modificativas de la responsabilidad expuestas en el citado acuerdo.
En definitiva, las garantías reconocidas al encartado en el procedimiento administrativo
sancionador y las normas reguladoras del procedimiento se han respetado
escrupulosamente. Los extremos mencionados por la reclamada en sus dos escritos
de alegaciones no entrañan la vulneración de ningún derecho fundamental reconocido
en el artículo 24.2 de la C.E. en el que poder sustentar la concurrencia del motivo de
nulidad radical del artículo 47.1.a) LPACAP.
Respecto a las restantes cuestiones planteadas acerca de la nulidad del
procedimiento, que no son sino reiteración de lo que la reclamada alegó frente al
acuerdo de inicio del expediente, nos remitimos a lo que se expuso en el escrito de
propuesta, que se reproduce al inicio de este Fundamento.
Por cuanto antecede, se rechaza la pretensión de la reclamada de que se declare la
nulidad del procedimiento.
III
El RGPD dedica el artículo 5 a los principios que presiden el tratamiento de los datos
personales y dispone:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y
transparencia>>)
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89,
apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en
interés público, fines de investigación científica e histórica o fines estadísticos no se
considerará incompatible con los fines iniciales («limitación de la finalidad»);
(…)
2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto
en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)”
El artículo 6 del RGPD, “Licitud del tratamiento”, concreta en el apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/48
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
El Considerando 47 del RGPD señala:
“El interés legítimo de un responsable del tratamiento, incluso el de un responsable al
que se puedan comunicar datos personales, o de un tercero, puede constituir una
base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los
derechos y libertades del interesado, teniendo en cuenta las expectativas razonables
de los interesados basadas en su relación con el responsable. Tal interés legítimo
podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el
interesado y el responsable, como en situaciones en las que el interesado es cliente o
está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo
requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma
razonable, en el momento y en el contexto de la recogida de datos personales, que
pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos
fundamentales del interesado podrían prevalecer sobre los intereses del responsable
del tratamiento cuando se proceda al tratamiento de los datos personales en
circunstancias en las que el interesado no espere razonablemente que se realice un
tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base
jurídica para el tratamiento de datos personales por parte de las autoridades públicas,
esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades
públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal
estrictamente necesario para la prevención del fraude constituye también un interés
legítimo del responsable del tratamiento de que se trate. El tratamiento de datos
personales con fines de mercadotecnia directa puede considerarse realizado por
interés legítimo.” (El subrayado es nuestro)
IV
Se atribuye a la reclamada en el presente procedimiento sancionador una infracción
del artículo 6.1.f) del RGPD materializada en haber enviado por correo postal una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/48
comunicación comercial al reclamante, cliente suyo, casi dos años después de que
éste hubiera manifestado que no deseaba recibir comunicaciones comerciales o
publicitarias y de que la reclamada le respondiera que había adoptado las medidas
necesarias para atender su petición.
1. Con carácter general, no obstante el necesario juicio de ponderación que el
responsable del tratamiento deba hacer y “siempre que no prevalezcan los intereses
o los derechos y libertades del interesado”, su interés legítimo puede constituir la base
jurídica del tratamiento de datos personales con fines de mercadotecnia directa
respecto de quienes sean clientes suyos, habida cuenta de que se considera que
existe una expectativa razonable de dichos clientes en recibir publicidad, basada en la
relación comercial que les une con el responsable del tratamiento. Así se infiere del
artículo 6.1.f) del RGPD en conexión con el artículo 21.3 y los Considerandos 47, 69 y
70 del RGPD,
El artículo 21 del RGPD regula el derecho de oposición en los siguientes términos:
“1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos
relacionados con su situación particular, a que datos personales que le conciernan
sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1,
letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones.
El responsable del tratamiento dejará de tratar los datos personales, salvo que
acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los
intereses, los derechos y las libertades del interesado, o para la formulación, el
ejercicio o la defensa de reclamaciones.
2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia
directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de
los datos personales que le conciernan, incluida la elaboración de perfiles en la
medida en que esté relacionada con la citada mercadotecnia.
3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa,
los datos personales dejarán de ser tratados para dichos fines.
4. A más tardar en el momento de la primera comunicación con el interesado, el
derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado
y será presentado claramente y al margen de cualquier otra información.
5. En el contexto de la utilización de servicios de la sociedad de la información, y no
obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su
derecho a oponerse por medios automatizados que apliquen especificaciones
técnicas.
(...)”. (El subrayado es nuestro)
Por otra parte, los Considerandos 69 y 70 del RGPD dicen:
(69) En los casos en que los datos personales puedan ser tratados lícitamente porque
[...] o por motivos de intereses legítimos del responsable o de un tercero, el interesado
debe, sin embargo, tener derecho a oponerse al tratamiento de cualquier dato
personal relativo a su situación particular. Debe ser el responsable el que demuestre
que sus intereses legítimos imperiosos prevalecen sobre los intereses o los derechos
y libertades fundamentales del interesado. (El subrayado es nuestro)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/48
(70) Si los datos personales son tratados con fines de mercadotecnia directa, el
interesado debe tener derecho a oponerse a dicho tratamiento, inclusive a la
elaboración de perfiles en la medida en que esté relacionada con dicha mercadotecnia
directa, ya sea con respecto a un tratamiento inicial o ulterior, y ello en cualquier
momento y sin coste alguno. Dicho derecho debe comunicarse explícitamente al
interesado y presentarse claramente y al margen de cualquier otra información.” (El
subrayado es nuestro)
A propósito del derecho de oposición previsto en el artículo 21.3 del RGPD, se trae a
colación lo expuesto en el documento Wp217 del Grupo de Trabajo del artículo 29,
Dictamen 6/2014, sobre el concepto de interés legítimo del responsable del
tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE. Partiendo de
lo previsto en el artículo 14.b) de la Directiva –“oponerse, previa petición y sin gastos,
al tratamiento de los datos de carácter personal que le conciernan respecto de los
cuales el responsable prevea un tratamiento destinado a la prospección; [...]”- y con la
finalidad de ilustrar en qué casos podría utilizarse una cláusula de exclusión voluntaria
en relación con el artículo 14.a) de la Directiva 95/46/CE, el Dictamen dice lo siguiente:
“Para ilustrar [....] resulta útil el ejemplo de la prospección, en relación con la cual
ha existido tradicionalmente una disposición de exclusión voluntaria específica
incluida en el artículo 14, letra b), de la Directiva. Con el fin de hacer frente a los
nuevos avances tecnológicos, esta disposición se ha complementado después
mediante disposiciones específicas en la Directiva sobre intimidad y
comunicaciones electrónicas.
