Ticari Profilleme İçin Geçerli Rıza

1/133

 Procedimiento Nº: PS/00500/2020

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 6 de noviembre de 2018, tuvo entrada en esta Agencia escrito de D.
A.A.A., en el que denuncia que la entidad CAIXABANK, CONSUMER FINANCE, EFC ha
solicitado a EMPRESA.1 información sobre las inscripciones relativas a su persona en el
fichero EMPRESA.2. Expone que en la actualidad no existe ningún contrato ni ha
solicitado ningún servicio a ninguna empresa del grupo CAIXABANK. Señala que si bien
fue cliente de la CAIXA dicha relación se extinguió formalmente en 2014 con rescisión de
todos los contratos existentes.

Dicha reclamación fue trasladada al delegado de Protección de Datos del responsable,
de conformidad con lo previsto en el artículo 9.4 del Real Decreto-ley 5/2018, de 27 de
julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la
Unión Europea en materia de protección de datos, recibiendo respuesta de
CAIXABANK CONSUMER FINANCE EFC, S.A.U., en la que se admite un error de
carácter humano y puntual. Se indicaba que, aunque el reclamante fue cliente en el
pasado, a fecha de la reclamación ya había dejado de serlo. A pesar de esto, sus
datos fueron incluidos por equivocación en una campaña de créditos preconcedidos.

Con fecha 6 de febrero de 2019, la Directora de la Agencia Española de Protección de
Datos acuerda no admitir a trámite la reclamación presentada, advirtiendo no obstante
en dicha resolución que “Ello sin perjuicio de que la Agencia, aplicando los poderes de
investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones
relativas al tratamiento de datos referido en la reclamación.”

Dicha resolución fue recurrida, alegando el reclamante que dicha entidad de la que no
es cliente, ya que su relación con ella fue puntual y limitada en el tiempo en el marco
de un contrato de venta con financiación asociada finalizado años antes, ha utilizado
los ficheros de solvencia patrimonial con la finalidad de elaborar un perfil y ofrecerle un
servicio financiero, sin solicitar su consentimiento. Dicho recurso fue estimado.

SEGUNDO: A la vista de esta reclamación, con fecha 16 de octubre de 2019 la Directora
de la Agencia Española de Protección de datos instó a la Subdirección General de
Inspección de Datos el inicio de actuaciones previas de investigación que revelen de qué
forma CAIXABANK CONSUMER FINANCE EFC, S.A.U está realizando perfilados de los
datos personales de sus clientes en el contexto de su actividad comercial, con objeto de
verificar su adecuación a la normativa de protección de datos personales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/133

TERCERO: Con fecha 6 de febrero de 2020 la Subdirección General de Inspección de
Datos formula requerimiento a CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U.
para que facilite la siguiente información:

Listado de actividades de tratamiento de datos personales de clientes y/o potenciales
clientes llevadas a cabo en el desarrollo de la actividad comercial de CAIXABANK
PAYMENTS & CONSUMER EFC, EP, S.A.U. que impliquen la elaboración de perfiles
(según la definición consignada en el artículo 4.4 del RGPD, en particular en lo relativo a la
situación económica de los interesados). Por cada una de las actividades de tratamiento
de datos personales, se solicita aporte:

1. Definición de la lógica aplicada en el perfilado y de las consecuencias previstas de dicho
tratamiento para el interesado.

2. Descripción de la finalidad del tratamiento y detalle de la base de legitimación del
artículo 6.1 del RGPD en que se sustenta.

3. Procedimiento seguido para cumplir con el deber de información al interesado (artículos
13 y 14 del RGPD)

4. Medios utilizados para la recogida del consentimiento en caso de que la actividad de
tratamiento se ampare en el artículo 6.1.a del RGPD.

5. Categorías de interesados y de datos personales objeto de tratamiento.

6. Origen u orígenes de los datos personales objeto de tratamiento (con indicación de la
base de legitimación que sustenta, en su caso, la utilización de datos recogidos de fuentes
externas -sistemas de información crediticia, otras sociedades del grupo empresarial,
etc.-).

7. En su caso, listado de encargados de tratamiento que participen en la actividad de
perfilado por cuenta de CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U. y copia
de los contratos que rijan dichos tratamientos.

8. Descripción de las medidas técnicas y organizativas de seguridad aplicadas en
virtud del artículo 32 del RGPD a la actividad de perfilado.

9. En su caso, copia de la Evaluación de Impacto de Protección de Datos Personales
(EIPD) realizada sobre la actividad de perfilado.
10. Número de interesados cuyos datos personales han sido tratados en el desarrollo
de la actividad de perfilado por categoría (cliente, potencial cliente) y año (2018 y
2019).

CUARTO: Con fecha 2 de marzo de 2020, CAIXABANK PAYMENTS & CONSUMER
EFC, EP, S.A. solicita ampliación de plazo ante la imposibilidad de recabar y
estructurar la información requerida en el plazo establecido.

Con fecha 3 de marzo de 2020 la Subdirectora General de Inspección de Datos
acuerda la ampliación del plazo para responder por un periodo de cinco días, que
deberán computarse a partir del día siguiente a aquel en el que finalice el primer plazo
otorgado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/133

QUINTO: Con fecha 2 de junio de 2020 tiene entrada en esta Agencia escrito de
contestación al requerimiento de información al que hace referencia el punto
SEGUNDO. En dicho documento se expone lo siguiente:

En primer lugar, se hace referencia a que “con fecha 14 de marzo de 2020, se publicó
en el Boletín Oficial del Estado (BOE) y entró en vigor el Real Decreto 463/2020, de 14
de marzo, por el que se declara el estado de alarma para la gestión de la situación de
crisis sanitaria ocasionada por el COVID-19, que incluye en su Disposición adicional
tercera la suspensión de los plazos administrativos, aplicándose la suspensión de
términos y la interrupción de plazos a todo el sector público definido en la Ley 39/2015,
de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas; quedando, por tanto, suspendidos los términos e interrumpidos los plazos
para la tramitación de los procedimientos de las entidades del sector público,
decretando que el cómputo de dichos plazos se reanudará en el momento de la
finalización de la vigencia de este Real Decreto, prorrogado, a su vez, mediante Real
Decreto 476/2020, de 27 de marzo, por el que se prorroga el estado de alarma
declarado en virtud del texto legislativo antecedente, así como por sus prórrogas
sucesivas.”

En segundo lugar, efectúa unas consideraciones preliminares, de las que deben
destacarse las siguientes:

- “CAIXABANK PAYMENTS & CONSUMER es la entidad resultante de la
operación de fusión por absorción entre CaixaBank Payments, E.F.C., E.P.,
S.A.U., sociedad absorbida, y CaixaBank Consumer Finance, E.F.C., S.A.U.,
sociedad absorbente; ambas participadas íntegramente por CaixaBank, S.A.
(en adelante, también denominada “CaixaBank”). Esta fusión tuvo lugar en
fecha de 11 de julio de 2019, después de haberse notificado la no oposición de
Banco de España a la operación de modificación estructural, al amparo de lo
prevenido en la Ley 10/2014 de 26 de junio, de ordenación, supervisión y
solvencia de entidades de crédito, así como del correspondiente procedimiento
de autorización frente al Ministerio de Economía y Empresa previsto en la Ley
5/2015 de 27 de abril, de fomento de financiación empresarial. Como
consecuencia de la antedicha operación, CaixaBank Consumer Finance,
E.F.C., S.A. ha quedado subrogada por sucesión universal en todos los
derechos y obligaciones, adquiridos y asumidas, respectivamente, por
CaixaBank Payments, E.F.C., E.P., S.A.U., modificando su denominación social
a la actual CaixaBank Payments & Consumer, E.F.C., E.P., S.A.”

- “La actividad principal de CAIXABANK PAYMENTS & CONSUMER consiste en
la comercialización de tarjetas de crédito o de débito (en adelante,
denominadas “Tarjetas”), cuentas de crédito con o sin tarjeta (en adelante,
denominadas “Cuentas de Crédito”) y préstamos (en adelante, denominados
“Préstamos”), (en adelante, todos ellos denominados individualmente
“Producto” y conjuntamente, “Productos”), directamente o bien por medio de
terceros –ya sean agentes o Prescriptores-, con quienes tiene suscritos los
correspondientes contratos de agencia o de colaboración. En concreto: -
Directamente, CPC comercializa algunos de los mencionados Productos. -
Indirectamente, CPC comercializa a través de Prescriptores y agentes.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/133

- “Se entiende por “Prescriptor” o “Prescriptores”, aquellas entidades con las que
CPC tiene suscrito un acuerdo de colaboración, en base al cual, éstas se
comprometen a ofrecer a sus clientes la posibilidad de contratar los Productos
de CPC para, principalmente, financiar el precio de compra de los productos
y/o servicios comercializados por ellas (Prescriptores) en sus puntos de venta,
ya sea presenciales u online (por ejemplo, establecimientos como
***ESTABLECIMIENTO.1 o ***ESTABLECIMIENTO.2 y
***ESTABLECIMIENTO.3). En particular, los Productos de CPC
comercializados a través de Prescriptores son las Tarjetas, las Cuentas de
Crédito y los Préstamos.”

- “Finalmente, se entiende por agente, CaixaBank, S.A. (en adelante,
indistintamente el “Agente” o “CaixaBank”), entidad con la que CPC mantiene
un acuerdo de agencia, en virtud del cual, CaixaBank promueve y concluye, a
través de sus canales, las Tarjetas de CPC, así como, en su caso, préstamos
de refinanciación de la deuda derivada de estas Tarjetas.”

Respecto de las actividades de tratamiento de datos personales que en el desarrollo
de su operativa comercial implican la elaboración de perfiles, según la definición
consignada en el artículo 4.4 del RGPD, en particular en lo relativo a la situación
económica de los interesados, indica que son las siguientes:

I. “Análisis de la capacidad de devolución o riesgo de impago de un
interesado ante su Solicitud de un Producto: Consiste en la evaluación por
parte de CPC de la Solicitud de un Producto (Tarjeta, Cuenta de Crédito o
Préstamo, en adelante la “Solicitud”) recibida de un interesado (en
adelante, “Solicitante” o “Solicitantes”). Esta evaluación implica un
tratamiento de datos personales que se concreta en la necesaria valoración
de la capacidad de devolución o solvencia del Solicitante (probabilidad de
riesgo de impago). Dicha valoración se realiza, en el marco de la Solicitud
recibida, con la finalidad de cumplir cuanto establece la normativa que, en
calidad de establecimiento financiero de crédito y entidad de pago, le
resulta de aplicación a CPC (Normativas Prudencial y de Solvencia y de
Préstamo Responsable).”

II. “Análisis de la capacidad de devolución o riesgo de impago en la gestión
del riesgo de crédito concedido a clientes: Consiste en el seguimiento
continuo de la capacidad de devolución o riesgo de impago de los clientes a
quienes CAIXABANK PAYMENTS & CONSUMER ha concedido
financiación y, por tanto, con los que mantiene un riesgo de crédito con dos
finalidades i) la gestión del riesgo de crédito concedido a los mismos en
cumplimiento de determinadas obligaciones legales (en concreto, la
Normativa Prudencial y de Solvencia y de Préstamo Responsable, tal y
como la misma se define en el apartado I.A.6 de este escrito); y, ii) la
gestión comercial de acuerdo con los consentimientos recabados de los
titulares de los datos (clientes) con la posterior finalidad de ofrecerles
productos y servicios ajustados a sus necesidades, lo que puede incluir la
asignación de límites de crédito “preconcedidos” (preconcesión de un
crédito en base a la información de que dispone la Entidad).”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/133

III. “Análisis y selección de público objetivo: Consiste en el análisis y selección,
de forma previa a un determinado impacto comercial, de un público objetivo
(compuesto por aquellos clientes de CAIXABANK PAYMENTS &
CONSUMER que reúnan, en su caso, los requisitos diseñados para ser
impactados por una potencial campaña con la finalidad de ofrecerle
Productos). Dicho tratamiento se lleva a cabo de acuerdo con los
consentimientos recabados a los titulares de los datos (clientes).”

En cuanto a las categorías de titulares de datos que se tratan en la ejecución de los
tratamientos detallados, señala que “trata únicamente datos de interesados que son
clientes de la Entidad o solicitantes de sus Productos. No realiza tratamientos de datos
sobre interesados que podrían denominarse “clientes potenciales”, entendiendo por
éstos, titulares de datos que no tienen relación vigente con CPC o que previamente no
han solicitado un Producto por alguno de los canales establecidos.”

En tercer lugar, del examen de lo expuesto por CPC respecto a la actividad
denominada “análisis de la capacidad de devolución o riesgo de impago para la
gestión del riesgo de crédito concedido a clientes durante la relación contractual” cabe
destacar los siguientes aspectos:

1.Respecto de las finalidades y bases de legitimación del tratamiento se expone que
tiene dos finalidades:

I. “La gestión del riesgo de crédito concedido, en cumplimiento de
determinadas obligaciones legales de la Normativa Prudencial y de
Solvencia y de Préstamo Responsable, aplicable cuando el Producto es
una cuenta de crédito ya que, al permitir la disponibilidad del crédito
concedido de manera constante, este (Producto) debe adaptarse
constantemente a la capacidad actualizada de solvencia del interesado.
Según manifiesta, el título habilitante para llevar a cabo esta finalidad, dar
cumplimiento a requerimientos regulatorios, es la obligación legal, de
conformidad con el artículo 6.1 c) del RGPD.

II. La gestión comercial para el caso de que disponga del consentimiento del
titular del dato. Dicho tratamiento prevé, entre otras, poder etiquetar al
cliente con la finalidad de concederle un “preconcedido” (concesión de un
crédito en base únicamente a la información de que dispone la Entidad).
En este caso se tratan únicamente los datos de aquellos clientes que hayan
dado su consentimiento para el perfilado.”

2.Respecto de la lógica aplicada en el perfilado y las consecuencias previstas de
dicho tratamiento para el interesado expone lo siguiente:

“CAIXABANK PAYMENTS & CONSUMER utiliza una lógica que se ha definido en
el proceso de financiabilidad de la Entidad. Este proceso de financiabilidad consta
de diferentes políticas explicadas a continuación y en base a las cuales se les
asigna a los clientes (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/133

i. (…) Esta etiqueta es la utilizada por CPC para categorizar a sus clientes en
relación con la actividad de promoción que sobre los mismos podría hacer de
Préstamos o Cuentas de Crédito. (…)
• (…)

• (…)

• (…)

• (…)

Tal y como se ha mencionado esta Financiación directa tiene finalidad comercial
por lo que CPC únicamente la utiliza en aquellos clientes que han consentido el
tratamiento de sus datos. Los que no han consentido, en consecuencia, se
separan de los anteriores incluyéndose -a los únicos efectos de respetar lo
solicitado en relación con el tratamiento de sus datos- en la subcategoría de
Financiación directa - D - No evaluable. La implicación de tal subcategoría es, por
lo tanto, que los clientes con esta ETIQUETA 1 - D no pueden ser incluidos en
campañas comerciales.

ii. (…)

• (…)

• (…)

• (…)

• (…)

Finalmente, también en este caso se incluyen los clientes que no han autorizado el
tratamiento de sus datos en la subcategoría Financiación Prescriptor - D - No
evaluable. Se trata, por tanto, de clientes que no han dado su consentimiento para el
tratamiento de datos de perfilado.

i. (…)

 (…)

 (…)

 (…)

Finalmente, al igual que en las otras etiquetas existe la subcategoría Ampliación de
limites D - No evaluable que incorpora a aquellos clientes que no han autorizado el
tratamiento de sus datos de carácter personal y, en consecuencia, no pueden ser
objeto de campañas comerciales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/133

i. (…)

a) (…)

b) (…)

(…)

• (…)

• (…)

• (…)

• (…)

3.En cuanto a los datos personales objeto de tratamiento se indica que son los
siguientes:

- Identificativos: DNI/NIE/Pasaporte y fecha de nacimiento.

- Financieros: Datos internos de CPC obtenidos o derivados de la relación
contractual existente entre esta y su cliente y consulta a ficheros de solvencia y
a la Central de Información de Riesgos (CIR) del Banco del Banco de España.

- Sociodemográficos: código postal, país de nacimiento y nacionalidad, tipo de
vivienda y antigüedad y estado civil.

- Socioeconómicos: ingresos y pagas, situación laboral y profesión, antigüedad
bancaria y entidad domiciliada.

- Otros: risk score.

4. Respecto al origen de los datos personales objeto de tratamiento detalla, para las
categorías de datos indicadas en el apartado anterior, los siguientes orígenes:

- Datos aportados por el Solicitante en la propia Solicitud del Producto.

- Datos de CPC en relación con el Solicitante para el caso de que este ya sea
cliente y siempre que CPC disponga de datos de su comportamiento de pago.

- Datos de fuentes externas: de acuerdo con la normativa que le resulta de
aplicación a CPC como establecimiento financiero de crédito y entidad de pago,
se incorpora asimismo la siguiente información:

 Información del Grupo consolidado de entidades del Grupo
CaixaBank.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/133

 Resultado de la consulta a sistemas de información crediticia.

 Resultado de la consulta a la Central de Información de Riesgos
(CIR) de Banco de España.

(…)

5. Respecto de los medios utilizados para la recogida del consentimiento en caso de
que la actividad de tratamiento se ampare en el artículo 6.1.a del RGPD, informa que
los canales por los que recaba los consentimientos con fines comerciales de sus
clientes son los que se indican a continuación:

a) A través de los Prescriptores.

b) A través de su Agente CaixaBank.

a) “A través de los Prescriptores En relación con este canal, podemos diferenciar tres
(3) formas de captación distintas:

i. La primera es a través de los empleados de los propios Prescriptores, los cuales,
en el momento de la formalización de los contratos de financiación con los clientes
que quieren contratar los Productos ofrecidos por CAIXABANK PAYMENTS &
CONSUMER, les preguntan sobre cada uno de los consentimientos, para después
plasmar la respuesta dada por su parte para cada uno de ellos en las Condiciones
Particulares del contrato de financiación suscrito al efecto.

A este respecto, las tres (3) herramientas facilitadas por CAIXABANK PAYMENTS
& CONSUMER a los vendedores de los Prescriptores para que puedan realizar la
captación de la información necesaria para tramitar las operaciones de
financiación y, por tanto, también para recabar los mencionados consentimientos,
son la Web “***WEB.1”, la App de captación (su utilización se realiza a través de
una tablet que llevan los vendedores de los Prescriptores que están en constante
movimiento por la tienda) y la “Web Auto” (…), que son los software facilitados por
parte de CAIXABANK PAYMENTS & CONSUMER a los Prescriptores, conectados
con los sistemas de aquella (CAIXABANK PAYMENTS & CONSUMER), para que
sus vendedores tramiten las operaciones de financiación mediante la introducción
de los datos personales y económicos de los clientes y los datos contractuales de
las operaciones (TIN, TAE, meses de amortización, etc.), así como recabar los
consentimientos, que posteriormente se plasmarán en las Condiciones
Particulares de los contratos de financiación que se formalicen y entreguen a los
clientes.”

Aporta tres impresiones de pantalla que se corresponden con estas tres
herramientas. En ellas se observa que se solicita el consentimiento para las
siguientes finalidades, pudiendo elegir si o no en cada modalidad:

- “Autorizo al Grupo CaixaBank a utilizar mis datos para finalidades de estudio y
perfilado”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/133

- “Autorizo a que se me remita publicidad y ofertas comerciales del Grupo
CaixaBank por los siguientes medios”, que a su vez permite consentir o no por
cada uno de los epígrafes siguientes):

- Telemarketing

- Medios electrónicos como SMS, email y otros

- Correo postal

- Contactos comerciales por cualquier canal de mi gestor

- “Autorizo a ceder mis datos a terceros con los que el Grupo CaixaBank tenga
acuerdos”

- “Autorizo al Grupo CaixaBank a usar mis datos biométricos (imagen, huella
dactilar, etc.) con la finalidad de verificar mi identidad y firma. Esta autorización se
complementará con el registro de los datos biométricos a utilizar en cada
momento”

Se aporta, asimismo, una captura de pantalla de la herramienta web AUTO en la
que se permite consultar más detalles. Según la impresión facilitada el detalle
consiste en lo siguiente:

“Consentimientos y protección de datos personales

Las autorizaciones que prestas ahora o hayas prestado anteriormente
pueden revocarse en cualquier momento a través de
www.caixabankpc.com/ejerciciode derechos.

Si otorgas la autorización (1) las ofertas que se te remitan estarán
adaptadas a tu perfil.

Las autorizaciones (2) (3) (4) y (5) se refieren a los canales a través de los
que aceptas que te contacte el grupo Caixabank ya sea por teléfono, por
medios electrónicos, por correo postal y/o presencialmente.

Si no autorizas algún canal, el grupo Caixabank no podrá contactarte para
ofrecerte productos de tu interés.

Si facilitas la autorización (6) en el momento en que se cedan los datos, se
te informará de qué tercero es el receptor de tus datos y si no estás de
acuerdo podrás revocar esa autorización.

La autorización (7) es para poder verificar tu identidad/firma ya que en el
grupo Caixabank utilizamos métodos de reconocimiento biométrico como
sistemas de reconocimiento facial, lectura de huella dactilar y similares.”

ii. “La segunda forma de captación dentro de este grupo es a través del portal web
de CAIXABANK PAYMENTS & CONSUMER habilitado para tramitar la operación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/133

de financiación por el propio cliente, el cual habrá sido redirigido mediante clicar
en un enlace incorporado en la web del Prescriptor de que se trate. Así, por
ejemplo, el interesado que decida solicitar la tarjeta (…) iniciará la solicitud en el
portal propio del Prescriptor ***ESTABLECIMIENTO.1 e inmediatamente será
redirigido al portal web habilitado al efecto por y de CAIXABANK PAYMENTS &
CONSUMER donde se llevará a cabo todo el procedimiento de contratación.

En este caso, es el propio cliente, a través de su ordenador/tablet el que marca la
respuesta para cada uno de los tratamientos previstos, los cuales después se
transcribirán en las Condiciones Particulares del contrato de financiación
formalizado.”

Se adjunta, como DOCUMENTO ANEXO Nº 13, la pantalla que visualiza el cliente
y en la que se le recaban los consentimientos, así como DOCUMENTO ANEXO Nº
14, un ejemplo de cómo se reflejan los consentimientos otorgados por el cliente en
las Condiciones Particulares del contrato de financiación.

El anexo 13 contiene una impresión de la pantalla en la que se recogen los
consentimientos, que coinciden con los descritos anteriormente en el punto
relativo al canal prescriptores.

El anexo 14 se denomina SOLICITUD-CONTRATO DE CREDITO. Se estructura
en diversos apartados relativos a datos personales del titular y cotitular, a la
compra, al plan de financiación, etc. De dichos apartados cabe destacar lo
indicado en los apartados RESUMEN DE TRATAMIENTO DE DATOS Y
AUTORIZACIONES PARA EL TRATAMIENTO DE DATOS.

El apartado RESUMEN DE TRATAMIENTOS contiene la siguiente información:

“los tratamientos de sus datos respecto de los que puede facilitar su
autorización en los términos establecidos en el presente contrato son los
siguientes:

“FINALIDADES COMERCIALES:

A. Tratamiento de los datos por parte de Caixabank Payments
& Consumer y de las empresas del Grupo Caixabank con
finalidades de estudio y perfilado para informarle de los productos
que se ajusten a sus intereses/necesidades, así como para el
seguimiento de los servicios y productos contratados, realización de
encuestas y diseño de nuevos servicios y productos.

B. Tratamiento de los datos por parte de Caixabank Payments
& Consumer y de las empresas del Grupo Caixabank con la
finalidad de comunicarle ofertas de productos, servicios y
promociones comercializados por ellas, propios o de terceros cuyas
actividades estén comprendidas entre las bancarias, de servicios de
inversión y aseguradoras, tenencia de acciones, capital riesgo,
inmobiliarias, viarias, de venta y distribución de bienes o servicios,
de servicios de consultoría, ocio y benéfico-sociales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/133

C. Cesión de los datos por parte de Caixabank Payments &
Consumer y de las empresas del Grupo Caixabank a terceros con
la finalidad de que éstos puedan enviarle comunicaciones
comerciales. Dichos terceros estarán dedicados a las actividades
bancarias, de servicios de inversión y asegurador, tenencia de
acciones, capital riesgo, inmobiliarias, viarias, de venta y
distribución de bienes y servicios, de servicios de consultoría, ocio y
benéfico-sociales.

OTRAS FINALIDADES

A. Tratamiento de los datos biométricos que facilite por parte de
Caixabank Payments & Consumer y las empresas del
GrupoCaixabank, tales como la imagen facial, voz, huellas dactilares,
grafos, etc., con la finalidad de verificar su identidad y firma con la
ayuda de métodos de reconocimiento biométrico.”

En el apartado AUTORIZACIONES PARA EL TRATAMIENTO DE DATOS figuran
una serie de apartados en cada uno de los cuales, tanto para el titular como para
el cotitular aparecen dos casillas, una para marcar si y otra para marcar no, las
diversas autorizaciones para efectuar tratamientos de datos. Estas autorizaciones,
son las siguientes:

A) “Autorizo el tratamiento de mis datos con la finalidad de estudio y
análisis por parte de Caixabank Payments & Consumer y de las empresas
del grupo Caixabank.”

B) “Consiento el tratamiento de mis datos por parte de Caixabank
Payments & Consumer y de las empresas del grupo Caixabank con la
finalidad de que estas me comuniquen ofertas de productos, servicios y
promociones por los canales que autorice.” En este caso, las casillas si/no
se desglosan para cada uno de los siguientes canales: Telemarketing,
Medios electrónicos como SMS, email y otros, Correo postal. Contactos
comerciales por cualquier canal de mi gestor.

C) “Autorizo a que Caixabank Payments & Consumer y de las
empresas del grupo Caixabank cedan mis datos a terceros.”

i. La tercera vía es a través de la captación telefónica en la que interactúan los
vendedores de los Prescriptores y los gestores de CAIXABANK PAYMENTS &
CONSUMER. En este caso, el vendedor del Prescriptor facilita telefónicamente al
gestor de CAIXABANK PAYMENTS & CONSUMER todos los datos del cliente
necesarios para formalizar la operación de financiación y este la tramita. Una vez
aprobada la contratación, el cliente, mediante las Condiciones Particulares del
contrato que debe suscribir, define el otorgamiento de sus consentimientos
marcando libremente y de manera manuscrita su opción sobre las casillas
habilitadas al efecto, tal como puede comprobarse en el DOCUMENTO Nº 14
adjunto a este escrito”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/133

Dicho documento ha quedado descrito en el punto anterior.

a) “A través de su Agente CaixaBank. Adicionalmente CPC es beneficiario de los
consentimientos otorgados, en su caso, por los clientes ante CaixaBank.
Adjuntamos, ejemplo de las pantallas de recogida de consentimientos en las
oficinas de CaixaBank donde es el propio cliente quien, interactuando
directamente con el dispositivo que le entrega el empleado (Tablet), procede a
señalizar sus preferencias en relación con el tratamiento de sus datos.”

En la impresión de la pantalla, que incorpora en su escrito, se solicitan diversas
autorizaciones para cada una de las cuales existe la opción de marcar sí o no en
su respectiva casilla. Las autorizaciones se refieren, como en los casos anteriores:

-A la utilización de los datos para finalidades de estudio y perfilado, aclarando que
si se autoriza las ofertas que se le remitan estarán adaptadas al perfil del
interesado.

- A recibir publicidad y ofertas comerciales. En este punto se permite también
elegir los canales para recibir publicidad marcando en la respectiva casilla.
- A ceder los datos a terceros con los que el grupo Caixabank tenga acuerdos.

-Al uso de los datos biométricos con la finalidad de verificar mi identidad y firma.

6. En lo que se refiere al procedimiento seguido para cumplir con el deber de
información al interesado (artículos 13 y 14 del RGPD) indica que “Se adjunta, como
DOCUMENTO ANEXO Nº 12, copia del condicionado general que se facilita al
interesado en el marco de la contratación de un producto y en el que se informa de lo
previsto en el artículo 13; no resultando de aplicación, por tanto, lo previsto en el
artículo 14 del RGPD.”

El documento contenido en el anexo 12 denominado “CONDICIONES GENERALES
DE LA SOLICITUD-CONTRATO DE CRÉDITO” contiene diversos apartados,
refiriéndose el apartado número 26 a los “Tratamiento de datos de carácter personal
basados en la ejecución de los contratos, obligaciones legales e interés legítimo y
política de privacidad”. Este punto se estructura a su vez en 10 apartados, de los
cuales interesa transcribir aquí la información contenida en los puntos 26.1 y 26.4.

“26.1 Tratamientos de datos de carácter personal con la finalidad de gestionar
las Relaciones Comerciales.

Los datos de carácter personal del Titular, tanto los que él mismo aporte, como
los que se deriven de las relaciones comerciales, negociales y contractuales
que se establezcan entre el Titular y CaixaBank Payments & Consumer bien en
la comercialización de productos y servicios propios, bien en su condición de
mediador en la comercialización de productos y servicios de terceros(en
adelante todas ellas referidas como las Relaciones Comerciales), o de las
Relaciones Comerciales de CaixaBank Payments & Consumer y las empresas
del Grupo CaixaBank con terceros y los confeccionados a partir de ellos, se
incorporarán en ficheros titularidad de CaixaBank Payments & Consumer y de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/133

las empresas del Grupo CaixaBank titulares de las Relaciones Comerciales,
para ser tratados con la finalidad de dar cumplimiento y mantener las mismas,
verificar la corrección de la operativa y las finalidades comerciales que el Titular
acepte en el presente contrato.

Estos tratamientos incluyen la digitalización y registro de los documentos
identificativos y la firma del Titular, y su puesta a disposición de la red interna
de CaixaBank Payments & Consumer, para la verificación de la identidad del
Titular en la gestión de sus Relaciones Comerciales.

Los tratamientos indicados, salvo los que tienen finalidad comercial cuya
aceptación es voluntaria para el Titular, resultan necesarios para el
establecimiento y mantenimiento de las Relaciones Comerciales, y
necesariamente se entenderán vigentes mientas dichas Relaciones
Comerciales continúen vigentes. En consecuencia, en el momento de
cancelación por el Titular de todas las Relaciones Comerciales con CaixaBank
Payments & Consumer y/o con las empresas del Grupo CaixaBank, los
mencionados tratamientos de datos cesarán, siendo sus datos cancelados
conforme a lo establecido en la normativa aplicable, conservándolos CaixaBank
debidamente limitado su uso hasta que hayan prescrito las acciones derivadas
de los mismos”
“26.4. Tratamiento y cesión de datos con finalidades comerciales por
CaixaBank y las empresas del Grupo CaixaBank basados en el consentimiento.

En las Condiciones Particulares de este contrato se recogerá, bajo el epígrafe
de autorizaciones para el tratamiento de datos, las autorizaciones que Usted
nos otorgue o nos revoque en relación a:

(i) Los tratamientos de análisis y estudio de datos con finalidad comercial por
CaixaBank Payments & Consumer y empresas del Grupo CaixaBank.

(ii) Los tratamientos para la oferta comercial de productos y servicios por
CaixaBank Payments & Consumer y las empresas del Grupo CaixaBank.

(iii) La cesión de datos a terceros.

Con la finalidad de poner a su disposición una oferta global de productos y
servicios, su autorización a (i) los tratamientos de análisis y estudio de datos, y
(ii) para la oferta comercial de productos y servicios, en caso de otorgarse,
comprenderá a CaixaBank Payments & Consumer y a las empresas del Grupo
CaixaBank detalladas en www.caixabank.es/empresasgrupo (las “empresas del
Grupo CaixaBank”) quienes podrán compartirlos y utilizarlos con las finalidades
indicadas.

El detalle de los usos de los datos que se realizará conforme a sus
autorizaciones es el siguiente:

(i) Detalle de los tratamientos de análisis, estudio y seguimiento para la oferta
y diseño de productos y servicios ajustados al perfil de cliente. Otorgando su
consentimiento a las finalidades aquí detalladas, Usted nos autoriza a:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/133

a) Realizar de manera proactiva análisis de riesgos y aplicar sobre sus datos
técnicas estadísticas y de segmentación de clientes, con una triple finalidad:

1) Estudiar productos o servicios que puedan ser ajustados a su
perfil y situación comercial o crediticia concreta, todo ello para
efectuarle ofertas comerciales ajustadas a sus necesidades y
preferencias,

2) Realizar el seguimiento de los productos y servicios contratados,

3) Ajustar medidas recuperatorias sobre los impagos e incidencias
derivadas de los productos y servicios contratados.

b) Asociar sus datos con los de otros clientes o sociedades con las que tenga
algún tipo de vínculo, tanto familiar o social, como por su relación de propiedad
como de administración, al efecto de analizar posibles interdependencias
económicas en el estudio de ofertas de servicios, solicitudes de riesgo y
contratación de productos.

c) Realizar estudios y controles automáticos de fraude, impagos e incidencias
derivadas de los productos y servicios contratados.

d) Realizar encuestas de satisfacción por canal telefónico o por vía electrónica
con el objetivo de valorar los servicios recibidos.

e) Diseñar nuevos productos o servicios, o mejorar el diseño y usabilidad de los
existentes, así como definir o mejorar las experiencias de los usuarios en su
relación con CaixaBank Payments& Consumer y las empresas del Grupo
CaixaBank.

Los tratamientos indicados en este punto (i) podrán ser realizados de manera
automatizada y conllevar la elaboración de perfiles, con las finalidades ya
señaladas. A este efecto, le informamos de su derecho a obtener la
intervención humana en los tratamientos, a expresar su punto de vista, a
obtener una explicación acerca de la decisión tomada en base al tratamiento
automatizado, y a impugnar dicha decisión.

(ii) Detalle de los tratamientos para la oferta comercial de productos y servicios
de CaixaBank Payments & Consumer y las empresas del Grupo CaixaBank.
Otorgando su consentimiento a las finalidades aquí detalladas, Usted nos
autoriza a:

Enviar comunicaciones comerciales tanto en papel como por medios
electrónicos o telemáticos, relativas a los productos y servicios que, en cada
momento: a) comercialice CaixaBank Payments & Consumer o cualquiera de
las empresas del Grupo CaixaBank b) comercialicen otras empresas
participadas por CaixaBank Payments & Consumer y terceros cuyas
actividades estén comprendidas entre las bancarias, de servicios de inversión y
asegurador, tenencia de acciones, capital riesgo, inmobiliarias, viarias, de venta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/133

y distribución de bienes y servicios, de servicios de consultoría, ocio y benéfico-
sociales.

El Titular podrá elegir en cada momento los diferentes canales o medios por los
que desea o no recibir las indicadas comunicaciones comerciales a través de
su banca por internet, mediante el ejercicio de sus derechos, o mediante su
gestión en la red de oficinas de CaixaBank.

Los datos que se tratarán con las finalidades de (i) análisis y estudio de datos,
y (ii) para la oferta comercial de productos y servicios serán:

a) Todos los facilitados en el establecimiento o mantenimiento de
relaciones comerciales o de negocio.

b) Todos los que se generen en la contratación y operativas de productos y
servicios con CaixaBank Payments & Consumer, con las empresas del
Grupo CaixaBank o con terceros, tales como, movimientos de cuentas o
tarjetas, detalles de recibos domiciliados, domiciliaciones de nóminas,
siniestros derivados de pólizas de seguro, reclamaciones, etc.

c) Todos los que CaixaBank Payments & Consumer o las empresas del
Grupo CaixaBank obtengan de la prestación de servicios a terceros,
cuando el servicio tenga como destinatario al Titular, tales como la
gestión de trasferencias o recibos.

d) Su condición o no de accionista de CaixaBank según conste en los
registros de esta, o de las entidades que de acuerdo con la normativa
reguladora del mercado de valores hayan de llevar los registros de los
valores representados por medio de anotaciones en cuenta.

e) Los obtenidos de las redes sociales que el Titular autorice a consultar.

f) Los obtenidos de terceras entidades como resultado de solicitudes de
agregación de datos solicitadas por el Titular.

g) Los obtenidos de las navegaciones del Titular por el servicio de la web
de CaixaBank Payments & Consumer y otras webs esta y/o de las
empresas del Grupo CaixaBank o aplicación de telefonía móvil de
CaixaBank Payments& Consumer y/o de las empresas del Grupo
CaixaBank, en las que opere debidamente identificado. Estos datos
pueden incluir información relativa a geolocalización.

h) Los obtenidos de chats, muros, videoconferencias o cualquier otro
medio de comunicación establecida entre las partes.

Los datos del Titular podrán ser complementados y enriquecidos por datos
obtenidos de empresas proveedoras de información comercial, por datos
obtenidos de fuentes públicas, así como por datos estadísticos,
socioeconómicos (en adelante, “Información Adicional”) siempre verificando
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/133

que estos cumplen con los requisitos establecidos en las normas vigentes
sobre protección de datos.”

7. En cuanto al número de interesados cuyos datos personales han sido tratados en el
desarrollo de la actividad de perfilado por categoría (cliente, potencial cliente) y año
(2018 y 2019), (…).

Por último, respecto de la tercera actividad que lleva a cabo denominada “Análisis y
selección de público objetivo” expone lo siguiente:

1. Respecto de la definición de la lógica aplicada en el perfilado y de las
consecuencias previstas de dicho tratamiento para el interesado, señala que “La
actividad de tratamiento denominado como Perfilado Comercial responde a la
necesidad de CPC de analizar, seleccionar y extraer, de forma previa a su impacto
comercial, el público objetivo al que se dirigirán las comunicaciones comerciales
asociadas a una potencial campaña.

A tal efecto, CPC selecciona y extrae la información de los clientes a los que
potencialmente se les remitirá las comunicaciones comerciales de la campaña en
cuestión.

Para ello, se tratan los datos personales procedentes de fuentes internas de CPC
(Host, DataPool y DataWareHouse) de aquellos de sus clientes que han autorizado
expresamente el tratamiento de perfilado comercial y, posteriormente, no lo han
revocado. Sobre los mencionados repositorios (Host, DataPool y DataWareHouse), se
toma un listado de clientes en base al resultado obtenido una vez llevado a cabo el
tratamiento en base al consentimiento del cliente, detallado en el apartado anterior (“II.
Análisis de la capacidad de devolución o riesgo de impago para la gestión del riesgo
de crédito concedido a clientes”) y sobre dicho listado de clientes, se aplican filtros de
selección basados en datos identificativos tales como rangos de edad, idioma de
comunicación, sexo, localidad o domicilio, con el objetivo de proceder a la extracción
del público objetivo al que irá dirigida la campaña. En última instancia, el sistema
genera un fichero con la selección del público objetivo que reúne las condiciones
fijadas una vez aplicados los filtros.

Se debe advertir, no obstante, que los criterios de selección que, en esencia,
constituyen la lógica aplicada al perfilado, no devienen parámetros estandarizados
sino que son segmentos que varían y se ajustan a las necesidades propias del
Producto o de las características asociadas a la iniciativa comercial o promocional de
la que se pretende su lanzamiento, así como a la tipología o el volumen de los datos
de que CAIXABANK PAYMENTS & CONSUMER dispone con respecto a cada uno de
los interesados.

Por su parte, la consecuencia que la actividad de perfilado llevada a cabo por
CAIXABANK PAYMENTS & CONSUMER genera sobre el cliente, queda circunscrita al
hecho de que pasará, o no, a formar parte de un listado que podrá ser potencialmente
empleado en el marco de una campaña comercial.”

2. Respecto de la descripción de la finalidad del tratamiento y detalle de la base de
legitimación del artículo 6.1 del RGPD en que se sustenta, manifiesta que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/133

“CAIXABANK PAYMENTS & CONSUMER trata los datos de carácter personal de los
interesados asociados a la actividad de Perfilado Comercial con el fin de conocer si los
mismos cumplen las condiciones necesarias para su inclusión en una potencial
campaña comercial y mejorar el impacto de sus campañas comerciales. En definitiva,
aunque expresado en distintos términos, el proceso de perfilado vinculado a esta
actividad de tratamiento se efectúa con el ánimo de generar el listado con el público
objetivo que, en momentos ulteriores, podrá ser explotado para impactar a los clientes
mediante comunicaciones con contenido comercial. Por su parte, en cuanto al título
habilitante, es el previsto en el art. 6.1.a) del RGPD (consentimiento).

3. En cuanto al procedimiento seguido para cumplir con el deber de información al
interesado (artículos 13 y 14 del RGPD), remite a lo expuesto en la actividad de
tratamiento “Análisis de la capacidad de devolución o riesgo de impago para la gestión
del riesgo de crédito concedido a clientes” en la que se hacía referencia al documento
anexo nº12.

4. En lo que respecta a los medios utilizados para la recogida del consentimiento en
caso de que la actividad de tratamiento se ampare en el artículo 6.1.a del RGPD, se
remite igualmente a los señalados en la actividad de tratamiento “Análisis de la
capacidad de devolución o riesgo de impago para la gestión del riesgo de crédito
concedido a clientes.”

5. Expone lo siguiente respecto de las categorías de interesados y de datos
personales objeto de tratamiento:

“La categoría de interesados objeto del tratamiento denominado Perfilado Comercial
es la de clientes con contrato vigente con CPC. La categoría de potenciales clientes en
ningún caso es objeto de esta actividad de tratamiento”

“Los datos personales objeto de tratamiento son los siguientes:

- Identificativos: identificador de cliente, NIF/NIE/Pasaporte, nombre y apellidos, fecha
de nacimiento, sexo, dirección postal, correo electrónico, teléfono (fijo o móvil) e
idioma de comunicación.

Financieros: productos y servicios contratados y condición de
titular/beneficiario/apoderado y la etiqueta resultante del tratamiento descrito en el
apartado anterior II).”

6. En cuanto al origen de los datos personales objeto de tratamiento (con indicación de
la base de legitimación que sustenta, manifiesta que “El origen de los datos de
carácter personal objeto de tratamiento es el propio interesado y las fuentes internas
propias de CAIXABANK PAYMENTS & CONSUMER, ya descritas en el punto 1 de
este apartado (III. Tratamiento: “Perfilado Comercial”), así como las etiquetas
detalladas en el apartado anterior (Análisis de la capacidad de devolución o riesgo de
impago para la gestión del riesgo de crédito concedido a clientes). En este caso, la
base de legitimación es el consentimiento del interesado (art. 6.1.a RGPD).”

7. En cuanto al número de interesados cuyos datos personales han sido tratados en el
desarrollo de la actividad de perfilado por categoría (cliente, potencial cliente) y año
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/133

(2018 y 2019), señala que “En primer lugar, hay que indicar que los números que se
reflejan a continuación hacen referencia únicamente a la categoría de clientes, puesto
que en esta actividad de perfilado no se tratan datos de potenciales clientes, de
acuerdo con lo expuesto en el punto b) de las Consideraciones Preliminares. (…).”

SEXTO: Se obtiene información sobre el volumen de ventas de la entidad siendo los
resultados de la cifra de negocio durante el año 2019 de 872.976.000 €. El capital
social asciende a 135.155.574 €.

SÉPTIMO: Con fecha 23 de diciembre de 2020, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo
83.5.a del RGPD, declarando que la sanción que pudiera corresponder ascendería a
un total de de 3. 000.000,00 euros, sin perjuicio de lo que resultase de la instrucción.

OCTAVO: Notificado el citado acuerdo de inicio, la entidad investigada presentó el 28
de diciembre de 2020 escrito, reiterado el 4 de enero de 2021, en el que solicitaba
ampliación de plazo al objeto de presentar alegaciones. Concedida la ampliación del
plazo con fecha 30 de diciembre de 2020, se presentó escrito de alegaciones en fecha
19 de enero de 2021, en el que solicita la anulación del acuerdo de inicio,
subsidiariamente el archivo de las actuaciones y subsidiariamente, en caso de que se
le considere responsable de las infracciones del artículo 6, que se acuerde el
apercibimiento o, en su defecto, que se imponga la cuantía de la sanción en su grado
mínimo. En todo caso que no se declaren nulos los consentimientos obtenidos y, si
fuera el caso, se ordene por parte de la AEPD las medidas que a su juicio puedan ser
adecuadas para mejorar el cumplimiento de la normativa de protección de datos.

La citada entidad basa sus peticiones en las alegaciones que, resumidamente, se
exponen a continuación, que divide en dos grupos:

A. En relación con el acuerdo de inicio y la vulneración de principios de
actuación administrativa y del procedimiento sancionador

1. Considera que para la Agencia la denuncia a que hace referencia el hecho primero
del acuerdo de inicio, es relevante para la adopción de éste, ya que en el SEGUNDO
antecedente de hecho se señala textualmente que “A la vista de esta reclamación, con
fecha 16 de octubre de 2019 la Directora de la Agencia Española de Protección de
datos instó a la Subdirección General de Inspección de Datos el inicio de actuaciones
previas de investigación que revelen de qué forma CAIXABANK CONSUMER
FINANCE EFC, S.A.U está realizando perfilados de los datos personales de sus
clientes en el contexto de su actividad comercial, con objeto de verificar su adecuación
a la normativa de protección de datos personales.”

Señala que los hechos que motivan la incoación de un procedimiento sancionador
forman parte del contenido mínimo del acuerdo de iniciación (artículo 64.2.b de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas, en adelante LPACAP) y que, a pesar de la relevancia que
tiene la denuncia en el Acuerdo de Inicio, se han obviado algunos detalles sobre el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/133

trámite seguido con tal Reclamación ya que, si bien se menciona que ésta fue
trasladada al Delegado de Protección de Datos del responsable del tratamiento, no se
hace referencia a la fecha del traslado (29 de noviembre de 2018); se indica
erróneamente que el traslado de la reclamación se llevó a cabo de conformidad con lo
previsto en el artículo 65.4 de la LOPDGDD, cuando se llevó a cabo de conformidad
con lo previsto en el artículo 9.4 del Real Decreto-ley 5/2018 (BOE 30 de julio de 2018,
derogado el 7 de diciembre de 2018 por la LOPDGDD y se obvia que el 7 de febrero
de 2019 la AEPD acordó no admitir a trámite la aludida reclamación.

No se acompaña motivación alguna por parte de la Agencia al hecho de que una
inadmisión a trámite de una reclamación dé lugar 8 meses después al inicio de unas
actuaciones previas de investigación. No existe una conexión directa entre el
contenido de la reclamación inadmitida y el inicio de actuaciones previas. Ya que el
objeto de la denuncia no admitida a trámite, fue el hecho de que al denunciante se le
incluyó en una campaña de créditos preconcedidos y que tal comunicación comercial
se atribuyó a un error humano, calificado como de puntual y excepcional, por otra
parte, un error no relacionado con la lógica o el proceso de la elaboración de perfiles,
sino más bien por haber considerado que el interesado era aún cliente de la Entidad,
adoptándose en su momento medidas para que no volviera a suceder, error que, en
todo caso, no generó perjuicio alguno al interesado o a terceras personas.

De un error humano puntual y excepcional que tuvo como única consecuencia para el
interesado su inclusión en una campaña comercial y respecto del cual la Directora de
la AEPD acordó no admitir a trámite la reclamación, aparentemente se deriva que 8
meses después la misma Directora inste a la Subdirección General de Inspección de
Datos a que iniciara actuaciones previas de investigación, a los efectos de obtener
información sobre la forma en que CAIXABANK CONSUMER FINANCE EFC, S.A.U
estaba “realizando perfilados de los datos personales de sus clientes en el contexto de
su actividad comercial”, con el “objeto de verificar su adecuación a la normativa de
protección de datos personales”.

2. Afirma que con carácter general, la posibilidad de abrir un periodo de información o
de actuaciones previas antes de iniciar un procedimiento sancionador está prevista en
el artículo 55 de la LPACAP, y corresponde exclusivamente al órgano competente para
iniciar tal procedimiento administrativo tomar esa decisión en toda su extensión, es
decir, no meramente acordar el inicio, deberá también concretar el alcance de la
investigación. En este caso, tal decisión corresponde exclusivamente a la Directora de
la AEPD, como titular del órgano administrativo. El requerimiento de información
planteado el 6 de febrero de 2020 claramente se extralimitó en las instrucciones sobre
las actuaciones previas dadas por la Directora de la Agencia, en particular en cuanto al
alcance de la investigación, ya que lo que fue instado por la Directora de la AEPD, el
16 de octubre de 2019, fue averiguar cómo se llevaba a cabo el perfilado de datos
personales de los “clientes de CPC”; sin embargo, el requerimiento de información
cursado amplió sorpresivamente su alcance ya que el Inspector decidió incluir también
a los “potenciales clientes”, un cambio sin duda significativo que sobrepasa las
atribuciones del personal que desarrolla la actividad de investigación, que vienen
concretadas en el artículo 53 de la LOPDGDD, ya que estos deben limitarse a
investigar aquello que el titular del órgano administrativo haya decidido que debe ser
objeto de actuaciones previas de investigación. No sabemos si hay que seguir
atribuyendo esta circunstancia a un nuevo error en la tramitación o si es práctica
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/133

habitual que los inspectores decidan arbitrariamente cuál es el alcance de las
actuaciones previas de investigación, desoyendo las instrucciones del titular del
órgano administrativo; esperamos, en todo caso, que la Agencia se pronuncie al
respecto.

3. Afirma que, tal vez, la explicación a algunas de las dudas planteadas sobre las
razones por las que se ha dictado el Acuerdo de Inicio se encuentra en el hecho de
que las actuaciones relacionadas con este se han alimentado de otro procedimiento
sancionador contra CAIXABANK, S.A. (procedimiento número: PS/00477/2019), cuya
dilatada tramitación va en paralelo a las actuaciones relacionadas con el Acuerdo de
Inicio, y en el que también ha sido objeto de investigación, y de resolución, la misma
recogida de consentimientos para la elaboración de perfiles, de modo que nos
encontraríamos ante un presunto caso de vulneración del principio “non bis in ídem”,
en primer término desde la perspectiva material, que impone a la Agencia evitar la
duplicidad de sanciones por los mismos hechos, es decir, que podría llegar a
sancionarse dos veces la misma conducta, ya que la conducta que da lugar al Acuerdo
de Inicio (presunta falta de consentimiento para el tratamiento de perfilado) es la
misma que ya ha sido objeto de resolución por la AEPD con fecha 7 de enero de 2021
en el procedimiento sancionador contra CAIXABANK, S.A., por lo que el Acuerdo de
Inicio, en el improbable supuesto de que se siga tramitando el procedimiento
sancionador iniciado contra CPC, podría vulnerar el principio “non bis in ídem”,
prohibido en nuestro ordenamiento jurídico.

CPC forma parte del Grupo CaixaBank. La forma en la que ha sido articulado este
Grupo responde a la regulación del sector bancario, lo que conlleva que muchos
tratamientos se realicen en régimen de corresponsabilidad; en particular, esa
corresponsabilidad aplica al tratamiento identificado en el apartado 6.1.
(TRATAMIENTOS BASADOS EN EL CONSENTIMIENTO), con la letra A, descrito
como “Análisis de sus datos para la elaboración de perfiles que nos ayuden a ofrecerle
productos que creemos que pueden interesarle”, en la política de privacidad de
CAIXABANK, S.A., en su versión de 17 de diciembre de 2020, disponible públicamente
en https://www.caixabank.es/particular/general/politica-privacidad.html, y en la Política
de Privacidad de CPC, disponible en https://www.caixabankpc.com/, a pie de página
en el enlace “Política de privacidad”.

Existe identidad de sujeto sancionado, ya que CAIXABANK, S.A. y CPC forman parte
del Grupo CaixaBank, que como sociedades actúan en régimen de corresponsabilidad
respecto de tratamientos que implican la elaboración de perfiles para una misma
actividad de negocio, y en ambos casos se ha imputado la presunta infracción del
artículo 6 del RGPD sobre el mismo tratamiento y con vinculación material a una
misma recogida de consentimientos; por tanto, nos encontramos ante una indiscutible
identidad del sujeto, hecho y fundamento, en consecuencia lo ajustado a derecho sería
proceder al archivo del acuerdo de iniciación del procedimiento sancionador incoado
contra CPC, a fin de que esta Agencia cumpla con el ordenamiento jurídico y no se
separe arbitrariamente de sus propios precedentes administrativos (cuestión sobre la
que incidiremos, desde otra perspectiva y en detalle, más adelante).

4. Alega que el artículo 9.3 de Constitución prohíbe la actuación arbitraria de los
poderes públicos, y el artículo 103 obliga a que la Administración Pública sirva con
objetividad los intereses generales, considerando que el acuerdo de inicio del presente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/133

procedimiento sancionador es una actuación arbitraria que no persigue con objetividad
el interés general, evidenciando, además, un trato discriminatorio respecto de otros
administrados. Causa extrañeza a esta parte que, si la Agencia tenía una especial
preocupación por la adecuación a la normativa de protección de datos personales de
los tratamientos efectuados por las entidades financieras, no hubiera procedido a
plantear un plan de auditoria preventivo ya que, tal y como dispone el artículo 54 de la
LOPDGDD, la Presidencia de la Agencia Española de Protección de Datos puede
acordar la realización de planes de auditoría preventiva referidos a los tratamientos de
un sector concreto de actividad. Lo que nos causa extrañeza y plantea dudas sobre la
aplicación del principio de igualdad de trato es que para otros sectores parece que la
Agencia ha sido más sensible y ha preferido llevar a cabo una aproximación más
preventiva en su actividad de supervisión. La actuación administrativa de la AEPD
resulta errática en base a la aplicación de criterios dispares a la hora de decidir qué
mecanismos utilizar con unas u otras entidades o sectores, máxime teniendo en
cuenta que la Directora de la institución en declaraciones públicas ha equiparado a
ciertos sectores y, sin embargo, después ha decidido aplicar criterios de actuación
administrativa muy diferentes.

Conocemos sobradamente que ya en el año 2016 CAIXABANK, S.A. compartió con la
AEPD aspectos que ahora han sido objeto de sanción, o por los que se pretende
ahora sancionar a CPC, cuando decidió de motu propio comunicar a la autoridad una
estructura documental relacionada con la adecuación del Grupo Caixabank al RGPD,
solicitando además expresamente una reunión o contactos, a fin de obtener y adoptar
criterios y recomendaciones que la AEPD hubiera querido trasladar al respecto;
gestiones iniciales que no dieron resultado a pesar de la insistencia de CAIXABANK,
S.A.. Así pues, el Grupo Caixabank adoptó una actitud diligente y preventiva, y el
efecto ha sido que la AEPD haya adoptado una actitud exclusivamente punitiva con el
Grupo Caixabank. ¿Dónde queda entonces la función que debe asumir la AEPD,
según lo dispuesto por el artículo 57.1.d del RGPD, de “promover la sensibilización de
los responsables y encargados del tratamiento acerca de las obligaciones que les
incumben”.

5. Cuando la Directora de la AEPD, en entrevistas concedidas a medios de
comunicación a inicios de 2020, adelantaba el resultado de expedientes
sancionadores apenas iniciados, vulneraba el principio de presunción de inocencia
(cuestión sobre la que incidiremos en profundidad más adelante), pero además faltaba
a la debida discreción que debe mantener una autoridad en relación a este tipo de
asuntos, y aún más allá, también olvidaba lo dispuesto en el artículo 54.2 del RGPD,
que dispone que: “El miembro o miembros y el personal de cada autoridad de control
estarán sujetos, de conformidad con el Derecho de la Unión o de los Estados
miembros, al deber de secreto profesional, tanto durante su mandato como después
del mismo, con relación a las informaciones confidenciales de las que hayan tenido
conocimiento en el cumplimiento de sus funciones o el ejercicio de sus poderes. ”; así,
por poner tres ejemplos, tenemos las siguientes entrevistas e intervenciones públicas
de la Directora de la AEPD, la Ilma. Sra. Mar España Martí:

- El 13 de enero de 2020, en una entrevista en “Cinco días” de El País, se usa como
titular de la misma una de las afirmaciones de la Directora de la AEPD: “Hay
expedientes a grandes empresas que pueden acabar en sanciones muy altas”
https://cincodias.elpais.com/cincodias/2020/01/10/legal/1578667140_483443.html
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/133

- El 9 de febrero de 2020, en otra entrevista en “La Voz de Galicia”, de nuevo se usa
como titular un de las declaraciones de la Directoria de la AEPD; en este caso
con pleno convencimiento de que se sancionará: “Habrá sanciones muy
importantes por vulnerar la protección de datos”
https://www.lavozdegalicia.es/noticia/sociedad/2020/02/08/marespana-habra-
sanciones-importantes-vulnerar-
protecciondatos/00031581176394099239215.htm

- El 13 de marzo de 2020, en la crónica de la revista “Elderecho.com” (de la editorial
jurídica Lefebvre), sobre el XII Foro de la privacidad, organizado por ISMS Forum,
junto con el Data Privacy Institute (DPI), celebrado el 3 de marzo de 2020 en el
Auditorio Principal CaixaForum Madrid, se reproduce una parte de la intervención de la
Directora de la AEPD en los siguientes términos, que ya proporcionaron detalles más
precisos sobre esas sanciones previstas: “Tenemos ya dos o tres procedimientos
sancionadores de alto impacto que van a tener mucha repercusión mediática en
relación con el sector financiero, serán las primeras multas cuantitativas importantes
por parte de la Agencia.”

En relación a la última manifestación referenciada, es evidente que la repercusión
mediática es el principal resultado buscado por esos procedimientos sancionadores a
que se hace referencia, a pesar de estar todavía en aquel momento en fases de
tramitación muy iniciales, un impacto derivado del hecho de que iban a suponer unas
“multas cuantitativas importantes”, no tanto por el resultado de protección del derecho
fundamental a la protección de los datos personales y de los interesados, que no es
que quede en segundo plano, sino que simplemente parece no tener relevancia alguna
en esos procedimientos sancionadores; al menos esa conclusión se puede extraer de
lo expresado por la Directora de la AEPD, ya que no parece haber un interés general a
proteger, ni unos daños y perjuicios a remediar, ni unos bienes jurídicos a preservar.
Todo queda en el objetivo de conseguir: “mucha repercusión mediática”.

Conviene recordar que el requerimiento de información que se dirigió a CPC tuvo lugar
el 6 de febrero de 2020 y el acuerdo de iniciación de expediente sancionador a
CAIXABANK, S.A. el 21 de enero de 2020. Tal y como se ha puesto sobradamente en
evidencia, ya en ese mismo momento, la Directora de la AEPD tuvo la capacidad de
prever que habría sanciones muy importantes; previamente, apenas un mes antes, el
2 de diciembre de 2019, la AEPD había acordado el inicio de procedimiento
sancionador a la entidad BBVA , que se resolvió con la imposición de una multa total
de cinco millones de euros; es decir, en menos de 3 meses se iniciaron actuaciones en
relación a entidades financieras y ya se sabía que todas ellas tendrían como resultado
cuantiosas multas administrativas, unas multas con cuantías no impuestas hasta el
momento, todo y que el RGPD y su régimen sancionador ya era de aplicación desde el
25 de mayo de 2018.

En cuanto a la ya mencionada vulneración del derecho fundamental a la presunción de
inocencia, reconocido por el artículo 24.2 de la Constitución Española, el propio
Tribunal Constitucional ha proyectado el contenido de este derecho fundamental en los
procedimientos administrativos sancionadores. A este efecto, las SSTC 129 y 131,
ambas del 30 de junio, establecen: “(…) la presunción de inocencia rige sin
excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/133

de cualesquiera sanciones, sean penales, sean administrativas (…), pues el ejercicio
de ius puniendi en sus diversas manifestaciones está condicionado por el artículo 24.2
de la Constitución al juego de la prueba y a un procedimiento contradictorio en el que
puedan defenderse las propias posiciones.”

Este principio se encuentra, asimismo, expresamente recogido para los
procedimientos administrativos sancionadores en el artículo 53.2.b) de la LPACAP.

La presunción de inocencia tiene un doble significado esencial; por un lado, es una
regla de juicio y, por el otro, constituye una regla de tratamiento, esto es, en relación
con el trato que debe darse al imputado durante la tramitación del procedimiento
sancionador. En este sentido, la jurisprudencia constitucional obliga a considerar
inocente al imputado y a tratarlo como tal durante la tramitación de todo el
procedimiento, tanto dentro como fuera de este, lo que conlleva que no pueda
castigársele antes de que se pruebe su culpabilidad. Así, la STC 25/2003, de 10 de
febrero, subraya que “la presunción de inocencia, además de constituir un principio o
un criterio informador del ordenamiento procesal penal es, ante todo, un derecho
fundamental en cuya virtud una persona acusada de una infracción no puede ser
considerada culpable hasta que así se declare en sentencia condenatoria”.

Ad extra, la presunción de inocencia como regla de tratamiento implica que la
Administración no puede perjudicar al inculpado en otros ámbitos, precisamente por
estar tramitándose un procedimiento sancionador en su contra o, en general, por ser
sospechoso de haber cometido una infracción administrativa.
En el presente caso, nos hallamos ante el inicio de un procedimiento sancionador,
precedido de un requerimiento de información previa de 6 de febrero de 2020. Pues
bien, antes de que expirara el plazo administrativo preceptivo para dar respuesta a
dicho requerimiento, en concreto, el día 3 de marzo, en un acto de ISMS Fórum
celebrado en Madrid, tal y como ya se ha descrito en detalle anteriormente, la
Directora de la AEPD, máxima autoridad de la institución, y persona competente para
resolver el presente expediente , señaló públicamente sobre la existencia de dos o tres
procedimientos sancionadores de alto impacto que iban a tener mucha repercusión
mediática en relación con el sector financiero.

De conformidad con los artículos 24.2, 103. 1 y 3 CE –y art. 6.1 del Convenio Europeo
de Derechos Humanos-, cualquier actuación de la Administración Pública debe
obedecer a los principios de objetividad e imparcialidad; no obstante, en este caso, sin
haber valorado todavía la respuesta al requerimiento de información, puesto que esta
fue presentada el 2 de junio de 2020 (casi tres meses después de las mencionadas
declaraciones de la Directora ), la persona que ha de resolver, y de quien, además,
como autoridad máxima, dependen jerárquicamente inspectores e instructores de la
AEPD, lejos de guardar alguna apariencia de justicia decidió (públicamente) que
habría sanción, y ello sin tan solo haber acordado la iniciación de procedimiento
sancionador.