En virtud del artículo 13 de la Directiva sobre intimidad y comunicaciones
electrónicas, para determinados tipos, más intrusivos, de actividades de
prospección (como la comercialización mediante correo electrónico y los
sistemas de llamada automática) el consentimiento es la norma. Como
excepción, en relaciones ya existentes con clientes en las que el responsable del
tratamiento publicita sus propios productos o servicios «similares», es suficiente
ofrecer una posibilidad (incondicional) de «exclusión voluntaria» sin justificación.
La evolución de la tecnología ha exigido soluciones similares, relativamente
sencillas y que siguen una lógica parecida, para las nuevas prácticas de
mercadotecnia.
En primer lugar, ha evolucionado la manera en la que se entrega el material de
comercialización: en vez de sencillos correos electrónicos que llegan a los
buzones de correo, en la actualidad aparece en las pantallas de los teléfonos
inteligentes y de los ordenadores publicidad dirigida basada en el
comportamiento. En un futuro próximo, la publicidad podrá también estar incluida
en dispositivos inteligentes conectados a la Internet de los objetos.
En segundo lugar, la publicidad está orientada de manera cada vez más
específica: en vez de basarse en perfiles sencillos de cliente, con más
frecuencia se hace un seguimiento de las actividades de los consumidores y los
datos se almacenan en línea y fuera de línea, y se analizan con métodos
automatizados más sofisticados.
Como resultado de esta evolución, el objeto de la prueba de sopesamiento ha
variado: la cuestión no es ya el derecho de libertad de expresión comercial, sino
principalmente el interés económico de las organizaciones empresariales en
conocer a sus clientes haciendo un seguimiento y supervisando sus actividades
en línea y fuera de línea, que deberá ponderarse en relación con los derechos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/48
(fundamentales) a la intimidad y a la protección de los datos personales de estas
personas y su interés en no ser indebidamente supervisadas.
Este cambio en los modelos comerciales dominantes y el aumento del valor de
los datos personales como activo para las organizaciones empresariales explica
el reciente requisito de consentimiento en este contexto, de conformidad con el
artículo 5, apartado 3, y con el artículo 13 de la Directiva sobre intimidad y
comunicaciones electrónicas.
Existen, por tanto, diferentes normas específicas que dependen de la forma de
comercialización, a saber:
- el derecho incondicional de oposición a la prospección (concebido en el
contexto del correo postal tradicional para la comercialización de productos
similares) en virtud del artículo 14, letra b), de la Directiva; el artículo 7, letra f),
podría ser el fundamento jurídico en ese caso;
- el requisito del consentimiento en virtud del artículo 13 de la Directiva sobre
intimidad y comunicaciones electrónicas para sistemas de llamada automática,
comercialización mediante correo electrónico, fax y mensajes de texto (sujeto a
excepciones) y la aplicación de facto del artículo 7, letra a), de la Directiva de
protección de datos.
- el requisito del consentimiento en virtud del artículo 5, apartado 3, de la
Directiva sobre intimidad y comunicaciones electrónicas (y el artículo 7, letra a),
de la Directiva de protección de datos) en el caso de publicidad comportamental
basada en técnicas de seguimiento tales como cookies que almacenan
información en el terminal del usuario.” (El subrayado es nuestro)
2. Sentado lo anterior, es preciso referirse a la comunicación publicitaria sobre sus
hipotecas que la reclamada hizo llegar al reclamante por correo postal y a la
determinación de su naturaleza, pues sobre ella se han suscitado discrepancias.
La reclamada plantea que la comunicación comercial enviada al reclamante no
constituye un supuesto de marketing directo. En segundo lugar, la reclamada niega
que, incluso en la hipótesis de admitir que esa comunicación comercial pueda
calificarse como marketing directo, hubiera existido un tratamiento “con fines” de
mercadotecnia directa y sostiene que sólo existió un tratamiento con una finalidad
específica, la de facilitar al reclamante información de sus productos, tratamiento que
está amparado en el artículo 6.1.b) del RGPD. Añade que no ha existido ningún
“tratamiento de datos” “adicional” que pudiera encuadrarse en la definición de
tratamiento que recoge el artículo 4 del RGPD y que, incluso de haber existido tal
tratamiento esta Agencia no tiene forma de probar que “su finalidad” era la de
marketing directo.
La posición defendida por la reclamada a través de su DPD primero y sus escritos de
alegaciones al acuerdo de apertura y de propuesta después es la siguiente:
El DPD consideró, a propósito de la publicidad comercial impresa en el documento
enviado al reclamante que no era una “comunicación comercial personalizada”, y que
no se dirigió al reclamante por su perfil. Para el DPD la comunicación recibida por el
reclamante era, sólo, “una carátula genérica y común para todos los clientes, similar a
los carteles que se encuentran expuestos en las oficinas o sus fachadas, y general
para todos los clientes que reciben su correspondencia físicamente en formato papel.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/48
En sus alegaciones al acuerdo de inicio, la reclamada afirma que la Agencia ha
incurrido en un error al confundir la “existencia de publicidad de [la reclamada] en la
carátula incluida en el sobre que dirige al reclamante” con “la realización de un
tratamiento con fines de marketing directo”. Idea que reitera cuando dice que la AEPD
confunde el “marketing directo” con “el tratamiento de datos con fines de marketing
directo”, “siendo así que se trata de dos realidades completamente diferenciadas” O
que “La AEPD incurre en una evidente contradicción al confundir [...] la existencia de
publicidad con la realización de un tratamiento de datos con esa finalidad”.
Añade también en esas alegaciones que “la remisión de dicho sobre con la publicidad
inserta” no es el “resultado de un tratamiento de datos con finalidades publicitarias.
Del mismo modo, no sería posible considerar que nos encontraríamos ante un
tratamiento de datos con tales fines en caso de que en la carátula del sobre
únicamente hubiera aparecido el nombre comercial de mi representada, aun cuando la
AEPD, forzando el concepto contenido en el Acuerdo de Inicio pudiera llegar a
considerar la mera representación de ese logotipo como publicidad.”