Debe remarcarse que la Directora de la AEPD no es solo quien dicta las resoluciones
sino que, atendiendo al artículo 12.2 i) del Estatuto Orgánico de la AEPD (RD
428/1993 de 26 de marzo), tiene como una de sus funciones la de “Iniciar, impulsar la
instrucción y resolver los expedientes sancionadores referentes los responsables de
los ficheros privados”. Y debe remarcarse, también, que la AEPD es la única de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/133

denominadas administraciones independientes que no tiene como máximo órgano de
resolución de expedientes a un órgano colegiado sino a una sola persona. Por tanto,
no hay debate en la afirmación de que es su sola voluntad la que informa el impulso
instructor y la que determinará la resolución final del expediente administrativo. Pues
bien, si la persona que va a resolver por sí misma este procedimiento sancionador, la
persona que ha estado impulsando su instrucción, en definitiva, la máxima autoridad
de la institución, tenía claro, antes de escuchar qué tenía que decir CPC al respecto,
que le iba a sancionar, y lo tenía tan claro como para decirlo en un acto público, difícil
es entender que no se haya producido una flagrante conculcación del derecho
fundamental a la presunción de inocencia (artículo 24.2 de la Constitución). Esto, en
definitiva, debería llevar a la inmediata nulidad de las actuaciones administrativas.

Asimismo, son reiteradas las resoluciones de procedimientos sancionadores de esta
Agencia en los que se sanciona al responsable del tratamiento por infracción del
artículo 6 RGPD (vid. PPSS 00235/2019, 00182/2019, 00415/2019) y que, teniendo en
cuenta la condición de gran empresa y volumen de negocio, entre otros, ni de lejos las
sanciones alcanzan el nivel económico de la propuesta de sanción contenida en el
presente Acuerdo de Inicio, puesto que son sanciones que han oscilado entre los
60.000€ y los 120.000€.

En este sentido, no se entiende en qué se basa esta Agencia para modular las
sanciones económicas puesto que el Acuerdo de Inicio ni motiva ni explica
mínimamente la aplicación de los criterios de graduación de la sanción, ni el hecho de
desviarse de los mismos en la sanción propuesta, tratándose de hechos muy
semejantes.

Al hilo del punto anterior, de manera subsidiaria, y en el improbable supuesto de que
esta Agencia resolviese que debe sancionar a CPC por las infracciones imputadas y
no estimase las presentes alegaciones, esta representación entiende que resultarían
de aplicación los siguientes criterios de valoración de las sanciones establecidos en el
artículo 83.2 RGPD (en calidad de atenuantes): (a) Cualquier medida tomada por el
responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por
los interesados (art. 83.2.c) RGPD): CPC ha realizado un importante esfuerzo durante
los últimos años –y especialmente desde la entrada en aplicación del RGPD y la fusión
realizada el 11 de julio de 2019 – para proporcionar a sus clientes la información
pertinente sobre el tratamiento de sus datos personales de forma adecuada. El
ejemplo más claro de esta iniciativa lo constituye las diferentes versiones de las
políticas y cláusulas de privacidad, hecho que reafirma la proactividad y espíritu de
mejora continua de CPC. Este comportamiento demuestra un claro ejercicio de
transparencia y lealtad, así como una actividad proactiva y diligente por parte de CPC
en relación con el cumplimiento de la normativa de protección de datos, además de
demostrar el afán de CPC por reparar potenciales errores, si los hubiera, a la hora de
recabar los consentimientos de los interesados.

El grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción (art. 83.2.f) RGPD):

CPC ha mostrado, en todo momento, su disposición a colaborar con la Agencia a fin
de mejorar aquellos aspectos de los tratamientos que sean susceptibles de mejora.
Según se ha puesto de manifiesto en el presente Escrito, CPC ha puesto en marcha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/133

una serie de medidas dirigidas a esa mejora en la recogida de los consentimientos.
Así, estas circunstancias deben ser valoradas por la Agencia como atenuantes. Cabe
recordar que tanto CPC como su delegado de protección de datos han estado, en todo
momento, disponibles para cooperar y han sido proactivos en la respuesta a
cualesquiera requerimientos de la Agencia.

El grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción (art. 83.2.f) RGPD):
CPC ha mostrado, en todo momento, su disposición a colaborar con la Agencia a fin
de mejorar aquellos aspectos de los tratamientos que sean susceptibles de mejora.
Según se ha puesto de manifiesto en el presente Escrito, CPC ha puesto en marcha
una serie de medidas dirigidas a esa mejora en la recogida de los consentimientos.
Así, estas circunstancias deben ser valoradas por la Agencia como atenuantes. Cabe
recordar que tanto CPC como su delegado de protección de datos han estado, en todo
momento, disponibles para cooperar y han sido proactivos en la respuesta a
cualesquiera requerimientos de la Agencia.

Omitiendo los criterios anteriormente indicados, el Acuerdo de Inicio se refiere, sin
justificación ni motivación alguna, a los siguientes criterios en relación con cada
infracción imputada, limitándose a su simple enumeración, sin siquiera indicar su
aplicación como agravante o atenuante, lo cual genera indefensión puesto que no
somos capaces de comprender la intención de la AEPD (y solo nos queda, vistas las
desproporcionadas sanciones propuestas interpretar como agravantes).

A continuación, nos referimos a aquellos criterios que de forma más notoria distan de
la realidad:

(a) La naturaleza, gravedad y duración de la infracción (art. 83.2.a) RGPD): Resulta
sorprendente que la AEPD proponga la imposición a CPC de una multa de cuantía tan
elevada por cuestiones que no revisten una especial gravedad:

— No estamos ante un supuesto en el que CPC haya prescindido radicalmente de las
obligaciones relacionadas con la obtención de consentimientos, sin perjuicio de que la
AEPD considere que habría que subsanar determinadas cuestiones, que podrían
suponer mejoras a la manera en que se recaban los consentimientos.

— No se tratan categorías especiales de datos (art. 9 RGPD y 9 LOPDGDD).

— Hasta la fecha, las sanciones impuestas por infracción del artículo 6 RGPPD no han
alcanzado el nivel económico propuesto en el presente Acuerdo de Inicio (con la
excepción de la sanción impuesta a la entidad BBVA, ya referenciada).

— Existe una sola reclamación de un cliente de CPC (reclamación, recordemos,
inadmitida a trámite)

Dicho lo anterior, incluso en el supuesto de que la Agencia apreciase hipotéticos
indicios de la comisión de una infracción de la normativa sobre protección de datos
personales, debe tenerse en cuenta que no se ha ocasionado daño o perjuicio alguno
a los clientes de CPC.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/133

Los tratamientos de datos personales, conforme a la operativa explicada con el
máximo nivel de detalle en la respuesta al requerimiento de información, son los
necesarios para el desarrollo de la actividad propia de CPC, así como para las
finalidades correspondientes cuando la base de legitimación del tratamiento es el
consentimiento que libremente otorga el interesado, y se llevan a cabo conforme a los
requisitos exigidos por la normativa aplicable en materia de protección de datos y la
normativa sectorial.

Debe resaltarse la trascendencia que el RGPD primero y la LOPDGDD después han
otorgado al hecho de que la conducta del responsable del tratamiento ocasione un
perjuicio grave y efectivo a los derechos de los afectados. En el presente caso
entendemos que no se ha producido tal perjuicio y que, por tanto, ni es grave ni es
efectivo.

El antiguo Grupo de Trabajo del Artículo 29, en sus Directrices sobre la aplicación y la
fijación de multas administrativas a efectos del Reglamento 201 6/679 (WP 253,
adoptadas el 3 de octubre de 2017), ratificadas por el Comité Europeo de Protección
de Datos (en adelante, “CEPD”), se refiere a esta cuestión en los siguientes términos:
“Si los interesados han sufrido daños y perjuicios, ha de tenerse en cuenta el nivel de
los mismos. El tratamiento de datos personales puede generar riesgos para los
derechos y las libertades individuales, tal y como se recoge en el considerando 75:
«Los riesgos para los derechos y libertades de las personas físicas, de gravedad y
probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar
daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los
que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de
identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de
confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la
seudonimización o cualquier otro perjuicio económico o social significativo; en los
casos en los que se prive a los interesados de sus derechos y libertades o se les
impida ejercer el control sobre sus datos personales; en los casos en los que los datos
personales tratados revelen el origen étnico o racial, las opiniones políticas, la religión
o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos,
datos relativos a la salud o datos sobre la vida sexual, o las condenas e infraccione s
penales o medidas de seguridad conexas; en los casos en los que se evalúen
aspectos personales, en particular el análisis o la predicción de aspectos referidos al
rendimiento en el trabajo, situación económica, salud, preferencias o intereses
personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o
utilizar perfiles personales; en los casos en los que se traten datos personales de
personas vulnerables, en particular niños; o en los casos en los que el tratamiento
implique una gran cantidad de datos personales y afecte a un gran número de
interesados». Si se han sufrido o es probable que se sufran daños y perjuicios debido
a la infracción del Reglamento, la autoridad de control debe tener esto en cuenta a la
hora de seleccionar la medida correctiva, aunque la autoridad de control carezca de
competencias para otorgar la indemnización específica por los daños y perjuicios
sufridos”.

Pues bien, como decimos, en el presente caso no ha quedado acreditado perjuicio
alguno para los derechos de los afectados, ni el único reclamante ha podido acreditar
tales perjuicios, habiendo sido inadmitida su reclamación por la Agencia. Esta
circunstancia debe ser tenida especialmente en cuenta a la hora de determinar la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/133

hipotética infracción y la sanción que, en su caso, pudiera llegar a imponerse. Lo
anterior queda también acreditado por el hecho de que no se hayan producido otras
denuncias ni acciones judiciales por estos hechos. Es decir, no se ha producido daño
alguno que pudiera ser objeto de una acción ante los órganos jurisdiccionales
competentes ya que CPC ha actuado, en todo momento, con plena sujeción a la
normativa sobre protección de datos personales.

(b) La intencionalidad o negligencia apreciada en la comisión de la infracción.

No existe una conducta intencionada en relación con la conculcación de la normativa
de protección de datos de carácter personal. CPC ha actuado de forma diligente,
estableciendo procedimientos claros en relación con la información puesta a
disposición de los clientes y los procedimientos de obtención de consentimientos de
los mismos. CPC tiene afán de mejora y transparencia continua, hecho que se refleja
en la evolución de los documentos y en la mejora de la información contenida en los
mismos.

(c) La alta vinculación de la actividad de CPC con la realización de tratamientos de
datos personales.

CPC es una filial del Grupo CaixaBank y, como establecimiento financiero de crédito,
su actividad es la financiación al consumo y los medios de pago; en ningún caso, su
actividad principal es el tratamiento de datos de carácter personal de sus clientes más
allá de lo que resulta necesario para el desarrollo de esa actividad principal, ni
tampoco se beneficia económicamente del tratamiento de los datos personales de sus
clientes.

(d) Elevado volumen de datos y tratamientos que constituye el objeto del expediente.
El volumen de datos corresponde al imprescindible para poder llevar a cabo con
normalidad la actividad de CPC y, en ningún caso, la presunta infracción afecta a
todos los tratamientos de datos de carácter personal llevados a cabo por CPC, ni se
utiliza la totalidad de la información relativa a los clientes.

6. Concurre en el Acuerdo de Inicio una quiebra del principio de confianza legítima en
la actuación administrativa; como ya se ha descrito en estas alegaciones, el 29 de
noviembre de 2018 la AEPD dio traslado de reclamación y realizó una solicitud de
información (Ref. E/09305/2018) al Delegado de Protección de Datos a raíz de una
denuncia presentada por D. A.A.A.. A partir de la información facilitada por CPC y
atendiendo a las razones expuestas, la AEPD, en fecha 7 de febrero de 2019, acordó
la inadmisión a trámite de la reclamación presentada, hecho que generó sobre CPC la
legítima confianza de su actuación conforme a la ley; meses después se inician
actuaciones previas de investigación, supuestamente en base a la Reclamación,
dando como resultado el Acuerdo de Inicio.

Ya nos hemos preguntado anteriormente: ¿cómo es posible dar inicio a unas
actuaciones previas de investigación en base a una reclamación que no ha sido
admitida a trámite por la propia AEPD?

Esta actuación no puede más que incardinarse en una quiebra de la confianza
legítima, uno de los principios esenciales de la actuación administrativa. Dicho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/133

principio, de construcción jurisprudencial primero por el TJUE y luego por el Tribunal
Supremo , y reconocido posteriormente en el artículo 3 de la Ley 40/2015, de 1 de
octubre, de Régimen Jurídico del Sector Público, está íntimamente interrelacionado
con el principio de buena fe y seguridad jurídica y comporta que “la autoridad pública
no pueda adoptar medidas que resulten contrarias a una razonable esperanza
inducida sobre la estabilidad en las decisiones de aquélla, y en función de las cuales
los particulares han adoptado determinadas decisiones” (STS 173/2020).

Por otro lado, existe como referente la permisividad respecto de otros sujetos. En este
sentido, la AEPD ha hecho públicas otras actuaciones, de carácter preventivo, que
aportan una serie de recomendaciones a otros sectores de actividad, en relación con
la base de licitud pertinente a aplicar en cuanto a la elaboración de perfiles
comerciales; recomendaciones que CPC aplica de manera equivalente en la
configuración de sus tratamientos.

Como decimos, esas recomendaciones para otros sectores crean una confianza
legítima, reforzada por la propia conducta de la AEPD al abstenerse de sancionar
actos de naturaleza idéntica a los atribuidos a CPC, lo que enervaría por completo el
exigible requisito de culpabilidad “por legítima e invencible creencia de estar obrando
lícitamente” (Sic. SAN de 30 de marzo de 1999). 50. En este sentido también, la
doctrina derivada de la SAN de 19 de octubre de 2006 concluye que “(…) La relación
de los administrados con la Administración debe sustentarse en la confianza legítima,
confianza que sólo puede generarse cuando se tiene previsibilidad y seguridad en la
actuación de la Administración. (…) y ningún reproche puede hacerse por la
Administración -ni siquiera la simple inobservancia- a aquel que ajustó su actuación a
sus directrices -las "observó" plenamente-".

7.Concurre, además, una extensión artificial y antijurídica de las actuaciones previas;
tal como se ha descrito repetidamente, la AEPD, según sus propias palabras, inicia un
procedimiento sancionador a la vista de una reclamación inadmitida a trámite. Las
actuaciones previas de investigación acordadas por la AEPD suplantaron la actividad
instructora, habiendo sido prolongadas hasta casi su caducidad.

El Acuerdo de Inicio descansa, prácticamente en su integridad, en elementos de cargo
recogidos durante la fase de actuaciones previas.

Las actuaciones previas de investigación constituyen un mecanismo habilitante de la
actuación de la Administración conferidas a esta "a fin de lograr una mejor
determinación de los hechos y las circunstancias que justifican la tramitación del
procedimiento" (artículo 67 de la Ley Orgánica 3/2018) o a "fin de conocer las
circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento"
(artículo 55 LPACAP).

La incoación de actuaciones previas de investigación tiene un fin muy delimitado:
aunar una base indiciaria de elementos de juicio (que no de prueba) que permitan
tener una mínima certeza del acaecimiento del hecho, de su tipicidad y de la persona
responsable, y con ello, de la pertinencia de incoar un procedimiento sancionador
sobre el mismo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/133

Desde el momento en que la Administración tiene certeza de la comisión de los
hechos y de la identidad del responsable, aunque no se halle totalmente acreditada, la
misma se halla obligada, en aras al debido respeto de la Constitución y de las
garantías en ella consagradas, a incoar inmediatamente el oportuno procedimiento
sancionador.

En este sentido, el Tribunal Supremo ha puesto de manifiesto, entre otras en la
Sentencia de 26 diciembre de 2007, que las actuaciones previas de investigación solo
serán merecedoras de tal consideración (y por tanto, del régimen jurídico aplicable a
las mismas) "en la medida en que aquellas diligencias previas o preparatorias sirvan al
fin que realmente las justifica, esto es, reunir los datos e indicios iniciales que sirvan
para juzgar sobre la pertinencia de dar paso al expediente sancionador, y no se
desnaturalicen transformándose en una alternativa subrepticia a este último".

Del mismo modo, la Sentencia del Tribunal Supremo de 9 de junio de 2006, ha
resaltado la necesidad de salvaguardar las garantías constitucionales del administrado
en casos como el que nos ocupa: "Como resulta de esta norma, la información previa
no es preceptiva, teniendo declarado esta Sala en sentencia de 6 de noviembre de
2000 que «si se dispone de datos suficientes para incoar el expediente, la información
reservada no deberá ser practicada, por ser innecesaria y porque los derechos
fundamentales de defensa del art. 24.2 de la C.E. exigen que no se retrase el
otorgamiento de la condición de imputado o expedientado, evitándose así el riesgo de
utilizar el retraso para realizar interrogatorios en los que el interrogado se encontraría
en una situación desventajosa»".
Resulta especialmente llamativo en este caso, el tiempo transcurrido entre la
inadmisión a trámite de la reclamación y el requerimiento de información previa, esto
es, más de un año; o la prolongación del periodo de actuaciones previas de
investigación por un periodo de 14 meses, eso sí, teniendo en cuenta la ya
mencionada incidencia de la pandemia.

El propio TS, en su Sentencia de 6 de mayo de 2015 establece lo siguiente: "(...) esta
Sala tiene declarado que ese periodo anterior al acuerdo de iniciación «(...) ha de ser
forzosamente breve y no encubrir una forma artificiosa de realizar actos de instrucción
y enmascarar y reducir la duración del propio expediente posterior» (sentencia de 6 de
mayo de 2015, recurso de casación 3438/2012, F.J 2º".

Además, durante este periodo ha tenido lugar de manera paralela un procedimiento
sancionador contra CAIXABANK S.A. (matriz del grupo a que pertenece CPC), donde
casualmente también se imputa, entre otras, una infracción del artículo 6 RGPD, en
relación al mismo tratamiento. Así, teniendo en cuenta la inadmisión a trámite de la
reclamación, el tiempo transcurrido hasta dar lugar a las actuaciones previas y el
procedimiento sancionador contra la matriz de CPC, se desprende que tanto las
actuaciones previas como el acuerdo de inicio de procedimiento sancionador objeto de
las presentes alegaciones (Procedimiento Sancionador) son fruto de la información
obtenida en otro procedimiento administrativo.

B. En relación con la presunta infracción.

El consentimiento de los interesados es específico y debidamente informado. En el
Acuerdo de Inicio la AEPD valora, de forma errónea, que el consentimiento recogido
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/133

por CPC para las finalidades de perfilado no es específico puesto que el órgano
administrativo interpreta que no cumple la exigencia de separación de los fines y la
consecuente prestación del consentimiento para cada uno de ellos, a lo que se añade
la valoración de que el consentimiento prestado tampoco es informado.

Así, debido a la ausencia de los requisitos relativos a la prestación del consentimiento
específico e informado, presuntamente este no sería válido, implicando, por lo tanto,
que los tratamientos basados en el consentimiento del interesado carecerían de
legitimación por un presunto incumplimiento de lo dispuesto en el artículo 6 del RGPD.
Lo anterior se justifica en el Acuerdo de Inicio, en base a cinco factores de la operativa
actual de CPC que, según la AEPD, no estarían alineados con lo dispuesto en la
normativa aplicable en materia de protección de datos personales.

i. Se produce una supuesta ampliación de los fines del tratamiento: se afirma por la
AEPD que, al informar acerca de los tratamientos para la “oferta y diseño de productos
y servicios ajustados al perfil del cliente”, se añaden finalidades como:

— Ajustar medidas recuperatorias sobre los impagos e incidencias derivadas
de los productos y servicios contratados;

— Analizar posibles interdependencias económicas en el estudio de ofertas de
servicios, solicitudes de riesgo y contratación de productos;

— Valorar los servicios recibidos;

— Diseñar nuevos productos o servicios, o mejorar el diseño y usabilidad de
los existentes, así como definir o mejorar las experiencias de los usuarios en su
relación con CaixaBank Payments & Consumer y las empresas del Grupo
CaixaBank.

ii. Se comunican los datos a las empresas del Grupo sin base jurídica: el
consentimiento se solicita para el Grupo CaixaBank, lo que según la AEPD constituye
una comunicación de datos a las empresas del Grupo, que a su vez constituiría una
finalidad específica en sí misma que requeriría, por lo tanto, una manifestación de
voluntad del interesado por la que este consienta que puede llevarse a cabo.

iii. El interesado no puede conocer los datos que se van a tratar para el perfilado:
según la AEPD, la información que se le aporta al interesado contempla datos que no
van a ser objeto de tratamiento y, sin embargo, supuestamente no se le informa del
tratamiento de otros datos que sí serán objeto del mismo, como la consulta a ficheros
de solvencia y a la Central de Información de Riesgos del Banco de España o el
denominado “Risk Score”.

iv. Se tratan datos obrantes en ficheros de solvencia con fines de perfilado con fines de
calificación crediticia sin base jurídica del tratamiento.

v. No se informa al interesado acerca de la operación de perfilado relativa al “Risk
Score”: según la AEPD no se informa al interesado sobre esta nueva operación de
perfilado, ni tampoco sobre la base jurídica que permite su realización, ni sobre los
datos utilizados para llevarlo a cabo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/133

Se afirma que cada una de las afirmaciones anteriores no se corresponde con la
realidad alegando que:

i. No se produce una ampliación de los fines del tratamiento.

La AEPD argumenta que no se han disociado suficientemente las solicitudes de
consentimiento puesto que, al informar acerca de los tratamientos de análisis y estudio
de datos con finalidad comercial, se incluyen tratamientos no compatibles con dicha
finalidad y que, por lo tanto, requieren de una solicitud de consentimiento específica.

Lo cierto es que esa confusión se debe a un error leve en la cláusula informativa, en la
que se cometía el error (subsanado en la actual Política de Privacidad de CPC,
alineada a su vez con la de CAIXABANK, S.A.), de listar operaciones de tratamiento
que no se realizan en base al consentimiento obtenido para el perfilado; en concreto:

- Realizar el seguimiento de los productos y servicios contratados: tratamiento
necesario para la ejecución de la relación contractual con el interesado;

- Ajustar medidas recuperatorias sobre los impagos e incidencias derivadas de
los productos y servicios contratados: tratamiento necesario para la ejecución
de la relación contractual con el interesado;

- Asociar sus datos con los de otros clientes o sociedades con las que tenga
algún tipo de vínculo, tanto familiar o social, como por su relación de propiedad
como de administración, al efecto de analizar posibles interdependencias
económicas en el estudio de ofertas de servicios, solicitudes de riesgo y
contratación de productos: tratamiento necesario para la ejecución de la
relación contractual con el interesado. Además, es un tratamiento necesario
para cumplir con las obligaciones establecidas en la Ley 10/2014, de 26 de
junio, de Ordenación, Supervisión y Solvencia de Entidades de Crédito, en la
Ley 44/2002, de Medidas de Reforma del Sistema Financiero, así como para el
cumplimiento de las demás obligaciones y principios de la normativa sobre
concesión de préstamo responsable;

- Realizar estudios y controles automáticos de fraude, impagos e incidencias
derivadas de los productos y servicios contratados: Tratamiento realizado por
ser necesario para la satisfacción del interés legítimo de CPC de evitar fraudes
que le supongan pérdidas económicas o reputacionales;

- Realizar encuestas de satisfacción por canal telefónico o por vía electrónica
con el objetivo de valorar los servicios recibidos: Tratamiento necesario para la
ejecución de la relación contractual con el interesado;

- Diseñar nuevos productos o servicios o mejorar el diseño y usabilidad de los
existentes, así como definir o mejorar las experiencias de los usuarios en su
relación con CPC y las empresas del Grupo CaixaBank: Es un tratamiento que
no se realiza con datos personales sino analizando estadísticas y datos
agregados tras procesos de anonimización.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/133

Esta incidencia, tras ser detectada, ha sido subsanada por el Grupo CaixaBank y, por
tanto, también por CPC, mediante la elaboración de una nueva Política de Privacidad
en la que se detallan correctamente y de forma precisa los tratamientos realizados
para el análisis y estudio con finalidad comercial.

No obstante, pese a reconocer CPC las mencionadas circunstancias, e
independientemente de que se haya procedido a su subsanación, esto no tiene como
consecuencia que se estén recabando consentimientos para diferentes finalidades
bajo una única y aglutinadora pregunta, hecho que efectivamente pudiera afectar al
principio de especificidad del consentimiento.

El consentimiento únicamente se solicita con la finalidad de estudiar productos o
servicios que pudieran ser ajustados al perfil o situación comercial o crediticia concreta
de los clientes para remitirle ofertas comerciales ajustadas a sus necesidades y
preferencias.

El hecho de que se hayan incluido otras finalidades adicionales al informar sobre la
anterior finalidad no implica que se autoricen en bloque diferentes finalidades: en el
caso de que el interesado dé su consentimiento para el perfilado, únicamente se
tratarán sus datos para la finalidad inicial en base al consentimiento prestado. El resto
de las finalidades se llevará a cabo únicamente en el caso de que se den los requisitos
necesarios para que confluyan en cada supuesto las bases jurídicas listadas
previamente.

ii. No se comunican los datos a las empresas del Grupo CaixaBank sin base jurídica

En el Acuerdo de Inicio se indica que el hecho de solicitar los consentimientos para el
Grupo CaixaBank constituye una comunicación de datos a las empresas del Grupo.
Dicha supuesta comunicación de datos a las empresas del Grupo constituiría una
finalidad específica en sí misma que requeriría, por lo tanto, según la AEPD, una
manifestación de voluntad del interesado por la que este consienta que puede llevarse
a cabo.

No obstante, conviene indicar que no se produce comunicación de datos alguna
puesto que existe un régimen de corresponsabilidad entre las sociedades del Grupo
CaixaBank, por existir un acuerdo de determinación conjunta de los objetivos y los
medios del tratamiento objeto del Acuerdo de Inicio, tal y como dispone el artículo 26
del RGPD.

Tal y como concreta el CEPD, en sus “Guidelines 07/2020 on the concepts of
controller and processor in the GDPR” (adoptadas el 2 de septiembre de 2020), la
evaluación de la corresponsabilidad debe realizarse sobre un análisis fáctico, más que
formal, sobre la influencia en la determinación de los fines y medios del tratamiento;
por ejemplo, la corresponsabilidad puede adoptar la forma de una decisión tomada por
dos o más entidades, o puede ser el resultado de decisiones convergentes de dos o
más entidades en cuanto a los fines y medios esenciales. Por tanto, la
corresponsabilidad se sustenta en base a decisiones adoptadas por las diferentes
entidades que quieren actuar como corresponsables del tratamiento; es decir, depende
de su voluntad de actuar de manera corresponsable, sin perjuicio de que, en casos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/133

concretos, una norma también pueda establecer de manera expresa esa
corresponsabilidad.

La situación de corresponsabilidad en base a decisiones convergentes se deriva de la
jurisprudencia del Tribunal de Justicia de la Unión Europea, de manera que se puede
considerar que las decisiones convergen en fines y medios si se complementan entre
sí y son necesarios para que el tratamiento tenga lugar, de modo que un criterio
importante para identificar decisiones convergentes en este contexto es si el
tratamiento en su conjunto no sería posible sin la participación de las entidades
corresponsables.

Asimismo, el CEPD señala que la existencia de corresponsabilidad no implica
necesariamente igual responsabilidad de los distintos operadores involucrados en el
tratamiento de los datos personales; por el contrario, el TJUE ha aclarado que esos
operadores pueden estar involucrados en diferentes etapas del tratamiento y con
diferente grado de intervención, de modo que el nivel de responsabilidad de cada uno
de ellos debe evaluarse teniendo en cuenta todos los aspectos relevantes y
circunstancias del caso particular.

Por tanto, no se produce una comunicación de los datos entre las empresas del Grupo
sino una recogida directa de los mismos por las sociedades en el ámbito de la
corresponsabilidad.

Los consentimientos objeto del Acuerdo de Inicio se gestionan en el marco de la
mencionada corresponsabilidad. Ello se debe a que no sería operativo para las
entidades del Grupo, ni sencillo de manejar para los propios interesados, gestionar
separadamente los consentimientos para aquellos tratamientos que se llevan a cabo
de forma conjunta en el contexto de las actividades del Grupo CaixaBank para un
mismo fin y con los mismos medios, en relación con datos de los que las entidades del
Grupo son corresponsables.

Sin embargo, la mencionada corresponsabilidad no responde únicamente a hacer más
operativa la gestión de los consentimientos y a facilitar a los interesados el manejo y la
comprensión de los tratamientos realizados en base a su consentimiento sino también
a necesidades regulatorias.

En este sentido, a gran parte de las entidades del Grupo CaixaBank, entre ellas a
CPC, se les exige una especial diligencia a la hora de conceder una operación de
activo; diligencia que se traduce en el deber de llevar a cabo un análisis en
profundidad de la capacidad del cliente para endeudarse, así como para cumplir con
las obligaciones derivadas de la contratación de sus productos. Estas obligaciones se
configuran en la normativa de transparencia de operaciones y protección de la
clientela (ver los artículos 29.1 y 14 de la Ley 2/2011, de 4 de marzo, de Economía
Sostenible. y de la Ley 16/2011, de 24 de junio, de contratos de crédito al consumo,
respectivamente).

Adicionalmente, la mencionada normativa exige tener en cuenta también las normas
específicas sobre gestión de riesgos y control interno recogidas en la legislación
vigente sobre regulación prudencial de las entidades de crédito. La normativa sobre
regulación prudencial de las entidades de crédito, o normativa sobre requisitos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/133

solvencia, se ha implementado y adaptado al ordenamiento jurídico de la Unión
Europea a través de las siguientes normas:

- Reglamento UE nº 575/2013, de 26 de junio de 2013, sobre los requisitos
prudenciales de solvencia y riesgos de las entidades de crédito y las empresas de
inversión;

- Directiva 2013/36/UE, de 26 de junio de 2013, relativa al acceso a la actividad de las
entidades de crédito y la supervisión prudencial de las entidades de crédito y las
empresas de inversión, traspuesta al ordenamiento español mediante la Ley 10/2014 y
el Real Decreto 84/2015.

De acuerdo con la normativa listada, las entidades y grupos consolidables de
entidades de crédito (1) deben realizar de manera eficaz el control de los riesgos, tanto
a nivel individual como agregado (2), hecho que implica que el Grupo Consolidado
CaixaBank debe llevar una gestión de riesgos en el ámbito conjunto o global del
mencionado Grupo. Esta gestión incluye la admisión de riesgos y, en consecuencia, el
estudio de la solvencia y la capacidad de retorno del solicitante de una operación de
activo.