Expone además: “Es decir, [la reclamada] no realizó tratamiento alguno de los datos
del interesado con la finalidad de remitirle información acerca de sus productos, sino
únicamente con la de facilitarle la información relacionada con los contratados por
aquél, sin que el hecho de que la carátula del sobre en que se remitía la información
implique tratamiento alguno de sus datos con la finalidad pretendida por la AEPD.Y es
que, en este sentido, no niega [la reclamada] que la información incluida en la carátula
pueda ser considerada publicidad a los efectos previstos en las normas que menciona
el Acuerdo de Inicio, lo que no puede considerarse es que el hecho de que esa
información se incluya en la carátula implique un tratamiento de datos con fines de
marketing directo, que es lo que se imputa a mi mandante.” (Folio 12 del escrito de
alegaciones)
(El subrayado es nuestro)
En las alegaciones a la propuesta de resolución la reclamada ha manifestado lo
siguiente:
“el hecho de que la carátula del sobre en que se produce la citada remisión incorpore
información referida a productos comercializados por la entidad, sin haber llevado a
cabo actividad de tratamiento vinculada a la determinación del contenido de dicho
documento no puede en ningún caso implicar la existencia de un tratamiento
específico encaminado a la realización de actuaciones de mercadotecnia directa, sino
la mera adopción de una decisión empresarial acerca del formato de los sobres
dirigidos a los clientes de la entidad”. (El subrayado es nuestro)
Insiste en que la propuesta considera que, el mero hecho de que la carátula contenga
la información sobre el citado producto es suficiente para apreciar la existencia de “un
envío personalizado” al reclamante “con la finalidad de fomentar la adquisición del
mencionado producto de la entidad”; aunque “[...] no haya supuesto realización de una
previa actuación por parte de Bankia para la determinación de si dicha publicidad
puede o no corresponderse con las preferencias del interesado”.
Expone igualmente que la “propuesta considera” que, el hecho de haberle remitido la
carta al reclamante, en la que constan los datos de contacto a los que se dirige
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/48
“implica la realización de dos tratamientos de datos personales: uno relacionado con el
desarrollo de la relación contractual y el otro derivado del puro y simple hecho de que
la carátula del sobre incorpora la citada información”. Y como contrapunto expone cuál
es su posición: que existió y efectuó “un único tratamiento de datos y con la única y
exclusiva finalidad de remitir al reclamante los extractos de los productos contratados,
tratamiento amparado por tanto en el artículo 6.1.b, del RGPD.”
Pues bien, habida cuenta de que en sus alegaciones a la propuesta la reclamada
niega que se hubiera efectuado una actividad previa “para la determinación de si dicha
publicidad puede o no corresponderse con las preferencias del interesado”
-comentario semejante a la negativa expresada por el DPD en su respuesta a que se
hubiera enviado al reclamante publicidad personalizada- y de que ambos casos
parecen referirse a la inexistencia de un perfilado de datos, la primera puntualización
que ha de hacerse es que, como ya se advirtió en la propuesta de resolución, esta
Agencia nunca ha sostenido, ni de forma directa ni indirectamente, que la
comunicación comercial que la reclamada envió al reclamante implicara o fuera fruto
de un perfilado de datos previo. De haber existido perfilado de datos -definido en el
artículo 4.4 del RGPD- la base jurídica del tratamiento no sería el artículo 6.1.f) del
RGPD, sino que sería preciso contar con el consentimiento expreso del titular de los
datos.
Adelantamos ya que, cosa distinta del perfilado de datos es que en la actividad de
mercadotecnia se hubiera seleccionado a un grupo entre el público objetivo
potencialmente destinatario de la publicidad: el integrado por los clientes de la entidad
financiera. Aspecto sobre el que no cabe plantear duda alguna pues la reclamada ha
insistido en múltiples ocasiones que el contenido de la comunicación relativa a las
hipotecas se incluyó en la carátula del sobre utilizada para todos sus clientes con
ocasión de facilitarles la información sobre los productos contratados, tratamiento este
último que se ampara en el artículo 6.1.b) del RGPD.
(i) La reclamada niega que la comunicación comercial enviada al reclamante pueda
calificarse de marketing directo.
La Ley 34/1988, de 11 de noviembre, General de Publicidad (LGP) define la
publicidad como “toda forma de comunicación realizada por una persona física o
jurídica, pública o privada, en el ejercicio de una actividad comercial, industrial,
artesanal o profesional, con el fin de promover de forma directa o indirecta la
contratación de bienes muebles o inmuebles, servicios, derechos y obligaciones”
(artículo 2).
Por su parte, la Orden EHA/1718/2010, de 11 de junio, de regulación y control de la
publicidad de los servicios y productos bancarios -vigente cuando acontecieron los
hechos que nos ocupan- dispuso en el artículo 2, apartado 1 que, a los efectos de lo
establecido en esta orden, “se considera actividad publicitaria toda forma de
comunicación por la que se ofrezcan productos o servicios bancarios, o se divulgue
información sobre ellos, cualquiera que sea el medio de difusión que se utilice: prensa,
radio, televisión, correo electrónico, Internet u otros medios electrónicos, carteles
interiores o exteriores, vallas, octavillas, circulares y cartas que formen parte de una
campaña de difusión, llamadas telefónicas, visitas a domicilio o cualquier otro sistema
de divulgación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/48
Asimismo, se considerarán actividades publicitarias aquellas comunicaciones
destinadas a llamar la atención del público sobre servicios de gestión o de otro tipo,
que presten las entidades con carácter adicional o en relación con otros productos o
servicios bancarios, que no tengan la condición de servicios de inversión.
2. No se consideran actividades publicitarias y, por tanto, quedan excluidas de esta
orden:
a) Las campañas publicitarias corporativas, entendiendo por tales las que contienen
exclusivamente información genérica sobre una entidad o su objeto social que estén
destinadas a darse a conocer al público.
b) Aquellos contenidos informativos que figuren en las páginas propias de la entidad
en Internet, o en otro medio de difusión, que resulten necesarios para llevar a cabo la
contratación de una operación.
c) Las informaciones que sobre las características específicas de las operaciones
figuren en las páginas operativas de la entidad en Internet en las cuales se lleven a
cabo.” (El subrayado es nuestro)
La publicidad es un instrumento del que se vale el marketing. Por ello, la publicidad
siempre es marketing, pero el marketing no siempre es publicidad. El marketing
estudia y planifica y la publicidad actúa en consecuencia. El marketing se centra en
crear una imagen concreta para la empresa y en entender el mercado y los
potenciales clientes.
Respecto al marketing directo Philip Kotler -considerado el padre del marketing
moderno- lo define en su libro ‘Fundamentos de Marketing’, como “las conexiones
directas con consumidores individuales seleccionados cuidadosamente para obtener
una respuesta inmediata y cultivar relaciones duraderas con los clientes”.
A diferencia de la publicidad masiva que se envía a todo tipo de consumidores, el
marketing directo es idealmente para aquellos de los que se cree (basándose en la
información recopilada sobre ellos) que tienen un interés por uno de los productos o
servicios de que se ofrecen. Entre las ventajas que se atribuyen al marketing directo
se encuentra que el mensaje es personal, haciendo que el cliente sienta que es solo
para él o ella; que es posible hacer una mejor segmentación y es más rentable porque
se intenta vender a los individuos que ya han sido identificados como potenciales
compradores.
La American Direct Marketing Association y de la European Direct Marketing
Association definen el marketing directo como “un sistema interactivo de marketing
que utiliza uno o más medios publicitarios para conseguir una respuesta medible y/o
una transacción en un punto determinado. Este concepto abarca todos aquellos
medios de comunicación destinados a crear una relación interactiva con un detallista
individual, una empresa, cliente, consumidor final o un contribuyente a una causa
determinada.”
En opinión de esta Agencia la comunicación comercial que el reclamante recibió de la
reclamada y que ha dado origen al presente procedimiento sancionador constituye un
ejemplo de marketing directo. La comunicación comercial se envió al reclamante por
su condición de cliente de la entidad, así como a todos los clientes -tal y como la
reclamada ha venido afirmando desde el inicio-, por lo que se encuadraría en una
actividad de marketing directo de la entidad financiera. No estamos tampoco ante una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/48
comunicación comercial de tipo masivo en la que el destinatario no hubiera sido
individualizado.
La particularidad que presenta en este caso la información comercial enviada al
reclamante y al resto de clientes de la reclamada es que no fue incluida en un
documento independiente, sino que se incluyó -lo que resulta indudablemente más
económico- en el mismo soporte documental sobre el que figuran los datos
identificativos del destinatario del envío postal, pues el sobre empleado era de los
denominados de ventanilla en el que los datos del destinatario se encuentran impresos
dentro del él. El documento que sirvió de soporte simultáneamente a la información
comercial y a los datos del destinatario de la carta -al que se refiere la reclamada
como “carátula del sobre”- se describe en el Hecho probado 2 de la resolución, al que
nos remitimos. La comunicación comercial en este caso informaba de las
características principales del producto que comercializaba la entidad e invitaba al
cliente, para recabar más información, a consultar el sitio web o a acudir a su oficina
bancaria.
Es irrelevante a los efectos de que la comunicación publicitaria enviada sea
considerada marketing directo que se hubiera impreso en el mismo documento que
servía de soporte a los datos del destinatario de la carta o carátula del sobre. Lo
relevante es que la reclamada dirigió la información comercial a un cliente suyo, pues
se incluyó en el sobre con otro tipo de información enviada al reclamante en tanto era
cliente; que se utilizó para todos los clientes de la entidad y que se dirigió, en el caso
del reclamante y en el del resto de los clientes, a personas que estaban perfectamente
individualizadas e identificadas.
Como se dijo en su momento es una comunicación personalizada; no en el sentido
que parece haberlo usado el DPD de la entidad, vinculado con el perfilado de los datos
-cuestión a la que ya hemos hecho referencia en párrafos anteriores- sino porque se
incluyó en un sobre que iba dirigido al reclamante identificándole de manera
inequívoca por sus datos personales.
(ii) La reclamada niega que los datos personales del reclamante hubieran sido tratados
con una finalidad de marketing directo.
La comunicación comercial sobre las hipotecas que se envió al reclamante por su
condición de cliente de la entidad -ya que, como la reclamada ha afirmado
insistentemente, la utilizó sin discriminación alguna para todos sus clientes-,y que para
esta Agencia constituye un ejemplo de la actividad de marketing directo de la
reclamada, se incluyó en un sobre dirigido al reclamante (a su nombre y a su domicilio)
junto con la información relativa a los productos financieros que tenía contratados con
ella.
Se estima, por tanto, como se expuso en la propuesta de resolución, que los datos
personales del reclamante se trataron con una doble finalidad: Por una parte, la
reclamada trató los datos del reclamante con la finalidad de facilitarle información
referente a los servicios contratados. La base jurídica del tratamiento realizado con tal
fin es el artículo 6.1.b. RGPD, al ser ese tratamiento necesario para la ejecución del
contrato que vinculaba al reclamante y a la reclamada. Además, los datos del
reclamante fueron objeto de tratamiento con una finalidad distinta de la anterior:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/48
hacerle llegar publicidad sobre sus hipotecas. La publicidad envidada a los clientes de
la entidad por esta vía -impresa en la carátula del sobre- no es como pretende la
reclamada fruto casi del azar toda vez que al tiempo que admite que es una
comunicación publicitaria niega que responda a una finalidad específica de marketing.
En el supuesto examinado, el tratamiento de los datos del reclamante perseguía,
además de la finalidad originaria, relacionada con el motivo de la recogida de los datos
-la celebración de un contrato entre reclamada y reclamante- una finalidad distinta de
aquella. Cuál sea esa finalidad resulta evidente a tenor del contenido de la
comunicación publicitaria y de la circunstancia de que la reclamada ha reconocido en
todo momento que esa misma comunicación se incluía en la carátula del sobre que se
enviaba a todos sus clientes. Esta finalidad ulterior -de marketing directo- del
tratamiento de los datos del reclamante exige una base jurídica específica que legitime
el tratamiento que es distinta de la referida en el artículo 6.1.b) del RGPD.
Llegados a este punto parece aconsejable reproducir lo manifestado por la reclamada
en sus alegaciones al acuerdo de inicio sobre “cuál era la interpretación que había de
darse al concepto de tratamiento y al de finalidad, conforme a los criterios sustentados
por el Grupo de Trabajo del artículo 29 y ratificados por el Comité Europeo de
Protección de Datos.”:
[...] debe recordarse que si bien el extinto Grupo de Trabajo del artículo 29 (en
adelante, “GT29”) ni el Comité Europeo de Protección de Datos (en adelante,
por sus siglas en inglés, “EDPB”) no han analizado en ningún documento la
noción jurídica de “Finalidad” desde el punto de vista de la aplicación de la
normativa de protección de datos, sí han tenido la ocasión de referirse a este
concepto en algunos de sus dictámenes y documentos.
Así, en su Dictamen 03/2013 sobre la limitación de finalidad, adoptado el 2 de
abril de 2013 (en adelante, el “Documento WP203”) equipara los conceptos de
finalidad y objetivo del tratamiento (“purpose” y “aim” en la versión inglesa, única
disponible del mismo). Así, en su apartado II.2.1 señala el WP29 que “El artículo
6. 1 b) de la Directiva exige que los datos personales solo se recopilen con fines
"específicos, explícitos y legítimos". Los datos se recopilan para determinados
objetivos; estos objetivos son la "razón de ser" de las operaciones de
tratamiento”. De ello se desprende que debe entenderse por finalidad el
“objetivo” o “razón de ser” del tratamiento. Por este motivo, continua el
mencionado dictamen, “[c]omo requisito previo para otros requisitos de calidad
de los datos, la especificación de la finalidad determinará los datos relevantes
que se recogerán, los períodos de conservación y todos los demás aspectos
clave de cómo se tratarán los datos personales para los fines elegidos”.