(1) La Circular 4/2017, de 27 de noviembre, del Banco de España, a entidades de
crédito, sobre normas de información pública y reservada y modelos de estados
financieros, define la naturaleza y contenido de los grupos consolidables de entidades
de crédito:

Grupos consolidables de entidades de crédito: Son aquellos grupos que tienen que
cumplir con los requisitos prudenciales, en base consolidada o subconsolidada,
establecidos en el Reglamento (UE) 575/2013 del Parlamento Europeo y del Consejo,
de 26 de junio de 2013 […].

(2) El artículo 40.1 de la Ley 10/2014 establece el ámbito subjetivo de aplicación de la
normativa de solvencia, siendo ésta de aplicación a:

a) A las entidades de crédito

b) A los grupos y subgrupos consolidables de entidades de crédito

Cabe mencionar, además, que el Banco Central Europeo, en el ejercicio de sus
facultades de supervisión, llevó a cabo la inspección identificada como OSI-2017-1-
ESCAX-3084, en la que identificó como aspecto deficiente en relación a los
requerimientos de la Normativa Prudencial y de Solvencia aplicables al Grupo
Consolidado CaixaBank, la no integración de todas las bases de datos de las
entidades del Grupo Consolidado.

Por lo expuesto anteriormente, la corresponsabilidad no implica únicamente beneficios
operativos para el Grupo sino que es necesaria para el adecuado cumplimiento de las
obligaciones legales de CPC y del resto de las entidades del Grupo Consolidado
CaixaBank. Ello supone necesariamente que dicha corresponsabilidad tendrá
implicaciones no únicamente en aquellos tratamientos realizados en estricto

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/133

cumplimiento de obligaciones legales imperativas sino también algunos realizados en
base al consentimiento de los interesados.

Este sería el caso de los tratamientos de análisis y estudio de datos con finalidad
comercial. Es necesario tener en cuenta la tipología de productos comercializados por
el Grupo CaixaBank y, concretamente, por CPC. Como se informó en la respuesta al
Requerimiento de información previa al Acuerdo de Inicio, CPC, en tanto que
establecimiento financiero de crédito, ofrece y comercializa préstamos. Por lo tanto, y
aunque el tratamiento relativo al perfilado comercial se realice en base al
consentimiento del interesado, se deberá realizar cumpliendo las obligaciones legales
aplicables en cada caso.

En otras palabras, teniendo en cuenta que las ofertas de préstamos personalizados
son vinculantes para CPC (en el sentido de que, si el cliente acepta la oferta, las
condiciones del producto serán las ofertadas previamente), al realizarlas CPC debe
cumplir también con la normativa prudencial y de solvencia, aun cuando el tratamiento
se realiza en base al consentimiento del interesado.

Es por lo anterior que desde el Grupo CaixaBank se optó por hacer una gestión
centralizada de los consentimientos para fines comerciales, incluyendo el tratamiento
de análisis y estudio de datos; por lo que el hecho de que el consentimiento se solicite
para el Grupo CaixaBank no constituye una comunicación de datos a las empresas del
Grupo, sino que es consecuencia de la corresponsabilidad en los términos expuestos
en los anteriores párrafos

iii. Se cumple adecuadamente con el deber de informar a los interesados en relación
con los datos que se tratan para el perfilado

En el Acuerdo de Inicio se considera que el interesado no puede conocer los datos que
se van a tratar para el perfilado puesto que entre la información que se le aporta se
incluyen datos que no van a ser objeto de dicho tratamiento y, sin embargo, siempre
según la AEPD, no se le informa del tratamiento de otros datos que sí serán objeto del
mismo.

A partir de lo anterior, y según el criterio de la AEPD, se concluye que el
consentimiento prestado para las finalidades de perfilado no está debidamente
informado, por lo que este no sería válido.

A este respecto, se hace necesario tener en cuenta dos factores: en primer lugar, el
hecho de que las categorías de datos objeto de tratamiento no se encuentran entre la
información mínima descrita en el artículo 13 del RGPD para que el consentimiento
sea informado; en segundo lugar, y pese a no ser obligatorio informar de ello, la
información proporcionada sí permite a los interesados conocer los datos que se van a
tratar para el perfilado. A continuación, se desarrollarán en mayor profundidad ambos
factores listados.

Por lo que se refiere a la obligación de informar acerca del tipo de datos objeto de
tratamiento, cabe tener en cuenta que ni el artículo 13 RGPD, ni el correspondiente
artículo 11 de la LOPDGDD, exigen proporcionar a los interesados esta información de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/133

forma obligatoria; sí se exige bajo el artículo 14 RGPD cuando los datos no se
obtienen directamente del interesado, pero no es este el caso analizado por la AEPD.

Adicionalmente, en el propio RGPD, al establecer en su considerando 42 la
información que deberá conocer el interesado para que el consentimiento sea
informado, se determina que como mínimo deberá conocer la identidad del
responsable del tratamiento y los fines del tratamiento a los cuales están destinados
los datos personales.

No obstante lo anterior, CPC decidió proporcionar a los interesados información
adicional respecto del tratamiento de sus datos personales. De este modo, además de
la información mínima establecida por el artículo 13 RGPD, se informó de las
categorías de datos personales objeto de tratamiento para la finalidad de análisis y
estudio de datos.

Respecto de dicha información proporcionada, la AEPD considera que es insuficiente,
afirmando erróneamente que CPC no informa de la consulta a ficheros de solvencia y
a la Central de Información de Riesgos del Banco de España o del “Risk Score”. No es
cierto que no se informe de dichos usos de los datos, y entendemos que esa
afirmación se debe a la falta de análisis de la información proporcionada en su
conjunto a los interesados.

La AEPD limita la información proporcionada a los interesados en relación con los
datos personales objeto de tratamiento a la siguiente:

Los datos que se tratarán con las finalidades de (i) análisis y estudio de datos, y (ii)
para la oferta comercial de productos y servicios serán:

a) Todos los facilitados en el establecimiento o mantenimiento de relaciones
comerciales o de negocio.

b) Todos los que se generen en la contratación y operativas de productos y servicios
con CaixaBank Payments & Consumer, con las empresas del Grupo CaixaBank o con
terceros, tales como, movimientos de cuentas o tarjetas, detalles de recibos
domiciliados, domiciliaciones de nóminas, siniestros derivados de pólizas de seguro,
reclamaciones, etc.

c) Todos los que CaixaBank Payments & Consumer o las empresas del Grupo
CaixaBank obtengan de la prestación de servicios a terceros, cuando el servicio tenga
como destinatario al Titular, tales como la gestión de trasferencias o recibos.

d) Su condición o no de accionista de CaixaBank según conste en los registros de
esta, o de las entidades que de acuerdo con la normativa reguladora del mercado de
valores hayan de llevar los registros de los valores representados por medio de
anotaciones en cuenta.

e) Los obtenidos de las redes sociales que el Titular autorice a consultar.

f) Los obtenidos de terceras entidades como resultado de solicitudes de agregación de
datos solicitadas por el Titular.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/133

g) Los obtenidos de las navegaciones del Titular por el servicio de la web de
CaixaBank Payments & Consumer y otras webs esta y/o de las empresas del Grupo
CaixaBank o aplicación de telefonía móvil de CaixaBank Payments& Consumer y/o de
las empresas del Grupo CaixaBank, en las que opere debidamente identificado. Estos
datos pueden incluir información relativa a geolocalización.

h) Los obtenidos de chats, muros, videoconferencias o cualquier otro medio de
comunicación establecida entre las partes.

Los datos del Titular podrán ser complementados y enriquecidos por datos obtenidos
de empresas proveedoras de información comercial, por datos obtenidos de fuentes
públicas, así como por datos estadísticos, socioeconómicos (en adelante, “Información
Adicional”) siempre verificando que estos cumplen con los requisitos establecidos en
las normas vigentes sobre protección de datos.

El anterior fragmento, transcrito en el Acuerdo de Inicio, forma parte del condicionado
general que se facilita al interesado en el marco de la contratación de un producto y en
el que se informa de lo previsto en el artículo 13 del RGPD. No obstante, la AEPD, al
valorar la información proporcionada a los interesados respecto de la tipología de
datos objeto de tratamiento, no ha tenido en cuenta el resto del condicionado general.

Concretamente, el fragmento transcrito se corresponde con el punto 26.4. (ii) del
condicionado general. En este sentido, se indica como tipología de datos tratados para
la finalidad de análisis y estudio de datos, “Todos los facilitados en el establecimiento o
mantenimiento de relaciones comerciales o de negocio” (fragmento subrayado en la
transcripción del fragmento en el presente documento).

Únicamente se podría considerar que no se proporciona suficiente información relativa
a las categorías de datos personales objeto de tratamiento si se proporcionara
exclusivamente este fragmento de texto a los interesados, pero se añade más
información.

En el apartado 26.3 del condicionado general (previo al 26.4.ii transcrito en el Acuerdo
de Inicio) se concreta con mayor detalle qué datos se tratarán para el establecimiento
o mantenimiento de relaciones comerciales:

“Payments & Consumer y, en su caso las empresas del Grupo CaixaBank, está
obligada por diferentes normativas y acuerdos a realizar determinados tratamientos de
datos de las personas con las que mantiene Relaciones Comerciales, según se indica
en los apartados siguientes de esta cláusula (en adelante, “Tratamientos con
Finalidades Regulatorias”). Estos tratamientos son necesarios para el establecimiento
y mantenimiento de las Relaciones Comerciales con CaixaBank Payments &
Consumer y/o con las empresas del Grupo CaixaBank, y la oposición del Titular a los
mismos conllevaría necesariamente el cese (o no establecimiento, en su caso) de
estas relaciones. En todo caso, los Tratamientos con Finalidades Regulatorias se
limitarán exclusivamente a la finalidad expresada, sin perjuicio de otras finalidades o
usos que el Titular autorice según lo dispuesto en la cláusula 26.4. del presente
documento”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/133

Así, en el fragmento transcrito se indica que, debido a la necesidad de cumplir con
normativa específica aplicable a CPC, el establecimiento y mantenimiento de
relaciones comerciales con CPC requerirá tratamientos de datos específicos que se
concretarán posteriormente. Además, en el mismo fragmento se indica que dichos
tratamientos se limitarán a las finalidades regulatorias, sin perjuicio de que, en el caso
de que el interesado lo autorice, se puedan utilizar también para otras finalidades.

En cuanto a las categorías de datos que según la AEPD no se incluyen en la
información proporcionada a los interesados en relación con las categorías de datos
objeto de tratamiento, estos efectivamente se incluyen en los puntos 26.3.3 y 26.3.4
del condicionado general.

De este modo, en el punto 26.3.3 se informa acerca de la consulta a ficheros de
información crediticia (entre los que se encuentran los necesarios para obtener el “Risk
Score”, como se expondrá más adelante):

26.3.3 Comunicación con sistemas de información crediticia.

Se informa al Titular que CaixaBank Payments & Consumer, en el estudio del
establecimiento de Relaciones Comerciales, podrá consultar información obrante en
sistemas de información crediticia. Asimismo, en caso de impago de cualquiera de las
obligaciones derivadas de las Relaciones Comerciales, los datos relativos al impago
podrán ser comunicados a estos sistemas.

Y, en el punto 26.3.4, se informa acerca de la consulta a la Central de Información de
Riesgos del Banco de España:

26.3.4. Comunicación de datos a la Central de Información de Riesgos del Banco de
España

Se informa al Titular del derecho que asiste a CaixaBank Payments & Consumer para
obtener de la Central de Información de Riesgos del Banco de España (CIR) informes
sobre los riesgos que pudiera tener registrados en el estudio del establecimiento de
Relaciones Comerciales. […]

Por lo tanto, no es cierto que, como considera la AEPD, no se proporcione información
suficiente acerca de los datos que se van a tratar para el perfilado. La información
proporcionada a los interesados se debe analizar en su conjunto y no únicamente
fragmentos de la misma.

iv. No es cierto que se traten datos obrantes en ficheros de solvencia con fines de
perfilado con fines de calificación crediticia sin base jurídica del tratamiento

En el Acuerdo de Inicio se acude a lo dispuesto en el apartado tercero del artículo 20
de la LOPDGDD para determinar que el tratamiento llevado a cabo por CPC de datos
obrantes en ficheros de solvencia con fines de perfilado con fines de calificación
crediticia se realiza sin base jurídica del tratamiento.

Esta parte entiende que la referencia al apartado tercero del mencionado artículo se
debe a un error puesto que este se refiere al tratamiento llevado a cabo por la entidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/133

que mantuviera el sistema de información crediticia, y como se concretó en la
respuesta al Requerimiento de información con fecha de 2 de junio de 2020 entre las
actividades llevadas a cabo por CPC no se encuentra el mantenimiento de sistemas
de información crediticia.

Por lo anterior, la referencia al apartado tercero del artículo 20 de la LOPDGDD no
sería adecuada en el presente supuesto.

No obstante lo anterior, sí puede esta parte responder a la posible pregunta que se
pueda hacer la AEPD acerca de cuál es la base legitimadora para tratar datos
obrantes en ficheros de solvencia con fines de perfilado con fines de calificación
crediticia.

En este sentido, como se expuso en la respuesta al Requerimiento de información
previo al Acuerdo de Inicio, CPC puede realizar tratamientos enfocados a analizar la
capacidad de devolución o riesgo de impago del interesado en base a dos bases
jurídicas del tratamiento, según el supuesto de hecho de que se trate:

- Exclusivamente el cumplimiento de obligaciones legales aplicables a CPC: Sería el
caso (i) del análisis de la capacidad de devolución o riesgo de impago de un
interesado ante su solicitud de un producto, y (ii) del análisis de la capacidad de
devolución o riesgo de impago en la gestión del riesgo de crédito concedido a clientes.
En estos supuestos, CPC realiza una valoración de la capacidad de devolución o
solvencia del interesado en cumplimiento de la Normativa Prudencial y de Solvencia y
de Préstamo Responsable, como se expuso en la respuesta al Requerimiento de
información y en el presente Escrito.

- Consentimiento del interesado: Sería el caso de los tratamientos realizados en base
al consentimiento del interesado para el análisis y estudio de datos con finalidad
comercial. Dichos tratamientos tienen por finalidad ofrecer a los interesados productos
y servicios ajustados a sus necesidades (incluyendo la posible asignación de límites
de crédito preconcedidos), seleccionando al público objetivo antes de llevar a cabo un
determinado impacto comercial.

Sin embargo, es necesario tener en cuenta, como se ha expuesto previamente en el
presente escrito, la naturaleza de los productos y servicios comercializados por CPC,
así como las implicaciones normativas que ello conlleva.

El hecho de que ciertos tratamientos se realicen en base al consentimiento del
interesado no excluye que CPC deba cumplir las obligaciones legales asociadas a
dichos tratamientos. En el caso de la elaboración de ofertas comerciales adaptadas al
perfil de los interesados CPC deberá cumplir con las obligaciones legales establecidas
en la Normativa Prudencial y de Solvencia y de Préstamo Responsable dado que los
productos comercializados son cuentas de crédito y préstamos.

De este modo y teniendo en cuenta que en la realización de una oferta personalizada
a un cliente ésta tiene carácter vinculante para CPC (en el sentido de que, si el cliente
acepta la oferta, los servicios se prestarán en los términos previamente indicados por
CPC), CPC tiene la obligación de, con carácter previo a la realización de la oferta,
valorar la capacidad de devolución y solvencia del interesado. De lo contrario, CPC
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/133

estaría incumpliendo la Normativa Prudencial y de Solvencia y de Préstamo
Responsable.

Por lo tanto, aun cuando el tratamiento se realiza en base al consentimiento del
interesado, CPC debe cumplir las obligaciones legales establecidas en la Normativa
Prudencial y de Solvencia y de Préstamo Responsable; por lo que, al realizar una
oferta personalizada a un interesado, CPC deberá valorar su capacidad de devolución
y solvencia, consultando para ello los datos contenidos en sistemas de información
crediticia.

v. No es cierto que no se informe al interesado acerca de la operación de perfilado
relativa al “Risk Score”

En el Acuerdo de Inicio se afirma que CPC no informa adecuadamente a los
interesados acerca del tratamiento relacionado con la obtención del dato denominado
“Risk Score”, al considerar que la obtención de dicho dato constituye una operación de
perfilado de datos independiente y, por lo tanto, se debe informar también de forma
específica.

(…). Al informar a los interesados acerca del tratamiento de sus datos no se menciona
la obtención de este dato concreto puesto que, aunque sea obtenido con la
intervención de un encargado del tratamiento, no se diferencia del simple análisis y
estudio de datos llevado a cabo tanto con finalidades regulatorias como con
finalidades comerciales.

En este sentido y en cuanto a la base jurídica que permite su realización, es la misma
que en el resto de los supuestos, es decir, cuando se realice para llevar a cabo la
valoración de la capacidad de devolución o solvencia del interesado exclusivamente
en el marco de su solicitud de un producto o de la gestión de crédito concedido a
clientes, la base jurídica es el cumplimiento de obligaciones legales aplicables a CPC.
Por otro lado, cuando se realice con finalidad comercial, la base jurídica del
tratamiento será el consentimiento del interesado, teniendo en cuenta que para llevar a
cabo el tratamiento de análisis y estudio de datos con finalidad comercial será
necesario observar igualmente la normativa prudencial y de solvencia.

En cuanto a los datos utilizados para obtener el “Risk Score”, se trata de los obrantes
en sistemas de información crediticia.

Por lo tanto, sí que se informa debidamente a los interesados acerca del tratamiento
realizado para la obtención del “Risk Score”, al integrarse dicha operación de
tratamiento dentro del análisis y estudio de datos llevado a cabo tanto con finalidades
regulatorias como con finalidades comerciales.

De acuerdo con cada uno de los puntos expuestos previamente, se puede concluir que
efectivamente el consentimiento prestado para las finalidades de perfilado analizadas
cumple con la exigencia de la separación de los fines y prestación del consentimiento
para cada uno de ellos, además de estar debidamente informado, por lo que éste es
válido.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/133

NOVENO: De conformidad con lo prevenido en el artículo 77 de la LPACAP, en fecha
22 de junio de 2021, se acuerda la apertura de un período de práctica de pruebas,
teniéndose por reproducidas a efectos probatorios la reclamación interpuesta, la
documentación correspondiente al traslado de la reclamación a la entidad reclamada,
el recurso de reposición presentado por la parte reclamante, así como la
documentación obrante en el expediente de investigación E/10053/2019. Asimismo, se
da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio
PS/00500/2020 presentadas por CAIXABANK PAYMENTS & CONSUMER EFC, EP,
S.A.U. Se acuerda incorporar al expediente la política de privacidad que figura en la
página web de la entidad CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U.

Por otra parte, se acuerda requerir a dicha entidad que aporte la información y
documentación siguiente en el plazo de 10 días hábiles:

 Fecha de implantación de la nueva política de privacidad y período durante el
que estuvo vigente la anterior.

 Copia del acuerdo de corresponsabilidad al que hace referencia en la nueva
política de privacidad y en las alegaciones al acuerdo de inicio presentadas.

 Documentos en los que se facilita a los clientes información para la obtención
del consentimiento para la realización de tratamientos con fines comerciales,
como, a título de ejemplo, el denominado “condiciones generales” y, si han sido
objeto de modificaciones, fecha en que se produjeron estas.

 Contrato efectuado con la entidad ***EMPRESA.3 para la actividad de risk
score.

 Volumen de negocios del grupo Caixabank en el año 2020.

Mediante diligencia de 2 de julio de 2021, se incorpora al expediente una captura de
pantalla con la política de privacidad de CAIXABANK PAYMENTS & CONSUMER
EFC, EP, S.A.U. que figura en su página web. Se reproduce a continuación lo
señalado en los puntos 5 y 6.1 de dicha política:

“5. Categorías de datos

En CaixaBank Payments & Consumer trataremos diferentes datos personales para poder
gestionar las Relaciones Contractuales que establezca con nosotros, para realizar el resto de
los tratamientos de datos que se derivan de su condición de cliente y, si nos ha dado su
consentimiento, para realizar también el tratamiento de sus datos para las actividades que se
detallan en el epígrafe 6.1.

Para facilitar su comprensión, hemos ordenado los datos que tratamos en las categorías que le
detallamos a continuación.
No todas las categorías de datos que le detallamos se utilizan para todos los tratamientos de
datos. En el epígrafe 6, donde le detallamos los tratamientos de datos que realizamos, usted
podrá consultar específicamente por cada tratamiento concreto las categorías de datos que se
utilizan, contando así con la información necesaria que le permita ejercer, si así lo desea, sus
derechos reconocidos por el RGPD, en especial los de oposición y de revocación del
consentimiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/133

Las categorías de datos que utilizan los distintos tratamientos expuestos en el epígrafe 6 son
las siguientes:

> Datos que usted nos ha facilitado en el alta de sus contratos o durante su relación con
nosotros. Estos datos son:

 datos identificativos y de contacto: su documento identificativo, nombre y apellidos,
sexo, información de contacto postal, telefónica y electrónica, domicilio de residencia,
nacionalidad y fecha de nacimiento, e idioma de comunicación.

 datos socioeconómicos: detalle de la actividad profesional o laboral, ingresos o
retribuciones, unidad o círculo familiar, nivel de estudios, patrimonio, datos fiscales y
datos tributarios.

 datos financieros: productos y servicios contratados, relación con el producto
(condición de titular, autorizado o representante), categoría MiFID.

 datos biométricos: patrón facial, biometría de voz o patrón de huella dactilar.

> Datos observados en el mantenimiento de los productos y servicios. Estos datos son:

 datos financieros: la información de los apuntes y movimientos que se realicen en
cuentas corrientes, incluyendo el tipo de operación, el emisor, el importe, y el concepto,
información sobre inversiones realizadas y su evolución, información sobre
financiaciones, extractos de operaciones con tarjetas de débito y crédito, productos
contratados e historial de pago.

Es importante que sepa que no trataremos datos observados en el mantenimiento de
los productos y servicios que puedan contener información que revele su origen
étnico o racial, sus opiniones políticas, sus convicciones religiosas o filosóficas, su
afiliación sindical, el tratamiento de datos genéticos, datos biométricos dirigidos a
identificarle de manera unívoca, datos relativos a la salud o datos relativos a su vida
u orientación sexual (“Datos Sensibles”).

 su condición de accionista, o no, de CaixaBank.

 datos digitales: los datos obtenidos de las comunicaciones que hayamos establecido
entre usted y nosotros en chats, muros, videoconferencias, llamadas telefónicas o
medios equivalentes y los datos obtenidos de sus navegaciones por nuestras páginas
web o aplicaciones móviles y la navegación que realice en las mismas (ID dispositivo,
ID publicidad, dirección IP e historial de navegación), en el caso de que haya aceptado
el uso de cookies y tecnologías similares en sus dispositivos de navegación.

 datos geográficos: los datos de geolocalización de su dispositivo móvil proporcionados
por la instalación y/o el uso de nuestras aplicaciones móviles, cuando así lo haya
autorizado en la configuración de la propia aplicación.

> Datos inferidos o deducidos por CaixaBank Payments & Consumer del análisis y
tratamiento del resto de las categorías de datos. Estos datos son:

 agrupaciones de clientes en categorías y segmentos en función de su edad, patrimonio
y renta estimada, operativas, hábitos de consumo, preferencias o propensiones a la
contratación de productos, demografía y relación con otros clientes o categorización
según la normativa sobre Mercados de Instrumentos Financieros (“MiFID”).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/133

 puntuaciones de scoring que asignan probabilidades de pago o impago o límites de
riesgo.

> Datos que usted no nos ha facilitado directamente, obtenidos de fuentes accesibles al
público, registros públicos o fuentes externas. Estos datos son:

 datos de solvencia patrimonial y crédito obtenidos de los ficheros Asnef y Badexcug.

 datos sobre riesgos mantenidos en el sistema financiero obtenidos de la base de datos
de la Central de Información de Riesgos del Banco de España (CIRBE).

 datos de personas o entidades que estén incluidas en leyes, regulaciones, directrices,
resoluciones, programas o medidas restrictivas en materia de sanciones económico-
financieras internacionales impuestas por las Naciones Unidas, la Unión Europea, el
Reino de España, Reino Unido y/o el U. S. Department of the Treasury’s Office of
Foreign Assets Control (OFAC).

 datos catastrales o estadísticos obtenidos de compañías que facilitan estudios
estadísticos socioeconómicos y demográficos asociados a zonas geográficas o códigos
postales, no a personas determinadas.

 datos digitales obtenidos de sus navegaciones por páginas web de terceros (ID
dispositivo, ID publicidad, dirección IP, historial de navegación), en el caso de que haya
aceptado el uso de cookies y tecnologías similares en sus dispositivos de navegación.

 datos de redes sociales o internet, que usted haya hecho públicos o que nos autorice a
consultar.”

En el punto 6 de dicha política de privacidad bajo el título “Qué tratamientos
realizamos con sus datos”, se expone lo siguiente:

“Los tratamientos que realizaremos con sus datos son diversos, y responden a
diferentes finalidades y bases jurídicas:

> Tratamientos basados en el consentimiento

> Tratamientos necesarios para la ejecución de las Relaciones Contractuales

> Tratamientos necesarios para cumplir con obligaciones normativas

> Tratamientos basados en el interés legítimo de CaixaBank Payments & Consumer”

El apartado 6.1 de dicha política de privacidad contempla los siguientes tratamientos
basados en el consentimiento:

A. Análisis de sus datos para la elaboración de perfiles que nos ayuden a
ofrecerle productos que creemos que pueden interesarle

B. Oferta comercial de productos y servicios por los canales seleccionados.

C. Cesión de datos a empresas que no forman parte del Grupo CaixaBank
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/133

D. Identificación de clientes y firma de documentación mediante uso de biometría.

En el punto 6.1 de la aludida política de privacidad consta lo siguiente:

“TRATAMIENTOS BASADOS EN EL CONSENTIMIENTO.

Estos tratamientos tienen como base jurídica su consentimiento, según se establece en el art.
6.1.a) del RGPD.

Podemos haberle solicitado ese consentimiento por diferentes canales, por ejemplo, a
través de nuestros canales electrónicos o en alguna de las empresas del Grupo CaixaBank. Si
por alguna circunstancia, nunca le hemos solicitado su consentimiento, estos
tratamientos no le aplicarán.

Puede consultar las autorizaciones que usted nos ha consentido o denegado, y
modificar su decisión en cualquier momento y de manera gratuita en la web de CaixaBank
Payments & Consumer (www.caixabankpc.com) y en la de cada una de las empresas del
Grupo CaixaBank, o en su área privada de la web o aplicaciones móviles de CaixaBank
Payments & Consumer y en las oficinas de CaixaBank.

Los tratamientos basados en su consentimiento se indican a continuación ordenados de la (A)
a la (D). Señalaremos para cada uno de ellos: la descripción de la finalidad (Finalidad), si son o
no tratamientos realizados en régimen de corresponsabilidad con otras empresas del Grupo
CaixaBank (Corresponsables/Responsable del tratamiento), y las categorías de datos
utilizados (Categorías de datos tratados).

A. Análisis de sus datos para la elaboración de perfiles que nos ayuden a ofrecerle
productos que creemos que pueden interesarle.

Finalidad: La finalidad de este tratamiento de datos es utilizar las categorías de datos que le
indicamos a continuación, para elaborar perfiles que nos permitan identificarle con segmentos
de clientes con similares características a las suyas y sugerirle productos y servicios que
creamos que pueden interesarle, así como establecer la periodicidad con la que nos
relacionamos con usted.

Mediante este tratamiento analizaremos sus datos para tratar de deducir sus preferencias o
necesidades y así poder hacerle ofertas comerciales que creamos que puedan tener más
interés que ofertas genéricas.

Cuando las ofertas que queramos trasmitirle consistan en productos que impliquen el pago de
cuotas o la financiación, realizaremos una preevaluación de solvencia para calcular el límite de
crédito adecuado a ofrecerle, de acuerdo con los principios de responsabilidad en la oferta de
productos de financiación exigidos por el Banco de España.

Es importante que sepa que este tratamiento, incluida la preevaluación de solvencia en los
productos con riesgo, se limita a la finalidad indicada de sugerirle productos y servicios que
creamos que pueden interesarle, y no se utiliza, en ningún caso, para denegación de ningún
producto o servicio o límite de crédito.

Usted tiene siempre a su disposición nuestro catálogo completo de productos y servicios, y
este tratamiento no prejuzga, limita o condiciona su acceso a los mismos, que, en caso de que
los solicite, serán evaluados con usted conforme a los procedimientos ordinarios de CaixaBank
Payments & Consumer.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/133

Solo realizaremos este tratamiento de sus datos si usted nos ha dado su consentimiento
para ello. Su consentimiento permanecerá vigente mientras usted no lo retire.

Si cancela todos sus productos o servicios con las empresas del Grupo CaixaBank, pero olvida
retirar su consentimiento, nosotros lo haremos automáticamente.

Categorías de datos tratados: Las categorías de datos que trataremos para esta finalidad, cuyo
contenido esta detallado en el epígrafe 5, son:

> datos que usted nos habrá facilitado

> datos observados en el mantenimiento de los productos y servicios, con excepción de datos
sensibles

> datos inferidos o deducidos por CaixaBank Payments & Consumer.

> datos que usted no nos ha facilitado directamente.

Corresponsables del tratamiento: El tratamiento de sus datos de las categorías indicadas, con
la finalidad de análisis para la elaboración de perfiles que nos ayuden a ofrecerle productos
que creemos que pueden interesarle, lo realizan en régimen de corresponsabilidad las
siguientes empresas del Grupo CaixaBank:

> CaixaBank, S.A.

> CaixaBank Payments & Consumer, E.F.C., E.P., S.A.U.

> CaixaBank Electronic Money, EDE, S.L.

> VidaCaixa, S.A.U., de seguros y reaseguros

> Nuevo Micro Bank, S.A.U.

> CaixaBank Equipment Finance, S.A.U.

> Promo Caixa, S.A.U.

> Comercia Global Payments, E.P. S.L.

> Buildingcenter, S.A.U.

> Imagintech S.A.

Encontrará la lista de las empresas que tratan sus datos, así como los aspectos esenciales de
los acuerdos del tratamiento en corresponsabilidad en: www.caixabank.es/empresasgrupo.”

Accediendo desde dicho enlace, puede leerse el siguiente texto:

“Para llevar a cabo los tratamientos que le indicamos a continuación, CaixaBank y
las empresas del Grupo CaixaBank tratarán conjuntamente sus datos, decidiendo de manera
conjunta los objetivos (“para qué se usan los datos”) y los medios utilizados (“cómo se usan
los datos”) siendo, por tanto, corresponsables de esos tratamientos (Entidades
Corresponsables).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/133

Los tratamientos para los cuales CaixaBank y las empresas del Grupo CaixaBank tratarán
conjuntamente sus datos, son los siguientes (puede ver el detalle de las empresas del Grupo
Caixabank que conforman el perímetro de cada uno de los tratamientos que se realizan en
corresponsabilidad clicando en cada uno de los siguientes enlaces):

 Realizar las actividades comerciales de: (i) análisis de sus datos personales para la
elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden
interesarle; (ii) oferta comercial de productos y servicios por los canales seleccionados, y
(iii) cesión de datos a empresas que no forman parte del Grupo CaixaBank;

 Cumplir con las siguientes normativas aplicables a las empresas del Grupo
CaixaBank: (i) la normativa de prevención de blanqueo de capitales y financiación del
terrorismo; (ii) la normativa en materia tributaria; (iii) las obligaciones derivadas de las
políticas de sanciones y contramedidas financieras internacionales, así como (iv) las
obligaciones de concesión y gestión de operaciones de crédito y la consulta y
comunicación de riesgos a la Central de Información de Riesgos del Banco de España
(CIRBE).

 Realizar el análisis de la solvencia y la capacidad de devolución de los solicitantes
de productos que impliquen financiación.

De conformidad con lo dispuesto en la normativa aplicable, las Entidades Corresponsables han
suscrito un acuerdo de corresponsabilidad para determinados tratamientos, cuyos elementos
esenciales son los siguientes:

(i) Que, para determinados tratamientos identificados en la Política de Privacidad, las
Entidades Corresponsables actuarán de forma coordinada o conjunta.

(ii) Que han procedido a determinar las medidas de seguridad, técnicas y organizativas,
apropiadas para garantizar un nivel de seguridad adecuado al riesgo inherente a los
tratamientos de datos personales objeto de corresponsabilidad.

(iii) Que disponen de un mecanismo de ventanilla única para el ejercicio de los derechos de los
interesados, asumiendo el compromiso del deber de colaboración y asistencia en aquellos
casos en que resultase procedente.

(iv) Que cumplen la obligación de respetar el deber de secreto y guardar la debida
confidencialidad de los datos personales que sean tratados en el marco de las actividades de
tratamiento de datos informadas.

(v) Independientemente de los términos del acuerdo de corresponsabilidad, los interesados
podrán ejercer sus derechos en materia de protección de datos frente a cada uno de los
responsables.”

DÉCIMO: En atención a lo solicitado por CAIXABANK PAYMENTS & CONSUMER
EFC, EP, S.A.U, el plazo concedido para aportar documentación fue ampliado en cinco
días hábiles.

Con fecha 12 de julio de 2021 se recibe escrito de respuesta a la apertura de período
de práctica de pruebas, en el que se señala que la fecha de publicación de la nueva
política de privacidad es de 18 de enero de 2021 y que dicha política de privacidad
sustituye a la anterior, que había estado vigente desde el 21 de julio de 2019 hasta el
17 de enero de 2021.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/133

Dicho escrito expone, asimismo, lo siguiente:

“Se adjunta como Anexo al presente documento el acuerdo de corresponsabilidad al que se
hace referencia en la mencionada política de privacidad, así como en las alegaciones al
acuerdo de inicio presentadas, aportado previamente en el transcurso del Procedimiento
Sancionador PS/00477/2019 a CAIXABANK, S.A. en adelante, el “Procedimiento Sancionador
a CAIXABANK”), y cuyos aspectos esenciales están publicados en
https://www.caixabank.es/particular/general/tratamiento -de-datosempresas-del-grupo.html.

En el mencionado acuerdo de corresponsabilidad se definen los fines y medios de los
tratamientos, así como las reglas básicas a observar por todas las empresas que integran
estos tratamientos en corresponsabilidad, y refleja debidamente el acuerdo existente en cuanto
a las responsabilidades respectivas en materia de protección de datos al que hace referencia el
artículo 26 del Reglamento (UE) 2016/679 General de Protección de Datos; se encuentra
pendiente de firma a la espera de la resolución de la solicitud de aplicación de medidas
cautelares relacionadas con el Procedimiento Sancionador a CAIXABANK, que podrían
implicar la modificación de su contenido.”

Respecto de la información proporcionada a los interesados para la obtención de su
consentimiento, se señala que “se adjunta como Anexo II al presente documento la información
proporcionada para la realización de tratamientos con fines comerciales, previamente aportada
en la respuesta al Requerimiento de información recibido con fecha 6 de febrero de 2020 (en
adelante, el “Requerimiento de información”).

Si bien se han previsto, aun no se han realizado modificaciones sobre la mencionada
información desde su aportación en la respuesta al Requerimiento de información, a la espera
de la resolución de la solicitud de aplicación de medidas cautelares relacionadas con el
Procedimiento Sancionador a CAIXABANK, que podrían afectar a las modificaciones de la
mencionada documentación, planificadas en este momento.

En dicho Anexo se incluye también la información proporcionada a los interesados para la
obtención de su consentimiento para la realización de tratamientos con fines comerciales,
cuando el consentimiento se recoge desde el canal bancario (CAIXABANK). Esta
documentación, aportada previamente en el transcurso del Procedimiento Sancionador a
CAIXABANK, fue modificada en marzo de 2021, en el marco de las mencionadas actuaciones
dirigidas a la implantación de la nueva política de privacidad.

En relación al contrato con la entidad ***EMPRESA.3, se adjunta como anexo III, “el contrato
de servicios efectuado con la entidad ***EMPRESA.3, previamente aportado en la respuesta al
ya mencionado Requerimiento de información. Asimismo, se informa que el mencionado
contrato no ha sufrido modificaciones desde su aportación a la Agencia Española de Protección
de Datos.

Por último, en cuanto al volumen de negocios del Grupo o CAIXABANK se indica que “a 31 de
diciembre de 2020 se cifra en doce mil ciento setenta y dos millones de euros. Dicha
información se extrae de las páginas 248 y 249 (“Anexo 6 – Informa bancario anual”) de las
Cuentas Anuales consolidadas del Grupo CaixaBank, disponibles en
https://www.caixabank.com/deployedfiles/caixabank_com/Estaticos/PDFs/Accionistasinversore
s/In formacion_General/Cuentas_Anuales_consolidadas_CBK_2020_ES.pd ”

Aporta como anexo II los siguientes documentos:

 CONDICIONES GENERALES DE LA SOLICITUD-CONTRATO DE CREDITO, en
cuyo encabezado aparece la entidad CaixaBank Payments & Consumer y la fecha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/133

10 de abril de 2020. El contenido de dicho documento coincide con el remitido tras
el requerimiento de la Inspección de Datos efectuado el 6 de febrero de 2020 como
anexo 12.

Dicho documento se estructura en diversas secciones, de las cuales, la número 26
contempla en diferentes apartados diversos aspectos del tratamiento de datos
tales como los distintos tratamientos según su base de legitimación, el ejercicio de
derechos por parte de los interesados o el plazo de conservación de los datos
entre otras cuestiones. Así, el apartado 26.1 se refiere a los Tratamientos de
datos de carácter personal con la finalidad de gestionar las Relaciones
Comerciales; el apartado 26.3 a los tratamientos de datos de carácter personal con
finalidades regulatorias, este apartado a su vez se divide en diversos subapartados
como los relativos a Tratamientos para la adopción de medidas de diligencia
debida en la prevención del blanqueo de capitales y de la financiación del
terrorismo (26.3.1), tratamiento para el cumplimiento de la política de gestión de
sanciones y contramedidas financieras Internacionales (26.3.2), comunicación con
sistemas de información crediticia (26.3.3.), comunicación de datos a la Central de
Información de Riesgos del Banco de España (26.3.4), etc. El apartado 26.4 se
refiere al Tratamiento y cesión de datos con finalidades comerciales por CaixaBank
y las empresas del Grupo CaixaBank basados en el consentimiento. El apartado
26.1 y 26.4 se encuentran transcritos en el antecedente de hecho quinto de la
presente propuesta de resolución.

 Contrato Marco en cuyo encabezado figura CaixaBank, y en cuyo apartado 4.1 se
indica que “el responsable del tratamiento de sus datos personales en sus
relaciones contractuales y de negocios es CaixaBank, S.A., con NIF A08663619 y
domicilio en la calle Pintor Sorolla, 2-4 Valencia.” Añadiendo lo siguiente:

"Corresponsables de tratamiento: Además, para determinados tratamientos que se
informan en detalle en la citada política, CaixaBank y las empresas del Grupo
CaixaBank tratarán conjuntamente sus datos, decidiendo de manera conjunta los
objetivos (“para qué se usan los datos”) y los medios utilizados (“cómo se usan los
datos”) siendo, por tanto, corresponsables de esos tratamientos. Los tratamientos
para los cuales CaixaBank y las empresas del Grupo CaixaBank tratarán
conjuntamente sus datos son los siguientes: > realizar las actividades comerciales
de: (i) análisis de sus datos personales para la elaboración de perfiles que nos
ayuden a ofrecerle productos que creemos que pueden interesarle; (ii) oferta
comercial de productos y servicios por los canales seleccionados, y (iii) cesión de
datos a empresas que no forman parte del Grupo CaixaBank; (…)

Encontrará la lista de las empresas que tratan sus datos, así como los aspectos
esenciales de los acuerdos del tratamiento en corresponsabilidad en:
www.caixabank.es/empresasgrupo.”
En el punto. 4.5 de este documento, titulado “Que tratamientos realizamos con sus
datos”, señala respecto de los tratamientos basados en el consentimiento, las
siguientes finalidades:

− Análisis de sus datos para la elaboración de perfiles que nos ayuden a ofrecerle
productos que creemos que pueden interesarle.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/133

− Poner a su disposición nuestra oferta comercial de productos y servicios por los
canales seleccionados.

− Cesión de datos a empresas que no forman parte del Grupo CaixaBank para
que le hagan ofertas comerciales de productos que comercializan.

− Identificación de clientes y firma de documentación mediante uso de biometría.

− Aplicación de condiciones personales en contratos en cotitularidad.

Dicho documento no se encuentra fechado. En la información aportada en el
escrito remitido a esta Agencia, se indica que “En dicho Anexo se incluye también
la información proporcionada a los interesados para la obtención de su
consentimiento para la realización de tratamientos con fines comerciales, cuando
el consentimiento se recoge desde el canal bancario (CAIXABANK). Esta
documentación, aportada previamente en el transcurso del Procedimiento
Sancionador a CAIXABANK, fue modificada en marzo de 2021, en el marco de las
mencionadas actuaciones dirigidas a la implantación de la nueva política de
privacidad.”

 Capturas de pantalla en las que se solicita el consentimiento de los clientes.

- Una captura de pantallas en el canal prescriptor, que coincide exactamente con
la descrita para dicho canal en el punto 5 del antecedente quinto de la presente
propuesta de resolución.

- Captura de pantallas alta nuevo cliente oficina (onboarding presencial, en la
que se señala lo siguiente: “entrega la tableta al cliente para que cumplimente
él mismo los consentimientos” y captura de pantallas alta nuevo cliente Portal
Web (onboarding digital). En ambas modalidades se aporta una información
básica para el cliente sobre el tratamiento de datos personales indicando que el
responsable del tratamiento es: “Caixabank, con NIF A08663619 y domicilio en
la calle Pintor Sorolla, 2-4 Valencia. Corresponsables del tratamiento “Para
determinadas actividades Caixabank, S.A. y las empresas del Grupo
Caixabank tratarán conjuntamente tus datos. Encontrarás la lista de las
empresas que tratan tus datos, así como los aspectos esenciales de los
acuerdos del tratamiento en corresponsabilidad en
www.caixabank.es/empresasgrupo.”

Respecto de los consentimientos se señala en ambas modalidades que
“Autorizas a las empresas del grupo CaixaBank a:

Analizar tus datos para la elaboración de perfiles que nos ayuden a ofrecerte
productos que creemos que pueden interesarte. Si tenemos tu consentimiento,
te configuraremos o diseñaremos una oferta de productos y servicios ajustados
a tus características como cliente, mediante el análisis de tus datos y la
elaboración de perfiles con tu información.”

A continuación, figuran dos casillas en las que se puede marcar si o no. En
otros apartados se solicita el consentimiento para comunicar la oferta comercial
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/133

de productos y servicios por los canales que se seleccionen y a ceder los datos
a empresas que no formen parte del Grupo Caixabank con las que tengan
acuerdos.

Respecto de los tratamientos de análisis para elaboración de perfiles se aporta
también en ambas modalidades la información siguiente: “Estos tratamientos
tienen como base jurídica su consentimiento, según se establece en el artículo
6.1.a del Reglamento General de Protección de Datos.” Se reitera a
continuación la información ofrecida en la política de privacidad relativa a este
tipo de tratamientos respecto de la finalidad, categorías de datos tratados y
corresponsables del tratamiento. No obstante, en lo que respecta a los datos
tratados indica: “las categorías de datos que trataremos para esta finalidad
cuyo contenido está detallado en el epígrafe 5 de nuestra Política de
Privacidad (www.Caixabank.es/política de privacidad) son: datos que usted nos
habrá facilitado, datos observados en el mantenimiento de los productos y
servicios con excepción de datos sensibles, datos inferidos o deducidos por
Caixabank, datos que usted no nos ha facilitado directamente.” No figura en
ninguna de las pantallas la descripción de estos datos.

 Acuerdo de corresponsabilidad. Dicho acuerdo no tiene fecha ni firma alguna. El
número 6 relativo a su duración señala que “El presente Acuerdo entrará en vigor
en la fecha de su firma y permanecerá vigente de forma indefinida, sin perjuicio de
la revisión y modificaciones necesarias de sus términos y contenido para su
adaptación en su caso, a la normativa vigente que resulte de aplicación en cada
momento...”

En dicho acuerdo figura la siguiente definición: “Corresponsables del Tratamiento o
Corresponsables: Significa los responsables que determinan conjuntamente los
objetivos, finalidades y medios del Tratamiento detallados en el Anexo 1.”

En el citado anexo menciona los siguientes tratamientos objeto de
corresponsabilidad referente a “actividades comerciales”:

a) análisis de los datos personales para la elaboración de perfiles que nos ayuden a
ofrecer productos que creemos que pueden interesar al cliente

Finalidad: La finalidad de este tratamiento de datos es utilizar las categorías de datos
indicadas en la Política de Privacidad de CaixaBank
(www.caixabank.com/politicaprivacidad) para elaborar perfiles que permitan a los
Corresponsables identificar al cliente con segmentos de clientes de similares
características para poder ofrecerle productos y servicios que puedan interesarle, así
como, para establecer la periodicidad con la que los Corresponsables se relacionan
con él.

Base legitimadora: La base legitimadora de este tratamiento es el consentimiento
otorgado por los interesados.

b) Oferta comercial de productos y servicios por los canales seleccionados.

Finalidad: La finalidad de este tratamiento de datos es poner a disposición del cliente
comunicaciones de ofertas comerciales relativas a productos y servicios propios o de
terceros comercializados por CaixaBank y/o las entidades del Grupo CaixaBank. Estas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/133

comunicaciones únicamente se remitirán al cliente por los canales que previamente
éste nos haya autorizado al dar su consentimiento.

Base legitimadora: La base legitimadora de este tratamiento es el consentimiento
otorgado por los interesados.

c) cesión de datos a entidades que no forman parte del Grupo CaixaBank Finalidad: La
finalidad de este tratamiento es ceder los datos de los interesados a entidades que no
forman parte del Grupo CaixaBank con las que los Corresponsables tengan acuerdos,
con el propósito de que éstas les realicen ofertas comerciales de los productos que
comercializan.

Base legitimadora: La base legitimadora de este tratamiento es el consentimiento
otorgado por los interesados.”

Enumera después los corresponsables que serían los siguientes:

CAIXABANK, S.A

CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A.U.

CAIXABANK ELECTRONIC MONEY, EDE, S.L

VIDACAIXA, S.A.U., DE SEGUROS Y REASEGUROS

NUEVO MICRO BANK, S.A.U

CAIXABANK EQUIPMENT FINANCE, S.A.U

PROMO CAIXA, S.A.U.

COMERCIA GLOBAL PAYMENTS, E.P. S.L.

BUILDINGCENTER, S.A.U.

IMAGINTECH, S.A.

En sucesivos anexos se contemplan otros tratamientos objeto de corresponsabilidad,
cuya base legitimadora se encuentra en el cumplimiento de obligaciones legales o la
ejecución de las relaciones contractuales.

 Contrato suscrito con la entidad ***EMPRESA.3 para la actividad de risk
score. Según lo indicado en dicho contrato, de fecha 2 de junio de 2020,
se ha novado el contrato suscrito con fecha 2 de mayo de 2017,
ampliado a su vez en fecha 2 de mayo de 2019 para incorporar los
servicios que se reseñan en el anexo I (que no se adjunta). Son partes
en dicho contrato CAIXABANK y CAIXABANK PAYMENTS &
CONSUMER y las entidades (…) designándose a estas dos últimas
conjuntamente como PROVEEDOR. Dicho documento contiene dos
cláusulas:

La cláusula primera de dicho contrato relativa a la novación modificativa no
extintiva de la cláusula 15 del contrato, sustituye la citada cláusula con efectos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/133

retroactivos a 25 de mayo de 2018, con nuevos elementos relativos al encargado
de tratamiento, a fin de adaptar los servicios de risk score a las obligaciones
regulatorias contenidas en la LOPDGDD y en el RGPD

En la segunda de las cláusulas se acuerda incorporar al anexo I (anexo de
servicios) una cláusula relativa a aspectos específicos del tratamiento de datos de
carácter personal del servicio risk score. Dicha cláusula viene referida a la
descripción del tratamiento, indicando que a los únicos efectos de la prestación del
servicio de “risk score” CAIXABANK Y CAIXABANK PAYMENTS & CONSUMER
ponen a disposición del proveedor la siguiente información “(…).” Se señalan a
continuación los siguientes tratamientos por parte del proveedor: explotación,
consulta y destrucción; la tipología de los datos (DNI(NIE/Pasaporte) y categorías
de interesados afectados (clientes, intervinientes no clientes). En cuanto a la
finalidad del tratamiento se señala que el proveedor utilizará los datos de carácter
personal objeto de tratamiento única y exclusivamente para el cumplimiento del
ANEXO I, no pudiéndolos utilizar, en ningún caso, para fines propios. El anexo I no
se adjunta.

DECIMOPRIMERO: Con fecha 06/08/2021, se emitió propuesta de resolución en el
sentido siguiente:

PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U., con NIF
A08980153, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5
del RGPD, y calificada como muy grave a efectos de prescripción en el artículo 73 de
la LOPDGDD, con una multa por importe de 3.000.000 de euros (tres millones de
euros.

SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se
proceda a imponer a la entidad CAIXABANK PAYMENTS & CONSUMER EFC, EP,
S.A.U en el plazo que se determine, la adopción de las medidas necesarias para
adecuar a la normativa de protección de datos personales los procedimientos
mediante los que recaba a sus clientes el consentimiento para elaborar perfiles con
finalidades comerciales, con el alcance expresado en el Fundamento de Derecho VII.

DECIMOSEGUNDO: Notificada a la entidad CAIXABANK PAYMENTS & CONSUMER
EFC, EP, S.A.U la citada propuesta de resolución, con fecha 13/08/2021 tuvo entrada
en esta Agencia escrito en el que se solicitaba ampliación de plazo para formular
alegaciones. Concedida la ampliación de plazo, con fecha 03/09/2021 tuvo entrada en
esta Agencia escrito de alegaciones, en el que se solicita nuevamente la anulación del
acuerdo de inicio, subsidiariamente el archivo de las actuaciones y subsidiariamente,
en caso de que se le considere responsable de las infracciones del artículo 6 del
RGPD, que se acuerde el apercibimiento o, en su defecto, que se imponga la cuantía
de la sanción correspondiente en su grado mínimo. Igualmente solicita de nuevo que
en todo caso que no se declaren nulos los consentimientos obtenidos y, si fuera el
caso, se ordene por parte de la AEPD las medidas que a su juicio puedan ser
adecuadas para mejorar el cumplimiento de la normativa de protección de datos.

Declara reproducidas en su totalidad sus alegaciones al acuerdo de inicio y formula las
consideraciones, divididas también en dos grupos, que resumidamente se exponen a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/133

continuación:

A) EN RELACION A LA NULIDAD DE LAS ACTUACIONES

Alega CPC que no puede compartir que la conexión entre la reclamación inicialmente
inadmitida a trámite y el Acuerdo de Inicio del presente Procedimiento Sancionador se
sustente en "la solicitud de información sobre el reclamante a un fichero de solvencia
patrimonial sin su consentimiento y la posterior oferta de un producto financiero, lo que
presupone que se han utilizado los datos de dicha persona indebidamente para llevar
a cabo un perfilado en base al cual se ofertó dicho producto'

Por un lado se afirma que se "presupone" que se ha llevado a cabo un perfilado sin
consentimiento, obviándose que, tal y como ya se ha explicado en alegaciones
previas, que se dan por reproducidas aquí, una vez obtenido el consentimiento (por
tanto, sí que se solicita el consentimiento), para llevar a cabo la personalización de la
oferta de productos según el análisis de los datos de clientes (perfilado), existe,
además, una obligación legal por parte de CPC de no ofrecer productos financieros
que pudieran no ser aptos según el perfil de capacidad económico financiera del
potencial destinatario de la oferta comercial; por lo que, antes de ofrecerlos, deben
verificarse aspectos de solvencia de los potenciales destinatarios de esos productos.

Por ello, ese perfilado a que hace referencia la AEPD, en el que, entre otros, se usa
información sobre solvencia, el uso de ese tipo de datos específicamente tendría su
base de licitud en el cumplimiento de una obligación legal por parte del responsable
del tratamiento, aunque se enmarque en un tratamiento para el cual previamente se
ha solicitado el consentimiento del interesado.

Además, afirma que se ha obviado información relevante para la defensa ya que en el
acuerdo de inicio no se hizo referencia al hecho de que el interesado presentó recurso
de reposición a la inadmisión de su reclamación y este fue estimado por la AEPD.

2. En lo que respecta a la alegación sobre el supuesto incumplimiento del artículo 55.1
de la LPACAP, en conexión con el artículo 53 de la LOPDGDD, por el que CPC
considera que la inspección de datos se habría extralimitado en el alcance de la fase
de investigación previa, señala que la AEPD reconoce un nuevo error, en este caso
parece ser de "transcripción' un error imposible de detectar, ni confirmar por esta parte
en modo alguno, de tal suerte que la AEPD, poniendo en evidencia su presunto error,
desactiva una potencial causa de nulidad del procedimiento administrativo, con lo que
una vez más se desatiende a la necesidad de que la información y las actuaciones en
el marco de un procedimiento sancionador debe caracterizarse por su precisión y rigor
en todas aquellas circunstancias que sean relevantes.

"Afirma la AEPD, en un esfuerzo de justificación añadido, que como tales tratamientos
de "potenciales clientes" no existen, ya que efectivamente así lo ha informado CPC, no
se han llevado a cabo actuaciones de investigación sobre ese tipo de tratamientos,
desviando la atención sobre lo que es relevante, no tanto las actuaciones
efectivamente llevadas a cabo, sino las que pretendidamente querían llevarse a cabo
extralimitándose la actividad de inspección de lo ordenado por la Directora de la
AEPD; otra cosa es que, al avanzar en las actuaciones de investigación, se hubiera
tenido que renunciar a tal objetivo, al no existir tales tratamientos, lo que no disminuye
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/133

en grado alguno la extralimitación inicialmente planteada. No sabemos qué hubiera
pasado si tales tratamientos hubieran existido, pero es razonable pensar que la
investigación se hubiera llevado a cabo fuera del alcance concretado por la Directora
de la AEPD.

3. En cuanto a la supuesta vulneración del principio non bis in ídem, CPC valora que la
misma recogida de consentimientos para la elaboración de perfiles fue objeto de
investigación y sanción en el procedimiento sancionador contra CAIXABANK, S.A,
número PS/00477/2019, en tanto existe identidad de sujeto, hecho y fundamento, sin
que pueda aceptar los argumentos de la AEPD, valorando como inexistente la
corresponsabilidad por falta de acreditación de la misma, ya que llevar a cabo un
tratamiento de datos personales en base a la corresponsabilidad es una decisión
propia de las entidades que quieran actuar como corresponsables, salvo en aquellos
supuestos en que tal circunstancia venga predefinida en una norma.

Afirma que le genera una extraordinaria confusión e inseguridad no saber identificar
qué otros instrumentos de acreditación de la corresponsabilidad acordada entre
algunas de las entidades del Grupo CaixaBank para algunos tratamientos de datos
personales, para los que han determinado conjuntamente fines y medios, todo ello
recogido en el acuerdo y políticas, deberían aportarse a juicio de la AEPD, y aún más
nos sorprende que se invierta la carga de la prueba en esta cuestión ya que debería
ser la AEPD quien aportara evidencia o pruebas de que no existe la
corresponsabilidad del tratamiento objeto del Procedimiento Sancionador, puesto que
CPC ha aportado evidencias sólidas y más que suficientes de que efectivamente
existe tal corresponsabilidad.

El artículo 26 del RGPD es muy claro al respecto; la existencia de corresponsabilidad
se sustenta en un mutuo acuerdo de dos o más responsables de tratamiento sobre
sus respectivas responsabilidades para que un tratamiento concreto cumpla con el
Reglamento, y ese acuerdo debe obedecer a la realidad fáctica de los tratamientos, en
cuanto a que tales responsables determinen conjuntamente los objetivos y los medios
del tratamiento; por tanto, estamos ante una decisión que, con carácter general,
pueden adoptar, o no, dos o más responsables de tratamiento, de modo que tal
decisión no puede ser puesta discrecionalmente en duda por terceros en tanto en
cuanto exista el requisito de que tales responsables hayan determinado
conjuntamente los objetivos y los medios de tratamiento, como es el caso del
tratamiento objeto de la Propuesta de Resolución.

Y la confusión aumenta cuando, como argumento para rebatir la vulneración del
principio non bis in ídem, la AEPD hace referencia a que en el caso de existir
corresponsabilidad, es decir, se ha pasado de que "no resulta acreditado sino que, a
juicio de esta Agencia, ni siquiera resulte admisible su existencia en e/ presente
supuesto", a valorar cómo se actuaría en el caso de que existiera, esgrimiendo que
podría llegar a sancionarse a varios corresponsables por los mismos hechos
atendiendo a que la responsabilidad no tiene por qué aplicarse a un único sujeto,
cuestión esta última con la que podemos estar de acuerdo pero que, evidentemente,
de ser el caso, debería haber sido tramitada en un mismo procedimiento o, al menos,
teniendo en cuenta a la hora de graduar la sanción la cuota de responsabilidad
correspondiente, y por tanto calculando la sanción en base a tal corresponsabilidad,
cuestión que tampoco nos consta que se haya tenido en cuenta, o tal vez sí, ya que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/133

dualidad de argumentos, a priori contradictorios que utiliza la AEPD, nos lleva a no
saber si la vulneración del principio non bis in ídem no existe porque no hay
corresponsabilidad o porque la AEPD ha considerado que hay corresponsabilidad y ha
optado por sancionar según la parte del tratamiento llevada a cabo por cada
corresponsable; sin duda un pronunciamiento más claro por parte de la AEPD
reduciría el grado de indefensión que en su conjunto genera para CPC el
procedimiento tramitado por la AEPD.

4. Respecto de la alegación sobre la actuación arbitraria de la AEPD en este
procedimiento, ninguna de las explicaciones y justificaciones que desarrolla la AEPD
resultan convincentes, ya que es evidente el trato discriminatorio respecto de
procedimientos similares, y no podemos admitir que la AEPD recurra a una obvia y
simple referencia genérica a que ha aplicado los elementos establecidos en el artículo
83 del RGPD y artículo 76.2 de la LOPDGDD, explicando que se enumeran en la
propia propuesta de resolución, respondiendo así a una parte de la alegación, sin que
haya entrado a valorar los ejemplos de procedimientos concretos que CPC trasladó en
sus alegaciones al Acuerdo de Inicio, sin dar explicación sobre "resoluciones de
procedimientos sancionadores de la AEPD en los que se sanciona al responsable de/
tratamiento por infracción del artículo 6 RGPD (vid, PPSS 00235/2019, 00182/2019,
00415/2019) y que, teniendo en cuenta la condición de gran empresa y volumen de
negocio, entre otros, ni de lejos las sanciones alcanzan e/ nivel económico de la
propuesta de sanción contenida en el presente Acuerdo de Inicio, puesto que son
sanciones que han oscilado entre los 60.000€ y los 120.000€"

Alega que, como evidencia de ese trato diferenciado, se va a centrar en el "Plan de
inspección de oficio sobre contratación a distancia en operadores de
telecomunicaciones y comercializadores de energía' cuyo informe de resultados fue
publicado por la AEPD el 29 de octubre de 2020; disponible en el siguiente enlace
https://www.aepd.es/es/prensa-y-comunicacion/notas-deprensa/aepd-publica-
resultados-auditoría-contratacion-telecomunicaciones-energia.

Según CPC resulta, cuando menos sorprendente, que se haya optado por el
instrumento preventivo de los planes de auditoría, precisamente para el sector
telecomunicaciones.

La Memoria Anual de la Agencia Española de Protección de Datos incluye una tabla
elaborada por la AEPD en la que se muestran las 10 áreas de actividad con mayor
número de reclamaciones recibidas en 2019 y su comparativa con el 2018. La
información sobre el número de reclamaciones que incluye la mencionada tabla de
datos, indica que en ambas áreas de actividad las reclamaciones representan el
mismo porcentaje, cada una de ellas un 4% respecto del total de reclamaciones (para
el 2019), y, si tenemos en cuenta los datos absolutos, las reclamaciones en relación a
"Entidades financieras/ acreedoras", fueron en el 2018 un total de 576, siendo para el
sector "Telecomunicaciones" en el mismo periodo 451 reclamaciones. Y, en el caso
del 2019, las reclamaciones presentadas fueron 464 en relación a “ Entidades
financieras/acreedoras" y 424 para el sector "Telecomunicaciones", es decir, una
incidencia de reclamaciones prácticamente igual, pero sorpresivamente, en un caso se
opta por adoptar una medida preventiva ("Telecomunicaciones"), y en otro una medida
punitiva ("Entidades financieras/acreedoras"), de lo que resulta un evidente trato
desigual, que no está justificado, y que además no ha sido motivado por la AEPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/133

Bien al contrario, acertadamente la propia Directora de la AEPD, en declaraciones
públicas, ha llegado a equiparar a ambos sectores en cuanto a reclamaciones
recibidas por la Agencia, en concreto en una entrevista publicada por "La Voz de
Galicia", de 9 de febrero de 2020, disponible en
https://www.lavozdegalicia.es/noticia/sociedad/2020/02/08/mar-espana-habra-
sancionesimportantes-vulnerar-proteccion-datos/00031581176394099239215.htm, en
la que a la pregunta de cuáles eran los sectores que recibían más denuncias, la
Directora respondió que: "Hay muchas reclamaciones del sector de las
telecomunicaciones, no porque sea donde peor se hace el tratamiento de datos sino
porque es uno de los sectores en donde el consumidor está más habituado a
presentar reclamaciones, y también de entidades financieras por tanto, aún se
entiende menos el trato desigual a uno y otro sector, para las "Telecomunicaciones"
ordenando medidas preventivas, y para la "Entidades financieras/acreedoras'
actuando con medidas punitivas, cuando a juicio de la Directora de la AEPD son
sectores equivalentes desde la perspectiva de las reclamaciones sobre protección de
datos recibidas en la Agencia.