Por su parte, el GT29 también señaló en el apartado III.3.1. de su Dictamen
06/2014 [...] (en adelante, el “Documento WP217”), que “[e]n términos de
protección de datos, finalidad es la razón específica por la que se tratan los
datos: el objetivo o la intención del tratamiento de los datos”.
Y es que, como también indica el Documento WP103 al inicio de su apartado II.2
“[l]a especificación de la finalidad es una condición esencial para el tratamiento
de datos personales y un requisito previo para aplicar otros requisitos de calidad
de datos. La especificación de la finalidad y el concepto de uso compatible
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/48
contribuyen a la transparencia, la seguridad jurídica y la previsibilidad; su
objetivo es proteger al interesado al establecer límites sobre cómo los
responsables pueden usar sus datos y reforzar la lealtad en el tratamiento”.
Pues bien, aplicando la delimitación del concepto de “finalidad” deducida de los
mencionados documentos del GT29, mi mandante considera, frente a lo
invocado por la AEPD en su Acuerdo de Inicio, que la misma no ha llevado a
cabo un tratamiento de datos del Reclamante cuya “razón de ser”, “objetivo” o
“intención última” consista en la realización de actividades de marketing directo.”
Las citas textuales obtenidas de los documentos del GT29 a los que alude la
reclamada son perfectamente acordes con la tesis de esta AEPD. No podría ser de
otro modo pues el RGPD prevé con total claridad en su artículo 5.1.b), a sensu
contrario, -precepto casi idéntico al artículo 6.1.b) de la Directiva 95/46/CE- que los
datos personales puedan tratarse con fines distintos de los fines “determinados,
explícitos y legítimos” para los que se recogieron, siempre que ese tratamiento ulterior
no sea incompatible con el tratamiento originario. A tal efecto, el artículo 6.4 del RGPD
ofrece una serie de criterios a tomar en consideración para determinar si el
tratamiento con otro fin es compatible con el fin para el que los datos se recogieron
inicialmente.
El artículo 6.4 del RGPD, dispone:
“4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización.”
3. El tratamiento de los datos personales del reclamante efectuado con una finalidad
específica de marketing directo, distinta de la finalidad del tratamiento inicial que
determinó la recogida de los datos, ha de fundarse en una base jurídica específica.
Tal y como se ha expuesto, cuando la finalidad del tratamiento ulterior sean las
comunicaciones con fines de marketing directo dirigidas a quien mantiene una relación
con el responsable del tratamiento, como una relación contractual previa, que genere
una expectativa razonable en el interesado del uso posterior de sus datos con esa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/48
finalidad, la base jurídica del tratamiento pude ser la circunstancia descrita en el
artículo 6.1.f) del RGPD.
En este sentido conviene recordar que tanto el DPD, en su respuesta informativa a la
Subdirección de Inspección de Datos, previa a la admisión a trámite de la reclamación,
como el representante de la reclamada en sus alegaciones al acuerdo de inicio, han
manifestado que la base jurídica del tratamiento de los datos personales de los
clientes que la entidad lleva a cabo con fines comerciales es el interés legítimo que
aquélla ostenta conforme al artículo 6.1.f RGPD.
El DPD de la reclamada, en su respuesta a la solicitud informativa de la Subdirección
de Inspección, declaró que la base jurídica del tratamiento de los datos del reclamante
con fines comerciales era el interés legítimo (artículo 6.1.f. RGPD) Manifestó entonces:
“Y por tanto, ha de entenderse que se trata de un envío amparado en el interés
legítimo de [¿?] tal y como se informa en la política de privacidad de la entidad, al
estar referido con carácter general a productos o servicios comercializados por la
entidad y similares a los productos contratados por sus clientes (productos
financieros).”
(El subrayado es de la AEPD)
Por su parte, la reclamada, en el trámite de alegaciones al acuerdo de inicio, aportó un
documento de política de privacidad que indicaba que los datos personales de los
clientes se tratarían, sin perjuicio de las condiciones especiales que se establecieran
en relación con cada producto contratado por aquéllos, para seis finalidades
determinadas y en el que se especificaba, respecto de cada una de esas finalidades
de tratamiento, cuál era su correlativa base jurídica. Los puntos 3 y 4 dicen lo
siguiente:
“3. Mejorar las páginas o herramientas web propiedad de Bankia, así como sus
productos y servicios, con tal de ofrecer una mejor calidad y servicio al usuario,
desarrollar nuevos productos/servicios o mejorar los procesos internos de la entidad
(Legitimación del tratamiento: Consentimiento del usuario (cookies) e Interés legítimo).
4. Enviar comunicaciones comerciales sobre productos y servicios, propios o de
terceros (Legitimación del tratamiento: Consentimiento del usuario).” (El subrayado es
nuestro)
Como puede apreciarse, el punto 4 del documento de política de privacidad de la
entidad indica que la base jurídica del tratamiento, cuando la finalidad sea “enviar
comunicaciones comerciales sobre productos y servicios, propios o de terceros” -sin
hacer ninguna precisión adicional que acote la categoría muy general de las
comunicaciones comerciales- es el consentimiento. Y en el apartado 3 dice que el
interés legítimo opera como fundamento del tratamiento -con la excepción de las
cookies, cuyo fundamento es el consentimiento- consistente en “mejorar las páginas o
herramientas web propiedad de Bankia, así como sus productos y servicios, con tal de
ofrecer una mejor calidad y servicio al usuario, desarrollar nuevos productos/servicios
o mejorar los procesos internos de la entidad”.
La aparente contradicción entre lo manifestado por el DPD en su respuesta a la
petición de información -que adujo que el fundamento jurídico del tratamiento de los
datos de los clientes con fines comerciales era el interés legítimo- y el punto 4 del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/48
documento de política de privacidad aportado por la reclamada, la resuelve la propia
reclamada que viene a manifestar en sus alegaciones al acuerdo de inicio, con total
rotundidad, que está amparado en el interés legítimo de la entidad (artículo 6.1.f) del
RGPD) “el envío de comunicaciones comerciales de productos o servicios propios o
de terceros, [...], cuando se lleva a cabo por medios postales...” (El subrayado es
nuestro)
Pues bien, como se ha expuesto, para esta Agencia, la comunicación comercial que el
reclamante recibió de la reclamada y que ha dado origen al presente procedimiento
sancionador constituye un ejemplo de marketing directo. En el presente caso, el
tratamiento efectuado por la reclamada, en principio, puesto que evidentemente no
existe consentimiento del interesado, únicamente podría ampararse en la concurrencia
de la circunstancia del artículo 6.1.f) del RGPD.