5. En lo que respecta a la supuesta vulneración del derecho fundamental a la
presunción de inocencia, reitera CPC las alegaciones formuladas al acuerdo de inicio
del presente procedimiento sancionador, añadiendo que “respecto de la sugerencia
que se nos hace en la Propuesta de Resolución de que la falta de imparcialidad del
órgano administrativo alegada por CPC debería haber ido acompañada de una
recusación formal de la Directora de la AEPD, lo cierto es que CPC ya valoró en su
momento que no concurrían los supuestos de abstención del artículo 23.2 de la Ley
40/2015, y, en consecuencia, no se planteó solicitar la recusación sugerida en la
Propuesta de Resolución, lo que no invalida que consideremos que racionalmente
existen indicios de arbitrariedad e indefensión en cuanto a que las ya mencionadas
resoluciones de otros procedimientos, incluida la de la Propuesta de Resolución,
buscan notoriedad e impacto mediático, no dicho por nosotros, sino por la propia
Directora de la AEPD en medios de comunicación, que de no ser ciertas esas
declaraciones, tal vez la Agencia debería haber ejercido acciones contra tales medios;
efectivamente, la regulación prevé unas causas tasadas de abstención, que permiten
plantear formalmente una recusación, pero no es menos cierto que el hecho es que
tales supuestos no concurran, no impide actuaciones arbitrarias o indefensión, o
incluso de desviación de poder, por ejemplo, se busca notoriedad, máxime cuando el
mandato de la actual Directora de la AEPD está finalizado desde el pasado 27 de julio
de 2019. ”

6. Respecto de la supuesta extensión artificial y antijurídica de las actuaciones previas
reitera las alegaciones formuladas al acuerdo de inicio del procedimiento sancionador
y afirma que el Acuerdo de Inicio descansa, prácticamente en su integridad, en
elementos de cargo recogidos durante la fase de actuaciones previas, no cumpliendo
con la finalidad que les atribuye el ordenamiento jurídico, tal y como se explicará más
adelante, de modo que de hecho, y no de derecho, se estuvieron llevando a cabo
actuaciones de instrucción más allá de la simple búsqueda de evidencias para incoar
procedimiento sancionador, llegando casi a su caducidad, es decir, evidentemente tal y
como menciona la instructora en la Propuesta de Resolución, no existía acuerdo de
inicio en que se sustentara tal instrucción, por tanto siendo estas actuaciones previas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/133

por su contenido contrarias a derecho, y de hecho precisamente de eso nos quejamos,
se avanzaron actuaciones que aún no podían llevarse a cabo.

Resulta especialmente llamativo en este caso, el tiempo transcurrido entre la
inadmisión a trámite de la reclamación y el requerimiento de información previa, esto
es, más de un año, sin tener en cuenta la ya aludida falta de información respecto del
recurso de reposición a la inadmisión, que fue estimado por la AEPD, sin tener
conocimiento de ello esta parte; o la prolongación del periodo de actuaciones previas
de investigación por un periodo de 14 meses, eso sí, teniendo en cuenta la incidencia
de la pandemia.

El propio TS, en su Sentencia de 6 de mayo de 2015 establece lo siguiente: esta Sala
tiene declarado que ese periodo anterior al acuerdo de iniciación «(. ..) ha de ser
forzosamente breve y no encubrir una forma artificiosa de realizar actos de instrucción
y enmascarar y reducir la duración del propio expediente posterior» (sentencia de 6 de
mayo de 2015, recurso de casación 3438/2012, F. J 29; a esto nos referimos cuando
utilizamos la expresión de "extensión artificial" de las actuaciones previas en las que
se habrían llevado a cabo de hecho actos de instrucción relacionados con los hechos
objeto de la Propuesta de Resolución.

B. EN RELACION A LA PRESUNTA INFRACCION COMETIDA POR CPC

La AEPD afirma que la información que se proporciona a los interesados para obtener
el consentimiento "resulta incompleta e insuficiente", identificando una serie de
deficiencias en la mencionada información con relación a los tratamientos cuyo fin es
"la oferta y diseño de productos y servicios ajustados al perfil de/ cliente"

Así, respecto de la operación de tratamiento que implica llevar a cabo "de manera
proactiva análisis de riesgos y aplicar sobre sus datos técnicas estadísticas y de
segmentación de clientes" se dice que no se indica (i) qué tipo de perfil va a
elaborarse, (ii) la finalidad del perfilado.

Respecto de realizar "el seguimiento de los productos y servicios contratados",
observa la AEPD la misma deficiencia, es decir, "no se indica la finalidad ni el tipo de
perfil que va a elaborarse"; y respecto de las operaciones a para ajustar medidas
recuperatorias sobre los impagos e incidencias derivadas de los productos y servicios
contratados" inicialmente solo aprecia como deficiencia el hecho de que "no se indica
que tipo de perfil va a llevarse a cabo" ya que de manera expresa la AEPD afirma que
"se indica la finalidad del perfil'

En relación a la falta de información sobre el tipo de perfil, debemos mostrar nuestra
extrañeza a que la AEPD plantee tal falta de información puesto que, ni en las
directrices del CEPD ni en otros documentos consultados de la propia AEPD, se
concreta que deba proporcionarse tal información sobre el "tipo de perfil", y como
añadido cabe mencionar que tampoco se define o específica en esos documentos qué
listado o catálogo de tipos o categorías de perfiles debería usarse para indica r que se
piensa elaborar un "tipo de perfil" concreto, ni se argumenta que ello sirva para que el
interesado disponga de información que le resulte relevante para decidir autorizar, o
no, el tratamiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/133

Es evidente que todos los perfiles que puedan elaborarse en el contexto de la relación
de un cliente con una entidad bancaria o financiera estarán relacionados con esa
actividad. Por tanto, no hay diversos "tipos de perfil" a elaborar pues todos están
relacionados con la relación que se establece entre la entidad y el cliente; tal vez la
AEPD, al referirse a "tipo de perfil' (insistimos que se trata de un concepto no utilizado
en la directrices del CEPD y tampoco en los documentos de la AEPD), quiera referirse
al "tipo de evaluación o juicio sobre una persona", que en cualquier caso nos lleva en
este supuesto a la misma respuesta, será un perfil derivado de la relación entre la
entidad y el interesado. Distinto sería el caso de una empresa cuya actividad principal
sea elaborar perfiles, donde tal vez tendría cabida una distinción de tipos de perfiles,
pero no es el caso de CPC, cuyas actividades principales se derivan de su objeto
social, no formando parte del mismo la elaboración de perfiles como una actividad
general o principal sino más bien instrumental y accesoria en el marco de sus
actividades empresariales.

En las Directrices sobre la transparencia en virtud del Reglamento (UE) 2016/679 (W P
260 rev.01), cuando se detalla la información que debe proporcionarse sobre la
elaboración de perfiles se refiere a lo previsto en el RGPD; es decir, es obligado
proporcionar información sobre el uso de perfiles, así como "información significativa
sobre la lógica subyacente y las consecuencias notables y previstas del tratamiento
para el interesado", sustentada tal afirmación en una parte del contenido de
considerando 60: "se debe además informar a l interesado de la existencia de la
elaboración de perfiles y de las consecuencias de dicha elaboración

En todo caso, el WP260 remite a las ya mencionadas "Directrices sobre decisiones
individuales automatizadas y elaboración de perfiles", con el fin de "obtener orientación
adicional sobre cómo poner en práctica la transparencia en las circunstancias
concretas de la elaboración de perfiles

Debemos añadir que en el anexo del WP260 se identifica el tipo de información que
debe proporcionarse a los interesados, en función de diversas circunstancias que
pueden concurrir en los tratamientos de datos personales; así, cabe mencionar que en
la primera columna no se hace referencia alguna al 'tipo de perfil" como una
información a facilitar a los interesados, refiriéndose exclusivamente a la "existencia de
decisiones automatizadas, incluida la elaboración de perfiles, y, en su caso,
información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas de dicho tratamiento para el interesado", y remitiendo en sus
observaciones a las directrices sobre Directrices sobre decisiones individuales
automatizadas y elaboración de perfiles.

Por tanto, en las Directrices sobre la transparencia en virtud del Reglamento (UE)
2016/679 no se identifica que el tipo de perfil sea una información que de manera
obligatoria deba proporcionarse a los interesados, ni lo plantea como una orientación o
una buena práctica; por tanto, no se hace mención alguna a ese tipo de información
para cumplir con el principio de transparencia del RGPD. El CEPD no considera que
sea necesario proporcionar tal información que ahora exige la AEPD en su Propuesta
de Resolución.

En las Directrices sobre decisiones individuales automatizadas y elaboración de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/133

perfiles a los efectos del Reglamento 2016/679 (WP251rev.01), cuando se desarrollan
las disposiciones generales sobre elaboración de perfiles y decisiones automatizadas,
en el apartado dedicado al principio de licitud, lealtad y transparencia, en lo que
respecta a la transparencia, alude al hecho de que en las "Directrices sobre
transparencia del Grupo de Trabajo del artículo 29" se trata con mayor detalle la
transparencia, por tanto hace una remisión general al documento analizado en el
apartado anterior de nuestras alegaciones.

Afirma el CEPD que "las personas tienen distintos niveles de comprensión y les puede
resultar difícil entender las complejas técnicas de los procesos de elaboración de
perfiles y decisiones automatizadas"; es decir, el CEPD aboga por una información
exenta de complejidades, aludiendo a lo dispuesto en el artículo 12.1 del RGPD: "el
responsable del tratamiento debe facilitar a los interesados información concisa,
transparente, inteligible y de fácil acceso sobre el tratamiento de sus datos
personales", profundiza en esta cuestión cuando, aludiendo a una guía de la Oficina
del Comisario de Información australiano, en la que se afirma que : «Las declaraciones
de confidencialidad deben comunicar prácticas sobre el manejo de información de
forma clara y sencilla, pero también de manera exhaustiva y con la suficiente
especificidad para ser significativas" La conclusión es que debe informarse de forma
"clara y sencilla"; más información no significa necesariamente una mayor
transparencia, y ello debe equilibrarse con que sea exhaustiva y que se proporcione
exclusivamente el detalle de aquello que realmente sea significativo, evitando, por
tanto, la conocida "fatiga informativa", para lo que el uso de capas de información y de
diferentes momentos en que se pueda informar con mayor o menor exhaustividad y
detalle, deben ser tenidos en cuenta como analizaremos más adelante.

En este sentido, la mencionada guía del Comisario de información australiano también
afirme que la “propia tecnología que permite una mayor recogida de información
personal también brinda la oportunidad de elaborar declaraciones de confidencialidad
más dinámicas, con múltiples capas y centradas en el usuario". Este último elemento
ha sido un denominador común en la información que CPC y el Grupo CaixaBank han
proporcionado a sus clientes en relación al tratamiento de sus datos personales, y que
ahora con las resoluciones ya mencionadas la AEPD ha puesto claramente en crisis,
abogando por un modelo de información hacía los interesados donde solo tiene
presente la exhaustividad y el detalle (sea útil, o no), en el que no está claro donde
debe situarse el nivel de comprensión de la información proporcionada, pretendiendo
que este se adapte a la comprensión de la propia AEPD, no tanto de las personas que
efectivamente deben recibir esa información. Recordemos que el CEPD se refiere
expresamente a que "las personas tienen distintos niveles de comprensión y les puede
resultar difícil entender las complejas técnicas de los procesos de elaboración de
perfiles".

Las directrices que estamos analizado, por lo que respecta a las situaciones en que
los responsables del tratamiento "pretendan basarse en el consentimiento como base
para la elaboración de perfiles' dicen que el responsable del tratamiento debe
demostrar "que los interesados entienden exactamente qué están consintiendo". En
este sentido, el Grupo CaixaBank proactivamente ha verificado esa comprensión
mediante estudios que han involucrado a clientes. Pero es que, además, Grupo
CaixaBank no ha recibido reclamaciones de interesados que hayan puesto en
evidencia que la información que se les ha proporcionado en las diferentes capas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/133

informativas haya generado dudas significativas, ni tan solo tal cuestión forma parte
de la reclamación que da lugar a la Propuesta de Resolución. Y aún cabe añadir que
en esta cuestión la AEPD está invirtiendo la carga de la prueba, ya que no aporta
indicio o evidencia algunos de que la información proporcionada no sea comprensible;
recordemos que el CEPD opina que "los interesados deben contar con suficiente
información sobre el uso y las consecuencias previstos del tratamiento para garantizar
que cualquier consentimiento que den constituya una elección informada". Esta parte
quiere resaltar que el CEPD se refiere a "suficiente información" (no una información
exhaustiva que provocaría una reacción de no lectura de los avisos informativos), y
que tal información debe versar sobre el "uso y las consecuencias"; no mencionando
el CEPD el “tipo de perfil” que ahora exige la AEPD, considerando que no informar de
esa información supone una deficiencia que parcialmente le ha llevado a concluir que
el consentimiento obtenido por CPC no es válido.

Al referirse al "derecho a ser informado” el CEPD insiste en que "los responsables del
tratamiento deben garantizar que explican a las personas, de forma clara y sencilla, el
funcionamiento de la elaboración de perfiles"; huyendo, por tanto, de complicadas y
extensas explicaciones, añadiendo que lo relevante es que le quede claro "al usuario
el hecho de que el tratamiento tiene fines tanto de a) elaboración de perfiles como de
b) adopción de una decisión sobre la base del perfil generado". Recordemos que, tal y
como ha quedado acreditado, CPC informa a los interesados tanto de que se elaboran
perfiles, como de la decisión que se adopta a partir de los mismos, relacionada
exclusivamente con el envío de ofertas comerciales.

Y, en relación a otro tipo de información que debe proporcionarse a los interesados,
resulta muy relevante mencionar la referencia que hace el CEPD en estas directrices
al derecho de acceso (artículo 15 del RGPD), de modo que como bien se expresa, "el
artículo 15 ofrece al interesado el derecho de obtener detalles de cualquier dato
personal utilizado para la elaboración de perfiles, incluidas las categorías de datos
utilizadas para elaborar un perfil añadiendo que, además de la información general, "el
responsable del tratamiento tiene el deber de poner a disposición los datos utilizados
como datos de entrada para crear perfiles, así como de facilitar el acceso a la
información sobre el perfil y los detalles sobre los segmentos a los que se ha asignado
al interesado" (tal vez por "tipo de perfil" la AEPD se refiera a los "segmentos
asignados al cliente"); es decir, en ningún caso se deriva tal detalle informativo exigido
por la AEPD de las obligaciones de información de los artículos 13 y 14 sino que, en
todo caso, tal información exhaustiva debe proporcionarse cuando el interesado haya
ejercido el derecho de acceso que le reconoce el artículo 15 del RGPD, y es aquí
donde la AEPD se confunde al exigir que, en las diferentes capas de información que
se ponen a disposición de todos los clientes, se deban incluir tipos de información que
solo es razonable y de sentido común que sea puesta a disposición de los clientes
como consecuencia de una solicitud de derecho de acceso en relación a l tratamiento
que incluya el uso de perfiles.

Además, el propio CEPD establece límites al alcance de la información que debe
proporcionarse en relación con la elaboración de perfiles cuando afirma que "el
considerando 63 prevé cierta protección para los responsables del tratamiento
afectados por la revelación de secretos comerciales o propiedad intelectual, lo cual
puede ser especialmente pertinente en relación con la elaboración de perfiles". Y es
que el considerando 63 establece que el derecho de acceso «no debe afectar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/133

negativamente a los derechos y libertades de terceros, incluidos los secretos
comerciales o la propiedad intelectual y, en particular, los derechos de propiedad
intelectual que protegen programas informáticos». Por extensión, interpretamos que
tal protección alcanza a los algoritmos utilizados para la elaboración de perfiles, que
incluyen entre otras cuestiones los datos específicos que se utilizan, lo que no
obstaculiza que se pueda proporcionar información sobre categorías de datos
utilizados, pero no necesariamente el detalle exhaustivo de tales datos, ni cómo se
utilizan, y tampoco resulta necesario informar sobre el resultado de la aplicación de
los mencionados algoritmos o técnicas de análisis de información, que podrían estar
incluso protegidos por la Ley 1/2019, de 20 de febrero, de Secretos Empresariales,
pero sí de las consecuencias que puede tener para los interesados; es decir, el
conjunto de la regulación propugna un modelo equilibrado en cuanto a la información
que debe proporcionarse en relación a la elaboración de perfiles, que tenga en cuenta
tanto los derechos y libertades de las personas cuyos datos son objeto de tratamiento
como los derechos de los responsables de tratamiento sobre ciertas informaciones
que podrían constituir secretos empresariales con carácter general, y, en particular,
los secretos comerciales a que se refiere el propio RGPD.

En el anexo I de las directrices sobre decisiones individuales automatizadas y
elaboración de perfiles se incluyen unas recomendaciones de buenas prácticas;
ponemos énfasis en que se trata de unas recomendaciones de un conjunto de buenas
prácticas que no deben interpretarse como obligatorias o vinculantes sino que, tal y
como se expone de manera expresa al inicio del mencionado anexo•. "Las siguientes
recomendaciones de buenas prácticas ayudarán a los responsables del tratamiento a
cumplir los requisitos de las disposiciones del RGPD sobre elaboración de perfiles y
decisiones automatizadas"; es decir, se trata de unas buenas prácticas que tienen
como finalidad "ayudar" a cumplir con lo previsto en el RGPD pero, en ningún caso, se
plantean como unas obligaciones para los responsables de tratamientos.

Las buenas prácticas recomendadas por el CEPD, en cuanto al derecho de
información, proponen que, además de tener en cuenta con carácter general lo
previsto en el WP260 (directrices sobre transparencia), cuando se lleve a cabo el
tratamiento de datos personales que impliquen decisiones individuales automatizadas
o elaboración de perfiles, el responsable del tratamiento debe ofrecer información
significativa sobre la lógica aplicada, de modo que, tal y como expone el CEPD,
recomienda que "e n lugar de ofrecer una compleja explicación matemática sobre
cómo funcionan los algoritmos o el aprendizaje automático, el responsable del
tratamiento debe considerar la utilización de formas claras y exhaustivas de ofrecer
información al interesado, por ejemplo :" (y aquí añadimos nosotros que se trata
exclusivamente de unas orientaciones, ya que son solo algunos ejemplos):

las categorías de datos que se han utilizado o se utilizarán en la elaboración de
perfiles o el proceso de toma de decisiones; (y aquí añadimos nosotros, que no se
refiere al detalle de todos los datos que serán utilizados) los motivos por los cuales
estas categorías se consideran pertinentes; cómo se elaboran los perfiles utilizados
en el proceso de decisiones automatizadas, incluidas las estadísticas utilizadas en el
análisis; por qué este perfil es pertinente para el proceso de decisiones
automatizadas; y cómo se utiliza para una decisión relativa al interesado

Hay que tener en cuenta que esas recomendaciones no aplican en su totalidad al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/133

tratamiento afectado por el presente Procedimiento Sancionador puesto que el objeto
de la Propuesta de Resolución se refiere exclusivamente a la elaboración de perfiles,
no incluyéndose la toma de decisiones basadas únicamente en el tratamiento
automatizado que puedan producir efectos jurídicos en los clientes de CPC o que les
puedan afectar significativa mente de modo similar ya que la finalidad del perfilado no
es otra que seleccionar a clientes a los que dirigir ofertas de productos y servicios, por
tanto, una finalidad meramente comercial y que, en todo caso, el hecho de que un
cliente no sea incluido en una campaña comercial no implica, en supuesto alguno, que
quede excluido automáticamente de la posibilidad de contratar o usar los productos o
servicios ofertados por CPC a algunos de sus clientes puesto que siempre tiene la
opción de dirigirse a CPC a los efectos de interesarse o solicitar el servicio o producto
que sea de su interés.

Como fácilmente puede desprenderse de las informaciones que el CEPD recomienda
que sean proporcionadas a los interesados, no se ha mencionado, en caso alguno,
informar sobre el "tipo de perfil", tal y como pretende la AEPD que debería haber sido
informado obligatoria mente por parte de CPC, siempre sin olvidar que, en cualquier
caso, estamos ante recomendaciones de buenas prácticas.

Por lo que respecta a las "Directrices 5/2020 sobre el consentimiento en el sentido del
Reglamento (UE) 2016/679", se hace referencia a que el CEPD "opina" (una vez más
se confirma el alcance de las directrices como recomendaciones y criterios para
ayudar al cumplimiento) que se requiere, al menos, la siguiente información para
obtener un consentimiento válido:

i. la identidad del responsable del tratamiento,
ii. el fin de cada una de las operaciones de tratamiento para las que se
solicita el consentimiento,
iii. qué (tipo de) datos van a recogerse y utilizarse,
iv. la existencia del derecho a retirar el consentimiento,
v. información sobre el uso de los datos para decisiones automatizadas,
de conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e
vi. información sobre los posibles riesgos de transferencia de datos debido
a la ausencia de una decisión de adecuación y de garantías adecuadas, tal y
como se describen en el artículo 46,”

Aquí no encontrarnos tampoco referencia alguna a que deba informarse del "tipo de
perfil" a que alude la AEPD en la Propuesta de Resolución como deficiencia de la
información facilitada por CPC a sus clientes.

Finalmente, afirma que ha analizado documentos publicados por la AEPD en relación
a los tratamientos que implican el uso de inteligencia artificial, que incluyen la
referencia al uso de tales técnicas para la elaboración de perfiles y el resultado ha sido
que ni en el documento dedicado a la "Adecuación al RGPD de tratamientos que
incorporan Inteligencia Artificial " (febrero 2020), ni en el de "Requisitos para Auditorías
de Tratamientos que incluyan IA", se puede encontrar información sobre los tipos de
perfiles que podrían llegar a elaborarse, ni tampoco se hace referencia, cuando se
abordan cuestiones relacionadas con la información a proporcionar a los interesados,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/133

que el "tipo de perfil" sea una cuestión sobre la que deba informarse de manera
específica a los interesados.

Por tanto, en lo que respecta a la aludida falta de información sobre el "tipo de perfil",
no podemos estar de acuerdo en que sea una deficiencia informativa que pueda tener
efectos jurídicos, puesto que no resulta obligado proporcionar tal información en
relación con el derecho de información, sin perjuicio de que, en base al derecho de
acceso pudiera proporcionarse tal tipo de información, todo y que no es el supuesto
objeto de la Propuesta de Resolución. A todo ello debe añadirse que no existe una
clasificación o catálogo de tipos de perfiles que aplicar, de modo que diferentes
responsables podrían referirse a un mismo perfil de distintas maneras, creando aún
más confusión en los interesados; por tanto, la ausencia de tal tipo de información no
puede ser considerada una deficiencia informativa que lleve a la conclusión de que la
información proporcionada por CPC sea incompleta e insuficiente y, en consecuencia,
tal circunstancia no puede usarse como fundamento para declarar una infracción, ni la
ilicitud de los consentimientos.

Continuando con los tratamientos cuya finalidad es el "análisis, estudio y seguimiento
para la oferta y diseño de productos y servicios ajustados al cliente", se afirma por
parte de la AEPD que no se indica la finalidad en los tratamientos de la letra a) y b) del
número 1.(según la estructura usada en las "CONDICIONES GENERALES DE LA
SOLICITUD-CONTRATO DE CRÉDITO). Tampoco podemos compartir tal conclusión
puesto que se informa de la finalidad principal, que no es otra que el "análisis, estudio
y seguimiento para la oferta y diseño de productos y servicios ajustados al perfil del
cliente", junto con una agrupación de operaciones de tratamientos que se llevan a
cabo para analizar los riesgos y hacer segmentación de clientes en base a sus datos
personales, con el objeto de:
“estudiar productos o servicios que puedan ser ajustados" al perfil de los clientes de
CPC y situación comercial o crediticia concreta, a los efectos de "efectuar ofertas
comerciales'
“realizar el seguimiento de los productos y servicios contratados"

La AEPD, en su guía "Gestión del riesgo y evaluación de impacto en tratamientos de
datos personales" (junio 2021), afirma que, a la hora de determinar con precisión las
finalidades de un tratamiento de datos personales, se puede llegar a confundir el "fin
último del tratamiento" con medidas o procesos (operaciones de tratamiento) que se
lleven a cabo de manera instrumental para alcanzar la finalidad que se propone el
responsable del tratamiento.

El fin último del tratamiento objeto de la Propuesta de Resolución no es otro que el
"análisis, estudio y seguimiento para la oferta y diseño de productos y servicios
ajustados al cliente", de modo que, para conseguir dicho propósito, CPC ha decidido
conjuntamente, en el marco de corresponsabilidad del mencionado tratamiento, llevar
a cabo diversas operaciones de tratamiento para alcanzar algunos objetivos
intermedios. o, en su caso, ha usado lo que no dejan de ser medios instrumentales
para la consecución del fin último del tratamiento.

En su conjunto, CPC concreta e informa tanto de la finalidad principal perseguida
como de todo aquello que implica el uso de los datos personales de sus clientes para
alcanzar tal fin, con el suficiente detalle como para que sea comprendida por los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/133

clientes, sin llegar a causarles la típica fatiga informativa por exceso de información
sin relevancia real para autorizar el uso de sus datos personales.

No cabe duda de que, como consecuencia de la información que CPC proporciona a
sus clientes, estos saben que sus datos van a ser utilizados para ofrecerles productos
de CPC en base a su perfil. No entendemos qué dudas puede plantear el modo en
que se ha informado respecto de la finalidad; tampoco la AEPD ha transmitido con
claridad qué es lo que no se entiende o qué podría causar confusión a los clientes de
CPC en relación con el uso que se va a hacer de sus datos, si consienten a ello.

Los clientes saben que para que CPC les envíe ofertas comerciales, siempre previo
consentimiento, se va a elaborar un perfil con sus datos personales, lo que incluye
evaluar sus riesgos, de modo que la oferta de productos sea adecuada para su
capacidad financiera, lo que implica, además, que CPC tenga en cuenta qué
características tienen los productos y servicios que ya tiene contratados (seguimiento
e incidencias).

Por supuesto, cualquier proceso que implique trasladar información a un tercero, en
este caso clientes, es susceptible de ser mejorado, tanto en la propia expresión como
en las técnicas a utilizar para informar de la manera más clara y eficiente posible; pero
de ahí a concluir que del conjunto de la información que CPC proporciona a sus
clientes se derivan deficiencias de tal magnitud que implican que la información sea
incompleta e insuficiente hay un margen de discrecionalidad extraordinario por parte
de la Agencia, máxime cuando esta no ha demostrado, en ningún caso, que la
información sobre el fin de los tratamientos sea incompleta o insuficiente, limitándose
a decir que lo es, sin mayor argumentación, o al menos no siendo ajustadas sus
argumentaciones a derecho, tal y como se ha puesto de manifiesto en estas
alegaciones, exigiendo contenidos informativos en relación a la transparencia y al
derecho de información a los que no obliga ni el RGPD, ni la LOPDGDD, y que ni tan
solo se recogen en las recomendaciones del CEPD.

Por tanto, la información que se ha venido proporcionando a sus clientes por parte de
CPC en relación con los tratamientos de "análisis, estudio y seguimiento para la oferta
y diseño de productos", cumple con las obligaciones de transparencia e información
previstas en la regulación, siendo esta completa y suficiente para que los clientes sean
conocedores de qué uso se va a hacer de sus datos personales, tal y como ha
quedado puesto de manifiesto en el conjunto de alegaciones previas, si bien, tal y
como ya se alegó al Acuerdo de Inicio, en la nueva "Política de Privacidad" del Grupo
CaixaBank, bajo el epígrafe "A. Análisis de sus datos para la elaboración de perfiles
que nos ayuden a ofrecerle productos que creemos que pueden interesarle" se ha
procedido a incorporar mejoras en relación a la información proporcionada a los
interesados, precisamente derivadas de la incidencia que la AEPD está teniendo
mediante el ejercicio de su potestad sancionadora en el Grupo CaixaBank.

Respecto del resto de operaciones de tratamiento que se llevan a cabo para el
"análisis, estudio y seguimiento para la oferta y diseño de productos y servicios
ajustados al perfil del cliente" (letras b, c, d y e), sobre las que la AEPD sostiene que
no se informa de las categorías de datos usados. En el acuerdo de inicio la AEPD
sostiene que el interesado no puede conocer los datos que se van a tratar para el
perfilado puesto que entre la información que se le aporta, se incluyen datos que no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/133

van a ser objeto de dicho tratamiento y, sin embargo, según la AEPD, no se le informa
del tratamiento de otros datos que sí serán objeto del mismo. Reitera aquí las
alegaciones formuladas al acuerdo de inicio relativas a que las categorías de datos
objeto del tratamiento no se encuentran entre la información mínima descrita en el
artículo 13 del RGPD para que el consentimiento sea informado y que pese a no ser
obligatorio informar de ello la información proporcionada en su conjunto sí que permite
conocer los datos que se van a tratar para el perfilado.

La AEPD, en relación con la configuración del mecanismo para la prestación del
consentimiento, afirma que "no se ha previsto que el interesado exprese su opción
sobre todos los fines para los que se tratan los datos. Se habla en el apartado (i) de
tratamientos para "la oferta y diseño de productos y servicios ajustados al perfil de
cliente", supuesto que en sí mismo comprende ya tres diferentes fines"; en este
sentido, nos remitimos a lo ya expresado en lo que se refiere al fin último del
tratamiento y la necesaria distinción, según opinión de la AEPD, respecto de las
diferentes operaciones o procesos que se llevan a cabo de manera instrumental o
como objetivos intermedios.

Como ya alegamos en su momento, "el consentimiento únicamente se solicita con la
finalidad de estudiar productos o servicios que pudieran ser ajustados al perfil o
situación comercial o crediticia concreta de los clientes para remitirle ofertas
comerciales ajustadas a sus necesidades y preferencias.'

A lo ya alegado en relación a la obtención del consentimiento en el escrito de
respuesta al Acuerdo de Inicio y la confusión derivada de un error en la cláusula
informativa, queremos añadir que tal circunstancia no obedece, en ningún caso, a un
ánimo de ocultar información o confundir a los clientes de CPC, ni a cualquier otro tipo
de intencionalidad de CPC de incumplir con sus obligaciones en materia de protección
de datos, no concurriendo la necesaria exigencia de culpabilidad para poder imponer
una sanción administrativa ya que, como bien sabe la AEPD, está asentado el criterio
jurisprudencial de que debe descartarse toda sanción al margen de una conducta
culposa o negligente; por lo que queremos poner de manifiesto que, en ningún caso,
CPC ha buscado un resultado de desinformación, de ocultación o de generación de
confusión en sus clientes, considerando que tales consecuencias no se han producido,
ya que no se han planteado por parte de sus clientes reclamaciones al respecto-,
partiendo todo el Procedimiento Sancionador de una valoración discrecional, por tanto,
ni fundamentada ni acreditada de la AEPD, en cuanto a que la información
proporcionada en relación a los tratamientos no es suficiente ni clara, de la cual se
deriva ría una obtención no informada del consentimiento, opinión que no podemos
compartir, y que tampoco han planteado formalmente nuestros clientes, ni siquiera en
la reclamación origen del presente Procedimiento Sancionador.