Sin embargo, ha quedado acreditado en el expediente que el reclamante, cliente de la
reclamada, se dirigió a ella en fecha 04/11/2018 a través del cauce habilitado para tal
fin y le comunicó su deseo de no recibir información comercial o comunicaciones
publicitarias (Hecho probado 3) Igualmente, queda acreditado en el expediente que la
reclamada respondió al reclamante en escrito de fecha 21/11/2018 que había atendido
“cumplidamente” su solicitud de no recibir información de carácter comercial o
publicitario de la entidad. (Hecho probado 3)
Paralelamente, consta acreditado que casi dos años después, el 11/02/2020, el
reclamante recibió a través del correo postal una carta de la reclamada con la que le
remitía, además de información sobre los productos que tenía contratados con ella -en
cumplimiento de las obligaciones dimanantes del vínculo contractual existente entre
ambos- información de carácter comercial sobre las hipotecas que comercializa. Esta
información comercial estaba, por tanto, incluida dentro del sobre dirigido
personalmente al reclamante; a su nombre y apellidos y a su domicilio.
Así pues, a raíz de la respuesta al reclamante de 21/11/2018, y conforme al artículo
21.3 del RGPD, la reclamada carecía de legitimación para tratar los datos personales
del reclamante con fines de marketing directo.
En definitiva, el tratamiento de los datos personales del reclamante efectuado por la
reclamada en fecha posterior, febrero de 2020, con fines de marketing directo, no
podía fundarse en la circunstancia del artículo 6.1.f del RGPD.
4. En materia sancionadora rige en nuestro Derecho el principio de culpabilidad. La
presencia del elemento subjetivo como condición esencial para exigir responsabilidad
sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC
76/1999, en la que afirma que las sanciones administrativas participan de la misma
naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del
Estado, y que, como exigencia derivada de los principios de seguridad jurídica y
legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su
existencia para imponerlas.
A su vez, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público
dispone en el artículo 28.1: “Sólo podrán ser sancionadas por hechos constitutivos de
infracción administrativa las personas físicas y jurídicas, [...], que resulten
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/48
responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la
responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo
suficiente en este último caso la mera inobservancia del deber de cuidado.
Si se toma en consideración que la reclamada no ha podido calificar adecuadamente,
como un supuesto de marketing directo, el tratamiento que ha efectuado con esa
finalidad de los datos de sus clientes, con la consecuencia de no haber respetado el
derecho de oposición ejercido por el reclamado, la falta de diligencia demostrada es
muy grave.
A propósito del grado de diligencia que el responsable del tratamiento está obligado a
desplegar en el cumplimiento de las obligaciones que le impone la normativa de
protección de datos, la SAN de 17/10/2007 (rec. 63/2006), después de referirse a que
las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento
de datos de clientes y terceros han de observar un adecuado nivel de diligencia,
precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que,
en el caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado
es de la AEPD)
Especialmente significativa es también la SAN de 29/04/2010 que en su Fundamento
Jurídico sexto indicó: “La cuestión no es dilucidar si la recurrente trató los datos de
carácter personal de la denunciante sin su consentimiento, como si empleó o no una
diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió
el contrato”.
En atención a lo expuesto, el tratamiento efectuado por la reclamada de los datos del
reclamante con una finalidad de marketing directo vulneró el principio de licitud en
relación con el artículo 6.1.f) del RGPD, infracción subsumible en el tipo sancionador
del artículo 83.5 RGPD, que señala:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose
de una empresa, de una cuantía equivalente al 4% como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
A su vez, la LOPDGDD en su artículo 72.1.b), a efectos de prescripción, califica de
infracción muy grave “El tratamiento de datos personales sin que concurra alguna de
las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento
(UE) 2016/679.”
V
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/48
El artículo 58 del RGPD, bajo la rúbrica “Poderes”, establece en su apartado 2 que
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
a) dirigir a todo responsable o encargado del tratamiento una advertencia cuando las
operaciones de tratamiento previstas puedan infringir lo dispuesto en el presente Re-
glamento;
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
c)ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de
ejercicio de los derechos del interesado en virtud del presente Reglamento;
d)ordenar al responsable o encargado del tratamiento que las operaciones de trata-
miento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de
una determinada manera y dentro de un plazo especificado;
e) ordenar al responsable del tratamiento que comunique al interesado las violaciones
de la seguridad de los datos personales;
f) imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición;
g) ordenar la rectificación o supresión de datos personales o la limitación de tratamien-
to con arreglo a los artículos 16, 17 y 18 y la notificación de dichas medidas a los des-
tinatarios a quienes se hayan comunicado datos personales con arreglo a al artículo
17, apartado 2, y al artículo 19;
h) retirar una certificación u ordenar al organismo de certificación que retire una certifi-
cación emitida con arreglo a los artículos 42 y 43, u ordenar al organismo de certifica-
ción que no se emita una certificación si no se cumplen o dejan de cumplirse los requi-
sitos para la certificación;
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;
j) ordenar la suspensión de los flujos de datos hacia un destinatario situado en un ter-
cer país o hacia una organización internacional.” (El subrayado es de la AEPD)
1. Sustitución de la sanción de multa por un apercibimiento.
La reclamada ha solicitado en sus dos escritos de alegaciones que, en sustitución de
la multa administrativa prevista en el acuerdo de inicio, la AEPD le dirija un
apercibimiento y, subsidiariamente, que se reduzca el importe de la sanción de multa
fijada en el acuerdo de apertura en 50.000 euros. Sobre la primera de sus
pretensiones nos remitimos al Considerando 148 del RGPD.
La reclamada ha criticado en el trámite de audiencia que la respuesta de la AEPD a su
pretensión se haya limitado a transcribir el Considerando 148 del RGPD pues dice que
ese considerando valora únicamente dos elementos: que la multa que pudiera
imponerse constituya una carga desproporcionada para la persona física – elemento
que no resulta aplicable al caso- o que la infracción sea leve. Afirma que en el
presente supuesto la infracción es leve; indica que la levedad a la que el RGPD se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/48
refiere nada tiene que ver con la clasificación que la LOPDGDD hace de las
infracciones en leves, graves y muy graves y que cuando el Considerando 148 alude a
la gravedad o levedad de la sanción se refiere a los supuestos en los que se ha
producido o no un compromiso particularmente relevante para el derecho fundamental
a la protección de datos.