La AEPD hace referencia en su Propuesta de Resolución a los cambios introducidos
en la Política de Privacidad del Grupo CaixaBank que, entre otras cuestiones, adapta n
la información sobre los tratamientos a los requerimientos de la AEPD e intentan
mejorar la información que se proporciona a los clientes de CPC. A la AEPD tales
cambios tampoco le satisfacen, afirmando que no cumplen con las exigencias
impuestas por la normativa de protección de datos, en particular en lo que respecta al
tratamiento basado en el consentimiento, identificado como de "análisis de sus datos
para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/133

pueden interesarle", que se corresponde con el tratamiento objeto de la Propuesta de
Resolución.

Para llegar a la anterior conclusión la AEPD se ha limitado a analizar un párrafo de la
nueva Política de Privacidad, concretamente el siguiente: "Mediante este tratamiento
analizaremos sus datos para tratar de deducir sus preferencias o necesidades y así
poder hacerle ofertas comerciales que creamos que puedan tener más interés que
ofertas genéricas a partir del cual afirma que solo contiene expresiones genéricas,
que:
“no identifican a que tipo de preferencias o necesidades se refiere” “ni a que tipo de
ofertas puede dar lugar” “sin que por otra parte se informe de la tipología del perfil que
se va a llevar a cabo.

Sencillamente resulta inaudito que se exijan tales contenidos informativos. Respecto al
"tipo de perfil" ya nos hemos extendido suficientemente para evidenciar que no sea
trata de una información que CPC venga obligada a proporcionar para atender las
exigencias de la normativa de protección de datos y que, además, ni tan solo forma
parte de las recomendaciones elaboradas por el CEPD.

Como bien debe saber la AEPD, la elaboración de perfiles no deja de ser una actividad
dinámica en cuanto a los resultados que puede dar. En este caso, las "necesidades y
preferencias" pueden ser cambiantes, en función de muchas variables del entorno.
Eso sí, a pesar de ello, resulta más que razonable pensar que se trata, en todo caso,
de necesidades y preferencias vinculadas a los productos y servicios que ofrece CPC,
que están perfectamente delimitados en su cartera de productos y servicios y en el
propio objeto social de la compañía, y que son conocidos por sus clientes, ya que se
publicitan por diferentes medios.

En consecuencia, no parece que detallar tales "necesidades y preferencias" pueda
aportar nada relevante a los clientes de CPC en el marco de una Política de
Privacidad, en tanto son conocedores de cuál es la actividad empresarial de CPC, así
como los productos y servicios que puede ofrecer. En todo caso, tampoco aporta la
AEPD base jurídica alguna para exigir tal concreción ya que no hace referencia al
precepto legal o a la recomendación que le permite concluir que deberían detallarse
tales "necesidades y preferencias que insistimos se pueden deducir con carácter
general de la relación que CPC establece con sus clientes.

Del mismo modo sucede con la supuesta deficiencia informativa respecto a que no se
informa del "tipo de ofertas" que pueden llegar a hacerse a los clientes, que es
evidente que serán cambiantes en cuanto al tipo de oferta y contenido, pero que,
como no puede ser de otro modo, siempre estarán relacionadas con la actividad
empresarial de CPC. En este apartado, una vez más, la conclusión de la AEPD es
absolutamente discrecional ya que tampoco hace referencia al precepto legal o a la
recomendación que le permite concluir que deberían detallarse los u tipos de ofertas",
que obviamente serán ofertas comerciales respecto de los productos y servicios de
CPC, algo que resulta tan evidente para los clientes de CPC que causa mucha
extrañeza que la AEPD no pueda comprender y opte por pedir un detalle que lo único
que haría sería añadir información cambiante e innecesaria en el marco de una
Política de Privacidad. Cuestión diferente sería que, ante un derecho de acceso o
incluso una consulta a CPC por parte de sus clientes, en cada momento se les pueda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/133

proporcionar información más detallada y adaptada a la realidad del momento en que
se hace tal solicitud de información.

A todo ello cabe añadir que sorprende que la AEPD haya sustentado su análisis
exclusivamente en un párrafo de la mencionada política; tal vez con una lectura
completa y sistemática podría mejorar su percepción sobre los contenidos de la nueva
Política del Grupo CaixaBank, que, sin duda, cumple con las exigencias impuestas por
la normativa de protección de datos en materia de transparencia e información.

Por tanto, no podemos estar de acuerdo con que, en palabras de la AEPD, la nueva
Política de Privacidad: "tampoco cumple las exigencias impuestas por la normativa de
protección de datos "

Debemos manifestar que, si n perjuicio de la valoración negativa que hace la AEPD de
la Política de Privacidad en base al análisis de un único párrafo de la misma, además
hace referencia a que tal política no es suficiente para considerar como subsanadas
las deficiencias observada s en el Acuerdo de Inicio, en base a que las
"CONDICIONES GENERALES DE LA SOLICITUD CONTRATO DE CRÉDITO" no
reflejan tales cambios, ignorando las dificultades que tales cambios pueden suponer
en organizaciones complejas como es CPC, que debe analizar y valorar
meticulosamente el momento y modo en que deben introducirse las oportunas
modificaciones, en particular cuando afectan a la relación con sus clientes, y que
tienen impacto tanto en sistemas de información como en procedimientos operativos
de la organización, e incluso en el cumplimiento de otras normas que afectan a su
actividad empresarial. En este sentido, cabe añadir que por parte de CPC se están
diseñando las adaptaciones necesarias derivadas de la nueva Política de Privacidad
del Grupo CaixaBank. Se añade, además, el agravante de que la AEPD olvida por
completo que ya existe un procedimiento sancionador seguido contra CaixaBank, que
afecta a este tratamiento concreto ( hasta el punto que se ha alegado que existe una
vulneración del principio non bis in ídem) puesto que se lleva a cabo en régimen de
corresponsabilidad, lo que implica que los cambios deben ser coordinados con todos
los corresponsables ya que es un tratamiento de datos configurado y determinado de
forma conjunta, en particular en cuanto a sus fines y medios.

En lo que respecta a que exista una comunicación de datos a las empresas del grupo,
debemos señalar que la AEPD debería actualizar las fórmulas que utiliza en sus
escritos, en particular aquellos relacionados con las resoluciones ya que afirma que tal
comunicación de datos a las empresas del grupo, al ser una finalidad en sí misma,
dice textualmente que "requiere una manifestación de voluntad del interesado por la
que este consienta que puede llevarse a cabo"; de modo que para la AEPD el
consentimiento todavía es la única base de licitud que ampara una comunicación de
datos a terceros cuando es bien sabido que el RGPD no establece como única base
jurídica para la comunicación de datos a terceros el consentimiento del interesado,
pudiendo usarse, en tanto resulte adecuada, cualquiera de las condiciones de licitud
dispuestas en el artículo 6 del RGPD, por tanto, no solo mediante el consentimiento,
concurriendo, una vez más, la falta de rigor de la AEPD en este Procedimiento
Sancionador cuando en esta cuestión se está apoyando en lo dispuesto en el artículo
11.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de
Carácter Personal, que disponía que: "Los datos de carácter personal objeto del
tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/133

directamente relacionados con las funciones legítimas del cedente y del cesionario con
el previo consentimiento del interesado'

Dicho lo anterior, reiteramos lo ya alegado en cuanto a que no existe comunicación de
datos a terceros en tanto existe un régimen de corresponsabilidad entre diversas
sociedades del Grupo CaixaBank, que se apoya precisamente en elementos fácticos
para los que ahora se están adoptando medidas forma les; de ahí que resulte fuera de
lugar e irrelevante hacer referencia a que el acuerdo de corresponsabilidad aportado
carezca de fecha y firma ya que es una acción posterior de formalización de una
situación fáctica, que además está vinculada a requisitos regulatorios, tal y como ya se
ha alegado.

Aunque se haya incluido en la Propuesta de Resolución, trasladamos aquí también el
recordatorio de las Directrices 7/2020 sobre responsable y encargado del tratamiento
en el RGPD, en tanto el CEPD considera que: "La evaluación de la corresponsabilidad
debe llevarse a cabo sobre la base de un análisis fáctico, más que formal, de la
influencia real sobre los fines y medios del tratamiento. Todas las disposiciones
existentes o previstas deben verificarse teniendo en cuenta las circunstancias de
hecho relativas a la relación entre las partes a lo que añade que un criterio meramente
formal no sería suficiente. Sorprende que la primera valoración de la AEPD para
dictaminar que no existe corresponsabilidad sea decir "que el acuerdo de
corresponsabilidad aportado carece de fecha y firma y, en consecuencia, de validez
alguna", por tanto, primando para la AEPD el elemento formal, separándose de la
opinión de las autoridades de protección de datos europeas, a pesar de que la AEPD
forma parte del CEPD.

Ciertamente el CEPD, en aras de la seguridad jurídica y con el fin de garantizar la
transparencia y la rendición de cuentas, dado que el RGPD no especifica la forma que
debe tomar el acuerdo de corresponsabilidad, recomienda que tal acuerdo se
formalice mediante un instrumento vinculante, lo que nos parece una buena
recomendación (recordemos que las directrices no imponen obligaciones legales); por
eso el Grupo CaixaBank y, en consecuencia CPC formando parte del mismo, ha
elaborado un acuerdo a tal fin, siguiendo tal recomendación que, en ningún caso,
supone que el régimen de corresponsabilidad no exista por el hecho de no estar
firmado, como afirma la AEPD.

Adicionalmente y teniendo en cuenta que la existencia de corresponsabilidad no
depende de tal firma, tal y como el CEPD opina, resulta coherente con la coyuntura
que aún no esté firmado, en tanto que la existencia de tal régimen de
corresponsabilidad se está poniendo en duda por parte de la AEPD (aunque no haya
aportado evidencia alguna de ello, más que su opinión) , así como oportuno y legítimo
que la firma del mismo dependa de cómo finalmente se resuelva, ahora ya en vía
jurisdiccional, el procedimiento sancionador contra CaixaBank que afecta al mismo
tratamiento de datos personales objeto de la Propuesta de Resolución que es origen
de este escrito de alegaciones por parte de CPC y que se lleva a cabo en base a una
corresponsabilidad que, a juicio de la AEPD, no existe.

En la primera parte de este escrito ya se han hecho alegaciones y manifestaciones en
lo que respecta a que el tratamiento objeto de la Propuesta de Resolución se lleva a
cabo en régimen de corresponsabilidad, por lo que la pretendida comunicación de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/133

datos a terceros que plantea la AEPD no existe; por tanto, no puede declararse
infracción alguna a l respecto. Como decíamos, nos remitimos a las a legaciones ya
realizadas en este y anteriores escritos, poniendo de manifiesto que la AEPD se ha
limitado a negar que exista tal corresponsabilidad, sin aportar elemento alguno, ni
factico ni jurídico, que apoye tal afirmación, invirtiendo la carga de la prueba de que
existe corresponsabilidad en CPC y en el Grupo CaixaBank, cuando debería ser la
AEPD quien aporte evidencias sobre la no existencia de tal corresponsabilidad

En consecuencia, no podemos compartir que el régimen de corresponsabilidad que
afecta al tratamiento objeto de la Propuesta de Resolución no exista por el mero hecho
de que aún no se haya firmado. Existen numerosos elementos fácticos presentados,
tanto por CPC como por CaixaBank, que ponen en evidencia que el tratamiento de
perfilado de clientes para dirigirles ofertas comerciales se lleva a cabo en régimen de
corresponsabilidad a pesar de que la AEPD emita una opinión en contrario no
fundamentada. Por tanto, no cabe considerar que existe una comunicación de datos a
terceros en este supuesto.

Respecto a la afirmación de la AEPD de que el consentimiento prestado para las
finalidades de perfilado no es conforme a lo establecido en el artículo 4.7 del RGPD,
nos remitimos y reiteramos las alegaciones ya realizadas al Acuerdo de Inicio,
recordando lo ya manifestado en este Escrito en cuanto a que no existe una
multiplicidad de finalidades que no hayan sido especificadas sino una finalidad
principal y un conjunto de operaciones complementarias o instrumentales para
alcanzar el fin último, operaciones que han sido convenientemente informadas, de otro
modo la AEPD no hubiera tenido conocimiento de ellas, todo ello si n perjuicio de los
errores no sustanciales que hayan podido cometerse en las condiciones y políticas
cuya subsanación se está diseñando por parte del Grupo CaixaBank, en tanto que
existe un régimen de corresponsabilidad respecto del tratamiento objeto de la
Propuesta de Resolución. Eso sí, debemos insistir en la consideración que deben
tener las recomendaciones del CEPD, en lo que respecta a que son una opinión, por
supuesto autorizada, que no debe confundirse con las obligaciones que se derivan de
la normativa de protección de datos, recogida con carácter general en el RGPD y, en
su caso, en la LOPDGDD; de modo que los contenidos mínimos de información
exigidos por la regulación son atendidos por CPC, sin perjuicio de que esta (CPC)
considere de interés atender, como así hace, a las recomendaciones y buenas práctica
propuestas por las autoridades de protección de datos europeas, en tanto ello redunde
en mejorar la información que reciben sus clientes en relación al uso de sus datos
personales por parte de CPC.

Como ya se recoge en nuestras alegaciones, no estamos de acuerdo con la
conclusión de la AEPD de que haya quedado acreditado el incumplimiento del artículo
6.1 del RGPD por parte de CPC en lo que respecta al tratamiento objeto de la
Propuesta de Resolución. A nuestro juicio, los fundamentos de derecho desarrollados
por la AEPD no acreditan suficientemente tal incumplimiento, o no con el alcance que
pretende darle la AEPD; es por ello por lo que, para garantizar la defensa de los
intereses de CPC, consideramos adecuado hacer referencia y analizar los factores
que, según la AEPD, influyen en la determinación de la cuantía de la multa
administrativa propuesta.

En primer lugar, queremos manifestar algunas cuestiones de carácter general que nos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/133

parecen relevantes respecto del uso de criterios de graduación de la sanción. A juicio
de esta parte, se ha producido una clara separación del precedente administrativo
pues el artículo 35.1 c) de la LP ACAP establece que los actos que se separen del
criterio seguido en actuaciones precedentes deben motivarse. Este precepto pone de
manifiesto que la AEPD debe justificar expresamente sus cambios de criterio puesto
que el principio de igualdad lleva a que "la Administración debe mantener en sus
resoluciones un criterio igual cuando se trata de casos idénticos o semejantes” (Sic.
STSJ de Cataluña, de 15 de enero de 1999), ello afectaría a un sustancial cambio en
la cuantía de las multas administrativas, que no ha sido suficientemente acreditado y
que no tiene fundamento, como se verá, en el hecho de que el RGPD haya modificado
las cuantías de las multas administrativas.

En este sentido, sirve de ejemplo el PS 0070/2019 donde se sancionan hechos
semejantes en relación con la obtención y granularidad del consentimiento de los
interesados, en el que se aprecia una aplicación diferente de los criterios que permiten
graduar la sanción, siendo, en ambos casos, entidades financieras, pero con distintos
volúmenes, tanto en número de interesados como en volumen de negocio, entre otros.

Así, mientras que en la Propuesta de Resolución la AEPD estima que concurren los
criterios de graduación siguientes:
La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de las operaciones de tratamiento de que se trata.
La intencionalidad o negligencia apreciada en la comisión de la infracción.
La alta vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
La condición de gran empresa de la entidad responsable y su volumen de negocio.
El elevado número de datos y tratamientos que constituyen el objeto del expediente.
El elevado número de interesados .
En el PS 0070/2019, insistimos, relativo a hechos muy semejantes imputados contra
una entidad financiera importante a nivel estatal, sorpresivamente únicamente se
tienen en cuenta dos criterios de graduación, frente a los 6 de la Propuesta de
Resolución:
La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de las operaciones de tratamiento de que se trata;
La intencionalidad o negligencia apreciada en la comisión de la infracción.
Queda patente, pues, de una manera evidente y objetiva, que se está produciendo un
trato desigual a la hora de establecer la cuantía de la multa administrativa.

En cuanto a la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de las operaciones de tratamiento de que se trata ,
afirma la AEPD que es el resultado del procedimiento diseñado por CPC para la
recogida del consentimiento con el fin de elaborar perfiles para dirigir ofertas
comerciales a sus clientes, volvemos a recordar que el tratamiento se lleva a cabo en
régimen de corresponsabilidad y que, por tanto, tal procedimiento ha sido diseñado
conjuntamente en el marco del Grupo Caixa Bank.

Olvida la AEPD valorar que, en cualquier caso, partimos de un procedimiento
diseñado e implantado; es decir, que ha sido objeto de análisis y reflexión
precisamente para dar respuesta a las exigencias de la normativa de protección de
datos. Parecería que el hecho de disponer de un procedimiento supondría un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/133

agravante, dando a entender que la inexistencia de tal procedimiento tal vez hubiera
llevado a no aplicar tal agravante, situación incongruente a la luz del principio de
responsabilidad proactiva establecido por el RGPD.

Además, la AEPD afirma que el mencionado tratamiento "entraña un riesgo importante
para los derechos de los interesados teniendo en cuenta el carácter especialmente
intrusivo de tal tratamiento de datos' En este caso, la AEPD no argumenta en qué
consiste ese "riesgo importante", solo lo afirma y añade que es especialmente
intrusivo, también sin argumentación alguna, lo que lleva a plantearse que si el envío
de comunicaciones comerciales a clientes resulta especialmente intrusivo' qué
tratamiento de datos personales no será especialmente intrusivo.

Insistimos en que no estamos ante un supuesto en el que CPC haya prescindido
radicalmente de las obligaciones relacionadas con la obtención de consentimientos,
sin perjuicio de que la AEPD considere que habría que subsanar determinadas
cuestiones, que podrían suponer mejoras a la manera en que se recaban los
consentimientos. La evidencia es que existe un procedimiento diseñado con la
voluntad de cumplir con la normativa de protección de datos. En este sentido, resulta
de interés lo expresado en las Directrices sobre la aplicación y la fijación de multas
administrativas a efectos del Reglamento 2016/679 (WP 253) que indica que "más que
ser una obligación de resultado", estas disposiciones introducen una obligación de
medios; es decir, el responsable del tratamiento debe realizar las evaluaciones
necesarias y llegar a las conclusiones apropiadas. Por tanto, la pregunta a la que la
autoridad de control debe responder es en qué medida el responsable del tratamiento
«hizo lo que podía esperarse que hiciera» habida cuenta de la naturaleza, los fines o
el ámbito de la operación de tratamiento, a la luz de las obligaciones que le impone el
Reglamento". La AEPD no ha valorado, en ningún momento, si se han hecho
esfuerzos para cumplir, todo y que ha quedado patente que efectivamente, desde
antes de la plena exigencia del RGPD, tanto CPC como el Grupo CaixaBank han
dedicado recursos humanos y materiales a adecuarse a las exigencias de la normativa
de protección de datos.

Sobre la intencionalidad o negligencia apreciada en la comisión de la infracción, dice la
AEPD que "los defectos señalados en el procedimiento mediante el que se recaba el
consentimiento de sus clientes, dada su evidencia, debieron ser advertidos y evitados
al diseñar dicho procedimiento por una entidad de las características de CAIXABANK
PAYMENTS & CONSUMER EFC, EP, S.A.U.

No podemos estar más en desacuerdo con la formulación que hace la AEPD para la
aplicación de este criterio, sobre todo porque deja en el aire si la AEPD considera que
la conducta de CPC es intencional o negligente, diferencia muy relevante como
imaginamos que estará de acuerdo la AEPD, a lo que debemos añadir que, por
descontado, en ningún caso, CPC se ha planteado incumplir de manera intencionada,
ni sistemática, como parece sugerir la AEPD, con sus obligaciones en materia de
protección de datos personales.

Y, además, a nuestro juicio, CPC ha actuado de forma diligente, estableciendo desde
inicio procedimientos claros en relación con la información puesta a disposición de los
clientes y los procedimientos de Obtención de consentimientos de los mismos. CPC
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/133

tiene afán de mejora y transparencia continua, no de ocultación o de generación de
confusión en sus clientes, hecho que se refleja en la evolución de los documentos y
mecanismos utilizados, y también en la mejora de la información contenida en los
mismos.

Por lo que respecta a la alta vinculación de la actividad del infractor con la realización
de tratamientos de datos personales, tampoco estamos de acuerdo con que resulte de
aplicación al caso de CPC. Afirma la AEPD una obviedad, como que "las operaciones
que constituyen la actividad empresarial desarrollada por CAIXABANK PAYMENTS &
CONSUMER EFC, EP, S.A. U. como entidad dedicada a la comercialización de
tarjetas de crédito o de débito, cuentas de crédito y préstamos, implican operaciones
de tratamientos de datos personales". No entendemos qué valor tiene tal afirmación en
relación a la aplicación de este agravante tal y como lo aplica la AEPD pues, en
nuestra opinión, se separa de la intención del legislador, que va dirigida a considerar
agravante el hecho de que el tratamiento de datos personales sea la actividad principal
de carácter empresarial, no que sea un instrumento; de ahí que se refiera a "alta
vinculación", de otro modo se llega ría a la conclusión de que el mero hecho de tratar
datos personales sería siempre una agravante. Si el legislador así lo hubiera
pretendido no hubiera calificado que tal vinculación debe ser "alta

De ahí que afirmemos que, en ningún caso, la actividad principal de CPC es el
tratamiento de datos de carácter personal de sus clientes, puesto que se usan datos
personales en lo que resulta necesario para el desarrollo de su actividad principal de
negocio, y tampoco que se beneficie directamente o indirectamente en términos
económicos de la comercialización de los datos personales de sus clientes; no
creemos que el hecho de que, como argumenta la AEPD, "entre sus actividades
comerciales se encuentra la del envío de comunicaciones comerciales a sus clientes
de entidades terceras con las que mantiene acuerdos comerciales" sea un elemento
definitorio para aplicar tal criterio de agravación de la cuantía de la multa administrativa
. En síntesis, la AEPD no fundamenta que el agravante alta vinculación de la actividad
del infractor con la realización de tratamientos de datos personales sea de aplicación
al supuesto.

Si la AEPD ha valorado que aplica tal criterio teniendo en cuenta el volumen de datos
e interesados incluidos en sus tratamientos, entonces estaría reiterando la aplicación
de factores agravantes ya que también utiliza de modo individualizado tanto el de
elevado volumen de datos y tratamientos, como el elevado número de interesados;
como hemos manifestado, la fundamentación por parte de la AEPD de la alta
vinculación de la actividad del infractor con la realización de tratamientos de datos
personales es insuficiente, no sabemos si la AEPD ha tenido en cuenta el mencionado
volumen de datos, tratamientos e interesados a la hora de aplicar tal agravante y si,
por tanto, estaría aplicando el mismo agravante más de una vez.

En cuanto al criterio de agravación por la condición de gran empresa de la entidad
responsable y su volumen de negocio, nos sorprende que la AEPD utilice tanto el
volumen de negocio de CPC, y a la vez la cifra de negocio del Grupo CaixaBank; no
podemos estar de acuerdo en que se utilicen ambos datos de negocio ya que implica
que se tiene en cuenta dos veces la misma cifra de negocio puesto que el volumen de
negocio de CPC está, a su vez, incluido en el del Grupo CaixaBank. Nos extraña que
sí, a juicio de la AEPD, no existe corresponsabilidad en el tratamiento objeto de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/133

propuesta de resolución, se tenga en cuenta la cifra de volumen de negocio del Grupo
CaixaBank; por tanto, consideramos que el criterio de graduación estaría mal aplicado.

Queremos manifestar que estamos radicalmente en desacuerdo con que la AEPD no
haya identificado algún atenuante con relación a la supuesta infracción que atribuye a
CPC; por lo que procedemos a identificar, reiterando lo ya alegado en el escrito de
respuesta al Acuerdo de Inicio, algunos de los hechos y circunstancias que deberían
atenuar la graduación de la multa administrativa propuesta por la AEPD.

CPC ha realizado un importante esfuerzo durante los últimos años —y especialmente
desde la entrada en aplicación del RGPD y la fusión realizada el 11 de julio de 2019—
para proporcionar a sus clientes la información pertinente sobre el tratamiento de sus
datos personales de forma adecuada. El ejemplo más claro de esta iniciativa lo
constituye n las diferentes versiones de las políticas y cláusulas de privacidad, hecho
que reafirma la proactividad y espíritu de mejora continua de CPC.

Este comportamiento demuestra un claro ejercicio de transparencia y lealtad, así como
una actividad proactiva y diligente por parte de CPC en relación con el cumplimiento
de la normativa de protección de datos, además de demostrar su afán por reparar
potenciales errores, si los hubiera.

Tampoco se valora el grado de cooperación con la autoridad de control pues CPC ha
mostrado, en todo momento, su disposición a colaborar con la Agencia a fin de mejorar
aquellos aspectos de los tratamientos que sean susceptibles de mejora. Según se ha
puesto de manifiesto en el presente Escrito, CPC ha puesto en marcha una serie de
medidas dirigidas a esa mejora en la recogida de los consentimientos. Así, estas
circunstancias deben ser valoradas por la Agencia como atenuantes.

Por último, cabe recordar que tanto CPC como su delegado de protección de datos
han estado disponibles para cooperar, a pesar de las fechas en que la AEPD ha
procedido a notificar los actos administrativos más significativos de este Procedimiento
Sancionador (finales de diciembre de 2020 e inicios de agosto de 2021) y a las
dificultades operativas derivadas de la situación de pandemia aún activa, habiendo
sido proactivos y diligentes en la respuesta a cualesquiera requerimientos de la
Agencia. Tampoco tal esfuerzo ha merecido ser considerado como un atenuante.

HECHOS PROBADOS

PRIMERO: Con fecha 6 de noviembre de 2018, tuvo entrada en esta Agencia escrito
de D. A.A.A., denunciando que la entidad CAIXABANK, CONSUMER FINANCE, EFC
había solicitado a EMPRESA.1 información sobre las inscripciones relativas a su
persona en el fichero EMPRESA.2, sin ser cliente de dicha entidad, ya que la relación
con la misma se había extinguido formalmente en 2014. Trasladada la reclamación al
Delegado de Protección de Datos del responsable, se recibe respuesta en la que se
admite un error de carácter humano y puntual, ya que aunque el reclamante fue cliente
en el pasado, a fecha de la reclamación ya había dejado de serlo, sin embargo sus
datos fueron incluidos por equivocación en una campaña de créditos preconcedidos.

La reclamación fue inadmitida a trámite con fecha 6 de febrero de 2019, sin perjuicio,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

74/133

tal y como se señala en la propia Resolución, de que la AEPD, aplicando los poderes
de investigación y correctivos que ostenta, pudiera llevar a cabo posteriores
actuaciones relativas al tratamiento de datos referido en la reclamación.

La resolución de inadmisión a trámite fue recurrida por el reclamante, alegando que no
siendo cliente de la entidad, ésta ha utilizado los ficheros de solvencia patrimonial con
la finalidad de elaborar un perfil y ofrecerle un servicio financiero, sin solicitar su
consentimiento, estimándose dicho recurso.

SEGUNDO: Consta en la información aportada por CAIXABANK PAYMENTS &
CONSUMER, que se ha producido una operación de fusión por absorción entre
CaixaBank Payments, E.F.C., E.P., S.A.U., sociedad absorbida, y CaixaBank
Consumer Finance, E.F.C., S.A.U., sociedad absorbente, quedando, como
consecuencia de dicha operación, CaixaBank Consumer Finance, E.F.C., S.A.
subrogada por sucesión universal en todos los derechos y obligaciones, adquiridos y
asumidas, por CaixaBank Payments, E.F.C., E.P., S.A.U., modificando su
denominación social a la actual CaixaBank Payments & Consumer, E.F.C., E.P., S.A.”

Consta en dicha información, asimismo, que “la actividad principal de CAIXABANK
PAYMENTS & CONSUMER consiste en la comercialización de tarjetas de crédito o de
débito (en adelante, denominadas “Tarjetas”), cuentas de crédito con o sin tarjeta (en
adelante, denominadas “Cuentas de Crédito”) y préstamos (en adelante, denominados
“Préstamos”), ( todos ellos denominados individualmente “Producto” y conjuntamente,
“Productos”), directamente o bien por medio de terceros –ya sean agentes o
Prescriptores-, con quienes tiene suscritos los correspondientes contratos de agencia
o de colaboración. En concreto: - Directamente, CPC comercializa algunos de los
mencionados Productos. - Indirectamente, CPC comercializa a través de Prescriptores
y agentes.

Se entiende por “Prescriptor” o “Prescriptores”, aquellas entidades con las que CPC
tiene suscrito un acuerdo de colaboración, en base al cual, éstas se comprometen a
ofrecer a sus clientes la posibilidad de contratar los Productos de CPC para,
principalmente, financiar el precio de compra de los productos y/o servicios
comercializados por ellas (Prescriptores) en sus puntos de venta, ya sea presenciales
u online (por ejemplo, establecimientos como ***ESTABLECIMIENTO.1 o
***ESTABLECIMIENTO.2 y ***ESTABLECIMIENTO.3). En particular, los Productos de
CPC comercializados a través de Prescriptores son las Tarjetas, las Cuentas de
Crédito y los Préstamos.

Se entiende por agente, CaixaBank, S.A. (en adelante, indistintamente el “Agente” o
“CaixaBank”), entidad con la que CPC mantiene un acuerdo de agencia, en virtud del
cual, CaixaBank promueve y concluye, a través de sus canales, las Tarjetas de CPC,
así como, en su caso, préstamos de refinanciación de la deuda derivada de estas
Tarjetas.

Consta, igualmente, que las actividades de tratamiento de datos personales que en el
desarrollo de su operativa comercial implican la elaboración de perfiles, según la
definición consignada en el artículo 4.4 del RGPD, en particular en lo relativo a la
situación económica de los interesados, son las siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

75/133

I. “Análisis de la capacidad de devolución o riesgo de impago de un
interesado ante su Solicitud de un Producto: Consiste en la evaluación por
parte de CPC de la Solicitud de un Producto (Tarjeta, Cuenta de Crédito o
Préstamo, en adelante la “Solicitud”) recibida de un interesado (en
adelante, “Solicitante” o “Solicitantes”). Esta evaluación implica un
tratamiento de datos personales que se concreta en la necesaria valoración
de la capacidad de devolución o solvencia del Solicitante (probabilidad de
riesgo de impago). Dicha valoración se realiza, en el marco de la Solicitud
recibida, con la finalidad de cumplir cuanto establece la normativa que, en
calidad de establecimiento financiero de crédito y entidad de pago, le
resulta de aplicación a CPC (Normativas Prudencial y de Solvencia y de
Préstamo Responsable).”