En defensa de su postura la reclamada menciona el documento WP253 del Grupo de
Trabajo del artículo 29, “Directrices sobre la aplicación y fijación de multas
administrativas a efectos del Reglamento 2016/679” del que transcribe este fragmento:
“En el considerando 148 se presenta la noción de «infracciones leves». Dichas
infracciones pueden constituir violaciones de una o varias disposiciones del
Reglamento citadas en el artículo 83, apartados 4 o 5. No obstante, la
evaluación de los criterios previstos en el artículo 83, apartado 2, puede dar
lugar a que la autoridad de control estime, por ejemplo, que en las circunstancias
concretas del caso la violación no entraña un riesgo importante para los
derechos de los interesados y no afecta a la esencia de la obligación en
cuestión. En tales casos, la multa puede ser sustituida (aunque no siempre) por
un apercibimiento.”
(El subrayado es nuestro)
Esta Agencia, sin embargo, no considera que la infracción de la que se responsabiliza
a la reclamada sea leve ni menos aún que proceda la sustitución de la multa impuesta
por un apercibimiento.
En contraposición a los factores que la reclamada ha destacado cabe señalar otros
especialmente relevantes: Se aprecia que la conducta de la reclamada “sí” entraña un
grave riesgo para los derechos de los interesados, en particular para sus clientes ante
la evidente desprotección en la que se encuentran frente a una responsable que
realiza tratamientos de sus datos con fines de marketing directo pese a haber ejercido
el interesado el derecho de oposición a dicho tratamiento. Concurre una grave falta de
diligencia de la entidad que, al calificar incorrectamente los tratamientos de datos que
efectúa, resulta incapaz de respetar los derechos que el RGPD otorga a los titulares
de los datos. Y estamos ante una entidad (tanto la entidad absorbida como su
sucesora) de gran envergadura desde el punto de vista del volumen de clientes y, por
consiguiente, de datos personales objeto de tratamiento.
2. Medidas correctivas adicionales a la sanción de multa.
El artículo 83.2 del RGPD autoriza expresamente a la autoridad de control a imponer,
“a título adicional” a la multa administrativa, las medidas correctivas previstas en el
artículo 58.2 del RGPD.
La propuesta de resolución preveía que la AEPD ordenara a la reclamada, por la
infracción del artículo 6.1.f) del RGPD, tipificada en el artículo 83.5.a del RGPD, que
adoptara “en el plazo máximo de un mes, las medidas necesarias para ajustar sus
operaciones de tratamiento a las disposiciones del RGPD; de tal manera que ponga
fin al tratamiento de datos personales con fines de marketing directo respecto de
aquellos clientes que se hubieran opuesto al tratamiento de sus datos con tal
finalidad.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
43/48
En sus alegaciones a la propuesta de resolución la reclamada dice (alegación tercera
de su escrito) que tal requerimiento resulta imposible de cumplir al haberse producido
la extinción de la entidad contra la que la AEPD pretende dirigir esta medida. Y añade
que la desaparición de BANKIA del tráfico jurídico conlleva que no pueda realizar
ningún tratamiento de datos personales.
Frente a lo manifestado por la reclamada hay que indicar que exigir que la sucesora de
BANKIA, en cuya posición jurídica se ha subrogado, adopte las “medidas necesarias
para ajustar sus operaciones de tratamiento a las disposiciones del RGPD; de tal
manera que ponga fin al tratamiento de datos personales con fines de marketing
directo respecto de aquellos clientes que se hubieran opuesto al tratamiento de sus
datos con tal finalidad.” es de todo punto de perfecto cumplimiento por la actual
reclamada ante la eventualidad de que en el momento presente estuviera efectuando
tratamientos de datos análogos al que es objeto del presente expediente sancionador.
Se recuerda en todo caso que el artículo 83.6.del RGPD sanciona expresamente el
incumplimiento de las resoluciones de la autoridad de control.
VI
En consideración a lo indicado en el Fundamento anterior, por la infracción del artículo
6.1.f, del RGPD tipificada en el artículo 83.5.a, del RGPD, se estima procedente
adoptar frente a la reclamada las siguientes medidas correctivas:
1. De conformidad con el artículo 58.2.d) RGPD, ordenar a la reclamada que, en el
plazo de un mes, computado desde que la presente resolución sea ejecutiva, adopte
las medidas que resulten necesarias para ajustar sus operaciones de tratamiento a las
disposiciones del RGPD; de tal manera que ponga fin al tratamiento de datos
personales con fines de marketing directo respecto de aquellos clientes que se
hubieran opuesto al tratamiento de sus datos con tal finalidad.
2. De conformidad con el artículo 58.2.i) del RGPD imponer una sanción de multa
administrativa.
La reclamada solicitó en las alegaciones al acuerdo de inicio que se redujera el
importe de la sanción de multa y manifestó que, en la determinación de su importe en
el acuerdo de apertura del procedimiento, se vulneró el principio de proporcionalidad
pues la cuantía de la multa administrativa fijada en él “no se ajusta a la valoración de
las atenuantes y agravantes que el propio acuerdo toma en consideración.”
La reclamada argumentó en ese sentido que en la resolución del PS/00076/2020 no se
tomó en consideración la circunstancia, que sí se apreció en este caso como
agravante, de la vinculación de la actividad que la entidad realiza con el tratamiento de
datos de carácter personal y que en la citada resolución se matizaba que la falta de
diligencia de la reclamada era “significativa”, lo que, dice, no se indica en el presente
caso.
Pues bien, en el acuerdo de inicio, al graduar el importe de la sanción de multa, se
advertía que las circunstancias se apreciaban “en una valoración inicial,” y se hacía
referencia no a una falta de diligencia significativa sino a una “grave falta de
diligencia”. Por otra parte, el principio de proporcionalidad exige que exista una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
44/48
correspondencia entre la gravedad de una conducta y la consecuencia sancionadora
que se le atribuye, por lo que la vulneración de dicho principio se producirá cuando tal
correspondencia no exista, lo que no ocurre en este supuesto a la vista de la conducta
infractora y de la multa y medida acordadas.
3. Determinación del importe de la sanción de multa.
En la determinación de la multa que deba imponerse a la reclamada por la infracción
del RGPD de la que se le responsabiliza, artículo 6.1.f) RGPD, tipificada en el artículo
83.5.a RGPD, se han de observar las previsiones de los artículos 83.1 y 83.2 del
RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento
indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas,
proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
45/48
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, establece:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
En el supuesto analizado se aprecia la concurrencia de los siguientes factores que
operan agravando la responsabilidad exigible a la entidad por cuanto evidencian una
mayor antijuridicidad de su conducta o una mayor culpabilidad:
-Artículo 83.2.a) del RGPD: “la naturaleza, gravedad y duración de la infracción
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento,
así como el número de interesados afectados y el nivel de daños y perjuicios sufridos”.
La conducta en la que se concreta la infracción atribuida a la reclamada afecta a un
principio básico en materia de protección de datos, la licitud del tratamiento. La
reclamada considera que las comunicaciones comerciales que envía a sus clientes
cuyo contenido se imprime sobre el mismo documento que sirve de soporte a los datos
del destinatario de la carta -documento que la reclamada identifica como carátula del
sobre- no implican un tratamiento con la finalidad de marketing directo. Habida cuenta
de que según declara se han enviado a todos sus clientes, no ha discriminado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
46/48
previamente si se han opuesto al tratamiento de sus datos con esta finalidad. Además,
este extremo obliga a tomar en consideración el alcance del tratamiento contrario al
RGPD efectuado por la reclamada, que va más allá del tratamiento de los datos de
una única persona (el reclamante). Junto a esta consideración incluida en la propuesta
de resolución se precisó entonces que tales extremos impedían que esta circunstancia
pudiera aplicarse en calidad de atenuante, como se había aplicado en el acuerdo de
inicio sobre la base de que no constaban daños y perjuicios sufridos por la persona del
reclamante.
-Artículo 83.2.b) la intencionalidad o negligencia de la infracción;
En la propuesta de resolución se señaló, a propósito de esta agravante, que “Se
aprecia una grave falta de diligencia en la actuación de la reclamada pues, atendiendo
al volumen de su actividad y al volumen de clientes, cabe presumir que en su actividad
es frecuente el tratamiento de datos con fines de marketing directo y los supuestos en
los que los clientes se oponen al tratamiento de sus datos con esa finalidad.” En el
trámite de audiencia la reclamada ha manifestado que estamos ante una presunción
carente de soporte probatorio que vulnera el derecho a la presunción de inocencia.
Si bien, en principio, el razonamiento empleado en la propuesta pudiera ser
improcedente por las razones que se apuntan, ello no es óbice para que se aprecie tal
circunstancia sobre la base de las consideraciones que acerca de la culpabilidad de la
entidad y, en particular, de su muy grave falta de diligencia, se han hecho en el
Fundamento IV, último apartado.
Resulta además muy discutible que implique una infracción de la presunción de
inocencia la afirmación de que puede presumirse, atendiendo al volumen de actividad
y al volumen de clientes, que no es infrecuente que la reclamada hubiera realizado
tratamientos con fines de marketing directo o que se hubiera ejercido por algún otro
cliente distinto del reclamante el derecho de oposición a estos tratamientos.
Recordemos que los hechos notorios no necesitan ser probados y tienen esa
condición la envergadura económica y el número millonario de clientes de la entidad
reclamada.
- La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales (artículo 83.2.k, del RGPD en relación con el artículo
76.2.b, de la LOPDGDD) La actividad de la reclamada exige que se traten numerosos
datos de carácter personal de sus clientes por lo que, dado el importantísimo volumen
de negocio de la entidad financiera reclamada cuando acontecen los hechos, la
transcendencia que puede tener su conducta infractora es innegable.
-Toda infracción anterior cometida por el responsable o encargado de tratamiento
(artículo 83.2.e del RGPD)
Cabe citar a tal efecto, además la resolución sancionadora recaída en el
PS/00076/2020 por vulneración del artículo 5.1.b) del RGPD, firmada el 26/08/2020,
las resoluciones sancionadoras recaídas en los procedimientos PS/00199/2018, por
infracción del artículo 6.1. de la Ley Orgánica 15/1999, de protección de datos de
carácter personal (LOPD) y firmada el 11/06/2018 y en el PS/00525/2017, por
infracción del artículo 64.3 de la LOPD, firmada el 26/04/2018.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
47/48
La reclamada ha criticado en el trámite de audiencia la aplicación de esta agravante e
indica que los hechos por los que fue sancionada la entidad en el PS/00076/2020 nada
tienen que ver con los que son objeto de valoración en el presente caso. A tal efecto
hemos de recordar que la disposición del artículo 83.2.e) del RGPD tiene un contenido
distinto del artículo 29.3.d) de la Ley 40/2015.
Opera como circunstancia que atenúa la gravedad de la infracción:
-El artículo 83.2.k, RGPD, en relación con el artículo 76.2.e) de la LOPDGDD: “La
existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.”
En fecha 26/03/2021 -por tanto, con posterioridad a la comisión de la infracción- se
inscribió en el Registro Mercantil la escritura pública con el acuerdo de fusión por
absorción entre la reclamada (como entidad absorbida) y CAIXABANK, S.A., (como
entidad absorbente).
Así las cosas, valoradas las circunstancias previstas en el artículo 83.2 del RGPD,
apartados. a), b), e) y k), este último en relación con el artículo 76.2.b) LOPDGDD, en
calidad de agravantes de la conducta examinada, y la atenuante prevista en el artículo
83.2.k) RGPD en relación con el artículo 76.2.e) de la LOPDGDD, se estima
procedente sancionar a la reclamada por la infracción del artículo 6.1.f del RGPD,
tipificada en el artículo 83.5.a RGPD, con una multa administrativa de 50.000 euros.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a CAIXABANK, S.A., con NIF A08663619 -antes BANKIA, S.A.-,
por una infracción del aartículo 6.1.f) del RGPD, tipificada en el artículo 83.5.a del
RGPD, una sanción de multa administrativa (artículo 58.2.i RGPD) por un importe de
50.000€ (cincuenta mil euros)
SEGUNDO: ORDENAR a CAIXABANK, S.A., con NIF A08663619 -antes BANKIA,
S.A.- que, a tenor del artículo 58.2.d) del RGPD, en el plazo máximo de un mes desde
que la resolución sea ejecutiva, adopte las medidas necesarias para adecuar las
operaciones de tratamiento que efectúa a las disposiciones del RGPD, de manera que
ponga fin al tratamiento con fines de marketing directo de los datos de carácter
personal de aquellos clientes que se hubieran opuesto al tratamiento de sus datos con
esa finalidad.
TERCERO: NOTIFICAR la presente resolución a CAIXABANK, S.A., con NIF
A08663619.
CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
artículo 98.1.b) de la ley 39/2015, de la LPACAP, en el plazo de pago voluntario
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
48/48
establecido en el artículo 68 del Reglamento General de Recaudación, aprobado por
Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6
de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el artículo 90.3 a) de la LPACAP,
se podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es