II. “Análisis de la capacidad de devolución o riesgo de impago en la gestión
del riesgo de crédito concedido a clientes: Consiste en el seguimiento
continuo de la capacidad de devolución o riesgo de impago de los clientes a
quienes CAIXABANK PAYMENTS & CONSUMER ha concedido
financiación y, por tanto, con los que mantiene un riesgo de crédito con dos
finalidades:

- la gestión del riesgo de crédito concedido a los mismos en cumplimiento
de determinadas obligaciones legales (en concreto, la Normativa
Prudencial y de Solvencia y de Préstamo Responsable,);

- la gestión comercial de acuerdo con los consentimientos recabados de
los titulares de los datos (clientes) con la posterior finalidad de
ofrecerles productos y servicios ajustados a sus necesidades, lo que
puede incluir la asignación de límites de crédito “preconcedidos”
(preconcesión de un crédito en base a la información de que dispone la
Entidad).”

I. “Análisis y selección de público objetivo: Consiste en el análisis y selección,
de forma previa a un determinado impacto comercial, de un público objetivo
(compuesto por aquellos clientes de CAIXABANK PAYMENTS &
CONSUMER que reúnan, en su caso, los requisitos diseñados para ser
impactados por una potencial campaña con la finalidad de ofrecerle
Productos). Dicho tratamiento se lleva a cabo de acuerdo con los
consentimientos recabados a los titulares de los datos (clientes).”

Afirma respecto de las categorías de titulares de datos que se tratan en la ejecución
de los tratamientos detallados, que” trata únicamente datos de interesados que son
clientes de la Entidad o solicitantes de sus Productos. No realiza tratamientos de datos
sobre interesados que podrían denominarse “clientes potenciales”, entendiendo por
éstos, titulares de datos que no tienen relación vigente con CPC o que previamente no
han solicitado un Producto por alguno de los canales establecidos.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

76/133

TERCERO: Consta lo siguiente respecto de la actividad denominada “análisis de la
capacidad de devolución o riesgo de impago para la gestión del riesgo de crédito
concedido a clientes durante la relación contractual”:

1.Respecto de las finalidades y bases de legitimación del tratamiento. Se afirma que
tiene dos finalidades:

I. “La gestión del riesgo de crédito concedido, en cumplimiento de
determinadas obligaciones legales de la Normativa Prudencial y de
Solvencia y de Préstamo Responsable, aplicable cuando el Producto es
una cuenta de crédito ya que al permitir la disponibilidad del crédito
concedido de manera constante, este (Producto) debe adaptarse
constantemente a la capacidad actualizada de solvencia del interesado.
Según manifiesta, el título habilitante para llevar a cabo esta finalidad, dar
cumplimiento a requerimientos regulatorios, es la obligación legal, de
conformidad con el artículo 6.1 c) del RGPD.

II. La gestión comercial para el caso de que disponga del consentimiento del
titular del dato. Dicho tratamiento prevé, entre otras, poder etiquetar al
cliente con la finalidad de concederle un “preconcedido” (concesión de un
crédito en base únicamente a la información de que dispone la Entidad).
En este caso se tratan únicamente los datos de aquellos clientes que hayan
dado su consentimiento para el perfilado.”

2. Respecto de la lógica aplicada en el perfilado y las consecuencias previstas de
dicho tratamiento para el interesado, afirma que utiliza una lógica que se ha
definido en el proceso de financiabilidad de la Entidad. (…).

3. En cuanto a los datos personales objeto de tratamiento se afirma que son los
siguientes:

- Identificativos: DNI/NIE/Pasaporte y fecha de nacimiento.

- Financieros: Datos internos de CPC obtenidos o derivados de la relación
contractual existente entre esta y su cliente y consulta a ficheros de solvencia y a
la Central de Información de Riesgos (CIR) del Banco del Banco de España.

- Sociodemográficos: código postal, país de nacimiento y nacionalidad, tipo de
vivienda y antigüedad y estado civil.

- Socioeconómicos: ingresos y pagas, situación laboral y profesión, antigüedad
bancaria y entidad domiciliada.

- Otros: risk score.

4. Detalla los siguientes orígenes respecto de los datos personales objeto de
tratamiento indicados en el apartado anterior:

- Datos aportados por el Solicitante en la propia Solicitud del Producto.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

77/133

- Datos de CPC en relación con el Solicitante para el caso de que este ya sea
cliente y siempre que CPC disponga de datos de su comportamiento de pago.

- Datos de fuentes externas: de acuerdo con la normativa que le resulta de
aplicación a CPC como establecimiento financiero de crédito y entidad de pago, se
incorpora asimismo la siguiente información:

 Información del Grupo consolidado de entidades del Grupo
CaixaBank
 Resultado de la consulta a sistemas de información crediticia.
 Resultado de la consulta a la Central de Información de Riesgos
(CIR) de Banco de España.

- (…).

5. Respecto de los medios utilizados para la recogida del consentimiento en caso
de que la actividad de tratamiento se ampare en el artículo 6.1.a del RGPD, afirma
que los canales por los que recaba los consentimientos con fines comerciales de
sus clientes son los que se indican a continuación:

a) A través de los Prescriptores.
b) A través de su Agente CaixaBank.

a) “A través de los Prescriptores.
En esta canal se diferencian tres (3) formas de captación distintas:

 La primera es a través de los empleados de los propios Prescriptores,
los cuales, en el momento de la formalización de los contratos de financiación
con los clientes que quieren contratar los Productos ofrecidos por CAIXABANK
PAYMENTS & CONSUMER, les preguntan sobre cada uno de los
consentimientos, para después plasmar la respuesta dada por su parte para
cada uno de ellos en las Condiciones Particulares del contrato de financiación
suscrito al efecto.

Las tres (3) herramientas facilitadas por CAIXABANK PAYMENTS &
CONSUMER a los vendedores de los Prescriptores para que puedan realizar la
captación de la información necesaria para tramitar las operaciones de
financiación y, por tanto, también para recabar los mencionados
consentimientos, son la Web “***WEB.1”, la App de captación (su utilización se
realiza a través de una tablet que llevan los vendedores de los Prescriptores
que están en constante movimiento por la tienda) y la “Web Auto” (…), que son
los software facilitados por parte de CAIXABANK PAYMENTS & CONSUMER a
los Prescriptores, conectados con los sistemas de aquella (CAIXABANK
PAYMENTS & CONSUMER), para que sus vendedores tramiten las
operaciones de financiación mediante la introducción de los datos personales y
económicos de los clientes y los datos contractuales de las operaciones (TIN,
TAE, meses de amortización, etc.), así como recabar los consentimientos, que
posteriormente se plasmarán en las Condiciones Particulares de los contratos
de financiación que se formalicen y entreguen a los clientes.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

78/133

Constan en el expediente tres impresiones de pantalla que se corresponden
con estas tres herramientas. En ellas se observa que se solicita el
consentimiento para las siguientes finalidades, pudiendo elegir sí o no en cada
modalidad:

- “Autorizo al Grupo CaixaBank a utilizar mis datos para finalidades de estudio
y perfilado”

- “Autorizo a que se me remita publicidad y ofertas comerciales del Grupo
CaixaBank por los siguientes medios”, que a su vez permite consentir o no por
cada uno de los epígrafes siguientes):
- Telemarketing
- Medios electrónicos como SMS, email y otros
- Correo postal
- Contactos comerciales por cualquier canal de mi gestor

- “Autorizo a ceder mis datos a terceros con los que el Grupo CaixaBank tenga
acuerdos”

- “Autorizo al Grupo CaixaBank a usar mis datos biométricos (imagen, huella
dactilar, etc.) con la finalidad de verificar mi identidad y firma. Esta autorización
se complementará con el registro de los datos biométricos a utilizar en cada
momento”

Consta en el expediente, asimismo, una captura de pantalla de la herramienta
web AUTO en la que se permite consultar más detalles. Según la impresión
obrante en el expediente el detalle consiste en lo siguiente:

“Consentimientos y protección de datos personales
Las autorizaciones que prestas ahora o hayas prestado anteriormente pueden
revocarse en cualquier momento a través de www.caixabankpc.com/ejerciciode
derechos.
Si otorgas la autorización (1) las ofertas que se te remitan estarán adaptadas a
tu perfil
Las autorizaciones (2) (3) (4) y (5) se refieren a los canales a través de los que
aceptas que te contacte el grupo CaixaBank ya sea por teléfono, por medios
electrónicos, por correo postal y/o presencialmente.
Si no autorizas algún canal, el grupo CaixaBank no podrá contactarte para
ofrecerte productos de tu interés.
Si facilitas la autorización (6) en el momento en que se cedan los datos, se te
informará de qué tercero es el receptor de tus datos y si no estás de acuerdo
podrás revocar esa autorización.
La autorización (7) es para poder verificar tu identidad/firma ya que en el grupo
CaixaBank utilizamos métodos de reconocimiento biométrico como sistemas
de reconocimiento facial, lectura de huella dactilar y similares.”

 La segunda forma de captación dentro de este grupo es a través del
portal web de CAIXABANK PAYMENTS & CONSUMER habilitado para tramitar
la operación de financiación por el propio cliente, el cual habrá sido redirigido
mediante clicar en un enlace incorporado en la web del Prescriptor de que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

79/133

trate. Así, por ejemplo, el interesado que decida solicitar la tarjeta (…) iniciará
la solicitud en el portal propio del Prescriptor (…) e inmediatamente será
redirigido al portal web habilitado al efecto por y de CAIXABANK PAYMENTS &
CONSUMER donde se llevará a cabo todo el procedimiento de contratación.

En este caso, es el propio cliente, a través de su ordenador/tablet el que marca
la respuesta para cada uno de los tratamientos previstos, los cuales después
se transcribirán en las Condiciones Particulares del contrato de financiación
formalizado.

Consta en el documento remitido a esta Agencia como ANEXO Nº 13, la
pantalla que visualiza el cliente y en la que se le recaban los consentimientos
que coinciden con los descritos anteriormente en el punto relativo al canal
prescriptores.

En el documento remitido como ANEXO 14 muestra un ejemplo de cómo se
reflejan los consentimientos otorgados por el cliente en las Condiciones
Particulares del contrato de financiación. Dicho documento se denomina
SOLICITUD-CONTRATO DE CREDITO y se estructura en diversos apartados
relativos a datos personales del titular y cotitular, a la compra, al plan de
financiación, etc.

El apartado RESUMEN DE TRATAMIENTOS de dicho documento contiene la
siguiente información:

“los tratamientos de sus datos respecto de los que puede facilitar su
autorización en los términos establecidos en el presente contrato son los
siguientes:

“FINALIDADES COMERCIALES:

A. Tratamiento de los datos por parte de Caixabank Payments
& Consumer y de las empresas del Grupo CaixaBank con
finalidades de estudio y perfilado para informarle de los productos
que se ajusten a sus intereses/necesidades, así como para el
seguimiento de los servicios y productos contratados, realización de
encuestas y diseño de nuevos servicios y productos.

B. Tratamiento de los datos por parte de Caixabank Payments
& Consumer y de las empresas del Grupo CaixaBank con la
finalidad de comunicarle ofertas de productos, servicios y
promociones comercializados por ellas, propios o de terceros cuyas
actividades estén comprendidas entre las bancarias, de servicios de
inversión y aseguradoras, tenencia de acciones, capital riesgo,
inmobiliarias, viarias, de venta y distribución de bienes o servicios,
de servicios de consultoría, ocio y benéfico-sociales.

C. Cesión de los datos por parte de Caixabank Payments &
Consumer y de las empresas del Grupo CaixaBank a terceros con la
finalidad de que éstos puedan enviarle comunicaciones comerciales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

80/133

Dichos terceros estarán dedicados a las actividades bancarias, de
servicios de inversión y asegurador, tenencia de acciones, capital
riesgo, inmobiliarias, viarias, de venta y distribución de bienes y
servicios, de servicios de consultoría, ocio y benéfico-sociales.

OTRAS FINALIDADES

Tratamiento de los datos biométricos que facilite por parte de Caixabank
Payments & Consumer y las empresas del GrupoCaixabank, tales como
la imagen facial, voz, huellas dactilares, grafos, etc., con la finalidad de
verificar su identidad y firma con la ayuda de métodos de
reconocimiento biométrico.”

En el apartado AUTORIZACIONES PARA EL TRATAMIENTO DE DATOS
figuran una serie de apartados en cada uno de los cuales, tanto para el titular
como para el cotitular aparecen dos casillas, una para marcar si y otra para
marcar no, las diversas autorizaciones para efectuar tratamientos de datos.
Estas autorizaciones, son las siguientes:

A. “Autorizo el tratamiento de mis datos con la finalidad de estudio
y análisis por parte de Caixabank Payments & Consumer y de las
empresas del grupo Caixabank.”

B. “Consiento el tratamiento de mis datos por parte de Caixabank
Payments & Consumer y de las empresas del grupo Caixabank con la
finalidad de que estas me comuniquen ofertas de productos, servicios y
promociones por los canales que autorice.” En este caso, las casillas
si/no se desglosan para cada uno de los siguientes canales:
Telemarketing, Medios electrónicos como SMS, email y otros, Correo
postal. Contactos comerciales por cualquier canal de mi gestor

C. “Autorizo a que Caixabank Payments & Consumer y de las
empresas del grupo Caixabank cedan mis datos a terceros.”

 La tercera vía es a través de la captación telefónica en la que
interactúan los vendedores de los Prescriptores y los gestores de CAIXABANK
PAYMENTS & CONSUMER. En este caso, el vendedor del Prescriptor facilita
telefónicamente al gestor de CAIXABANK PAYMENTS & CONSUMER todos
los datos del cliente necesarios para formalizar la operación de financiación y
este la tramita. Una vez aprobada la contratación, el cliente, mediante las
Condiciones Particulares del contrato que debe suscribir, define el
otorgamiento de sus consentimientos marcando de manera manuscrita su
opción sobre las casillas habilitadas al efecto. Tales condiciones particulares se
contienen en el documento remitido como anexo 14 descrito en el punto
anterior.

a) A través de su Agente CaixaBank.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

81/133

Afirma que, adicionalmente, CPC es beneficiario de los consentimientos
otorgados, en su caso, por los clientes ante CaixaBank. Afirma que la recogida de
consentimientos en las oficinas de CaixaBank se lleva a cabo interactuando el
propio cliente con el dispositivo que le entrega el empleado (Tablet), señalando
sus preferencias en relación con el tratamiento de datos.

En la impresión de la pantalla que incorpora en su escrito, se aprecia que se
solicitan diversas autorizaciones para cada una de las cuales existe la opción de
marcar sí o no en su respectiva casilla. Las autorizaciones se refieren, como en los
casos anteriores:

– A la utilización de los datos para finalidades de estudio y perfilado,
aclarando que si se autoriza las ofertas que se le remitan estarán
adaptadas al perfil del interesado.

– A recibir publicidad y ofertas comerciales. En este punto se permite también
elegir los canales para recibir publicidad marcando en la respectiva casilla.

– A ceder los datos a terceros con los que el grupo Caixabank tenga
acuerdos.

– Al uso de los datos biométricos con la finalidad de verificar mi identidad y
firma.

6. En lo que se refiere al procedimiento seguido para cumplir con el deber de
información al interesado (artículos 13 y 14 del RGPD) se afirma que “Se adjunta,
como DOCUMENTO ANEXO Nº 12, copia del condicionado general que se facilita
al interesado en el marco de la contratación de un producto y en el que se informa
de lo previsto en el artículo 13; no resultando de aplicación, por tanto, lo previsto
en el artículo 14 del RGPD.”

El documento contenido en el anexo 12 denominado “CONDICIONES
GENERALES DE LA SOLICITUD-CONTRATO DE CRÉDITO” contiene diversos
apartados, refiriéndose el apartado número 26 a los “Tratamiento de datos de
carácter personal basados en la ejecución de los contratos, obligaciones legales e
interés legítimo y política de privacidad”. Este punto se estructura a su vez en 10
apartados. Consta la siguiente información en los puntos 26.1 y 26.4

“26.1 Tratamientos de datos de carácter personal con la finalidad de gestionar
las Relaciones Comerciales.

Los datos de carácter personal del Titular, tanto los que él mismo aporte, como
los que se deriven de las relaciones comerciales, negociales y contractuales
que se establezcan entre el Titular y CaixaBank Payments & Consumer bien en
la comercialización de productos y servicios propios, bien en su condición de
mediador en la comercialización de productos y servicios de terceros(en
adelante todas ellas referidas como las Relaciones Comerciales), o de las
Relaciones Comerciales de CaixaBank Payments & Consumer y las empresas
del Grupo CaixaBank con terceros y los confeccionados a partir de ellos, se
incorporarán en ficheros titularidad de CaixaBank Payments & Consumer y de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

82/133

las empresas del Grupo CaixaBank titulares de las Relaciones Comerciales,
para ser tratados con la finalidad de dar cumplimiento y mantener las mismas,
verificar la corrección de la operativa y las finalidades comerciales que el Titular
acepte en el presente contrato.

Estos tratamientos incluyen la digitalización y registro de los documentos
identificativos y la firma del Titular, y su puesta a disposición de la red interna
de CaixaBank Payments & Consumer, para la verificación de la identidad del
Titular en la gestión de sus Relaciones Comerciales.

Los tratamientos indicados, salvo los que tienen finalidad comercial cuya
aceptación es voluntaria para el Titular, resultan necesarios para el
establecimiento y mantenimiento de las Relaciones Comerciales, y
necesariamente se entenderán vigentes mientas dichas Relaciones
Comerciales continúen vigentes. En consecuencia, en el momento de
cancelación por el Titular de todas las Relaciones Comerciales con CaixaBank
Payments & Consumer y/o con las empresas del Grupo CaixaBank, los
mencionados tratamientos de datos cesarán, siendo sus datos cancelados
conforme a lo establecido en la normativa aplicable, conservándolos
CaixaBank debidamente limitado su uso hasta que hayan prescrito las
acciones derivadas de los mismo.”

“26.4. Tratamiento y cesión de datos con finalidades comerciales por
CaixaBank y las empresas del Grupo CaixaBank basados en el
consentimiento.

En las Condiciones Particulares de este contrato se recogerá, bajo el epígrafe
de autorizaciones para el tratamiento de datos, las autorizaciones que Usted
nos otorgue o nos revoque en relación a:

(i) Los tratamientos de análisis y estudio de datos con finalidad comercial por
CaixaBank Payments & Consumer y empresas del Grupo CaixaBank.
(ii) Los tratamientos para la oferta comercial de productos y servicios por
CaixaBank Payments & Consumer y las empresas del Grupo CaixaBank.
(iii) La cesión de datos a terceros.

Con la finalidad de poner a su disposición una oferta global de productos y
servicios, su autorización a (i) los tratamientos de análisis y estudio de datos, y
(ii) para la oferta comercial de productos y servicios, en caso de otorgarse,
comprenderá a CaixaBank Payments & Consumer y a las empresas del Grupo
CaixaBank detalladas en www.caixabank.es/empresasgrupo (las “empresas del
Grupo CaixaBank”) quienes podrán compartirlos y utilizarlos con las finalidades
indicadas.

El detalle de los usos de los datos que se realizará conforme a sus
autorizaciones es el siguiente:

(i) Detalle de los tratamientos de análisis, estudio y seguimiento para la oferta
y diseño de productos y servicios ajustados al perfil de cliente. Otorgando su
consentimiento a las finalidades aquí detalladas, Usted nos autoriza a:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

83/133

a) Realizar de manera proactiva análisis de riesgos y aplicar sobre sus datos
técnicas estadísticas y de segmentación de clientes, con una triple finalidad:

1) Estudiar productos o servicios que puedan ser ajustados a su
perfil y situación comercial o crediticia concreta, todo ello para
efectuarle ofertas comerciales ajustadas a sus necesidades y
preferencias,

2) Realizar el seguimiento de los productos y servicios contratados,

3) Ajustar medidas recuperatorias sobre los impagos e incidencias
derivadas de los productos y servicios contratados.

a) Asociar sus datos con los de otros clientes o sociedades con las que tenga
algún tipo de vínculo, tanto familiar o social, como por su relación de propiedad
como de administración, al efecto de analizar posibles interdependencias
económicas en el estudio de ofertas de servicios, solicitudes de riesgo y
contratación de productos.

b) Realizar estudios y controles automáticos de fraude, impagos e incidencias
derivadas de los productos y servicios contratados.

c) Realizar encuestas de satisfacción por canal telefónico o por vía electrónica
con el objetivo de valorar los servicios recibidos.

d) Diseñar nuevos productos o servicios, o mejorar el diseño y usabilidad de los
existentes, así como definir o mejorar las experiencias de los usuarios en su
relación con CaixaBank Payments& Consumer y las empresas del Grupo
CaixaBank.

Los tratamientos indicados en este punto (i) podrán ser realizados de manera
automatizada y conllevar la elaboración de perfiles, con las finalidades ya
señaladas. A este efecto, le informamos de su derecho a obtener la
intervención humana en los tratamientos, a expresar su punto de vista, a
obtener una explicación acerca de la decisión tomada en base al tratamiento
automatizado, y a impugnar dicha decisión.

(ii) Detalle de los tratamientos para la oferta comercial de productos y servicios
de CaixaBank Payments & Consumer y las empresas del Grupo CaixaBank.
Otorgando su consentimiento a las finalidades aquí detalladas, Usted nos
autoriza a:

Enviar comunicaciones comerciales tanto en papel como por medios
electrónicos o telemáticos, relativas a los productos y servicios que, en cada
momento: a) comercialice CaixaBank Payments & Consumer o cualquiera de
las empresas del Grupo CaixaBank b) comercialicen otras empresas
participadas por CaixaBank Payments & Consumer y terceros cuyas
actividades estén comprendidas entre las bancarias, de servicios de inversión y
asegurador, tenencia de acciones, capital riesgo, inmobiliarias, viarias, de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

84/133

venta y distribución de bienes y servicios, de servicios de consultoría, ocio y
benéfico-sociales.

El Titular podrá elegir en cada momento los diferentes canales o medios por
los que desea o no recibir las indicadas comunicaciones comerciales a través
de su banca por internet, mediante el ejercicio de sus derechos, o mediante su
gestión en la red de oficinas de CaixaBank.

Los datos que se tratarán con las finalidades de (i) análisis y estudio de datos,
y (ii) para la oferta comercial de productos y servicios serán:

a) Todos los facilitados en el establecimiento o mantenimiento de
relaciones comerciales o de negocio.

b) Todos los que se generen en la contratación y operativas de
productos y servicios con CaixaBank Payments & Consumer, con
las empresas del Grupo CaixaBank o con terceros, tales como,
movimientos de cuentas o tarjetas, detalles de recibos domiciliados,
domiciliaciones de nóminas, siniestros derivados de pólizas de
seguro, reclamaciones, etc.

c) Todos los que CaixaBank Payments & Consumer o las empresas
del Grupo CaixaBank obtengan de la prestación de servicios a
terceros, cuando el servicio tenga como destinatario al Titular, tales
como la gestión de trasferencias o recibos.

d) Su condición o no de accionista de CaixaBank según conste en los
registros de esta, o de las entidades que de acuerdo con la
normativa reguladora del mercado de valores hayan de llevar los
registros de los valores representados por medio de anotaciones en
cuenta.

e) Los obtenidos de las redes sociales que el Titular autorice a
consultar.

f) Los obtenidos de terceras entidades como resultado de solicitudes
de agregación de datos solicitadas por el Titular.

g) Los obtenidos de las navegaciones del Titular por el servicio de la
web de CaixaBank Payments & Consumer y otras webs esta y/o de
las empresas del Grupo CaixaBank o aplicación de telefonía móvil
de CaixaBank Payments& Consumer y/o de las empresas del Grupo
CaixaBank, en las que opere debidamente identificado. Estos datos
pueden incluir información relativa a geolocalización.

h) Los obtenidos de chats, muros, videoconferencias o cualquier otro
medio de comunicación establecida entre las partes.

Los datos del Titular podrán ser complementados y enriquecidos por datos
obtenidos de empresas proveedoras de información comercial, por datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

85/133

obtenidos de fuentes públicas, así como por datos estadísticos,
socioeconómicos (en adelante, “Información Adicional”) siempre verificando
que estos cumplen con los requisitos establecidos en las normas vigentes
sobre protección de datos.”

7. En la información aportada por CaixaBank Payments & Consumer, E.F.C.,
E.P., S.A. se afirma que “el número de interesados (clientes) cuyos datos
fueron tratados en el desarrollo de la actividad de perfilado asociada a la
actividad de Scoring Proactivo con finalidades comerciales, asciende a (…).”

CUARTO: Consta en la información aportada lo siguiente respecto de la tercera
actividad que lleva a cabo denominada “Análisis y selección de público objetivo”:

“1. Respecto de la definición de la lógica aplicada en el perfilado y de las
consecuencias previstas de dicho tratamiento para el interesado, señala que “La
actividad de tratamiento denominado como Perfilado Comercial responde a la
necesidad de CPC de analizar, seleccionar y extraer, de forma previa a su impacto
comercial, el público objetivo al que se dirigirán las comunicaciones comerciales
asociadas a una potencial campaña.

A tal efecto, CPC selecciona y extrae la información de los clientes a los que
potencialmente se les remitirá las comunicaciones comerciales de la campaña en
cuestión.

Para ello, se tratan los datos personales procedentes de fuentes internas de CPC
(Host, DataPool y DataWareHouse) de aquellos de sus clientes que han autorizado
expresamente el tratamiento de perfilado comercial y, posteriormente, no lo han
revocado. Sobre los mencionados repositorios (Host, DataPool y DataWareHouse),
se toma un listado de clientes en base al resultado obtenido una vez llevado a
cabo el tratamiento en base al consentimiento del cliente, detallado en el apartado
anterior (“II. Análisis de la capacidad de devolución o riesgo de impago para la
gestión del riesgo de crédito concedido a clientes”) y sobre dicho listado de
clientes, se aplican filtros de selección basados en datos identificativos tales como
rangos de edad, idioma de comunicación, sexo, localidad o domicilio, con el
objetivo de proceder a la extracción del público objetivo al que irá dirigida la
campaña. En última instancia, el sistema genera un fichero con la selección del
público objetivo que reúne las condiciones fijadas una vez aplicados los filtros.

Se debe advertir, no obstante, que los criterios de selección que, en esencia,
constituyen la lógica aplicada al perfilado, no devienen parámetros estandarizados
sino que son segmentos que varían y se ajustan a las necesidades propias del
Producto o de las características asociadas a la iniciativa comercial o promocional
de la que se pretende su lanzamiento, así como a la tipología o el volumen de los
datos de que CAIXABANK PAYMENTS & CONSUMER dispone con respecto a
cada uno de los interesados.

Por su parte, la consecuencia que la actividad de perfilado llevada a cabo por
CAIXABANK PAYMENTS & CONSUMER genera sobre el cliente, queda
circunscrita al hecho de que pasará, o no, a formar parte de un listado que podrá
ser potencialmente empleado en el marco de una campaña comercial.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

86/133

2. Respecto de la descripción de la finalidad del tratamiento y detalle de la base de
legitimación del artículo 6.1 del RGPD en que se sustenta, manifiesta que
“CAIXABANK PAYMENTS & CONSUMER trata los datos de carácter personal de
los interesados asociados a la actividad de Perfilado Comercial con el fin de
conocer si los mismos cumplen las condiciones necesarias para su inclusión en
una potencial campaña comercial y mejorar el impacto de sus campañas
comerciales. En definitiva, aunque expresado en distintos términos, el proceso de
perfilado vinculado a esta actividad de tratamiento se efectúa con el ánimo de
generar el listado con el público objetivo que, en momentos ulteriores, podrá ser
explotado para impactar a los clientes mediante comunicaciones con contenido
comercial. Por su parte, en cuanto al título habilitante, es el previsto en el art. 6.1.a)
del RGPD (consentimiento).

3. En cuanto al procedimiento seguido para cumplir con el deber de información al
interesado (artículos 13 y 14 del RGPD) y a los medios utilizados para la recogida
del consentimiento cuando la actividad de tratamiento se ampare en el artículo
6.1.a del RGPD, remite a lo expuesto en la actividad de tratamiento “Análisis de la
capacidad de devolución o riesgo de impago para la gestión del riesgo de crédito
concedido a clientes” en la que se hacía referencia al documento anexo nº12.

4. Respecto de las categorías de interesados y de datos personales objeto de
tratamiento afirma lo siguiente:

“La categoría de interesados objeto del tratamiento denominado Perfilado
Comercial es la de clientes con contrato vigente con CPC. La categoría de
potenciales clientes en ningún caso es objeto de esta actividad de tratamiento”

“Los datos personales objeto de tratamiento son los siguientes:

- Identificativos: identificador de cliente, NIF/NIE/Pasaporte, nombre y apellidos,
fecha de nacimiento, sexo, dirección postal, correo electrónico, teléfono (fijo o
móvil) e idioma de comunicación.

Financieros: productos y servicios contratados y condición de
titular/beneficiario/apoderado y la etiqueta resultante del tratamiento descrito en el
apartado anterior II).”

5. En cuanto al origen de los datos personales objeto de tratamiento (con
indicación de la base de legitimación que sustenta, manifiesta que “El origen de los
datos de carácter personal objeto de tratamiento es el propio interesado y las
fuentes internas propias de CAIXABANK PAYMENTS & CONSUMER, ya descritas
en el punto 1 de este apartado (III. Tratamiento: “Perfilado Comercial”), así como
las etiquetas detalladas en el apartado anterior (Análisis de la capacidad de
devolución o riesgo de impago para la gestión del riesgo de crédito concedido a
clientes). En este caso, la base de legitimación es el consentimiento del interesado
(art. 6.1.a RGPD).”

6. En cuanto al número de interesados cuyos datos personales han sido tratados
en el desarrollo de la actividad de perfilado por categoría (cliente, potencial cliente)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

87/133

y año (2018 y 2019), señala que “En primer lugar, hay que indicar que los números
que se reflejan a continuación hacen referencia únicamente a la categoría de
clientes, puesto que en esta actividad de perfilado no se tratan datos de
potenciales clientes, de acuerdo con lo expuesto en el punto b) de las
Consideraciones Preliminares. (…).”

QUINTO: Consta en la información obtenida sobre el volumen de ventas de la
entidad que el resultado de la cifra de negocio durante el año 2019 es de
872.976.000 €. El capital social asciende a 135.155.574 €

SEXTO: Consta en el expediente que CAIXABANK PAYMENTS & CONSUMER
EFC, EP, S.A.U. ha modificado la política de privacidad en su página web.

Consta que el punto 6 de dicha política de privacidad bajo el título “Qué
tratamientos realizamos con sus datos”, indica lo siguiente:

“Los tratamientos que realizaremos con sus datos son diversos, y responden a
diferentes finalidades y bases jurídicas:

> Tratamientos basados en el consentimiento

> Tratamientos necesarios para la ejecución de las Relaciones Contractuales

> Tratamientos necesarios para cumplir con obligaciones normativas

> Tratamientos basados en el interés legítimo de CaixaBank Payments &
Consumer”

El apartado 6.1 de dicha política de privacidad contempla los siguientes tratamientos
basados en el consentimiento:

A. Análisis de sus datos para la elaboración de perfiles que nos ayuden a
ofrecerle productos que creemos que pueden interesarle.

B. Oferta comercial de productos y servicios por los canales seleccionados.

C. Cesión de datos a empresas que no forman parte del Grupo CaixaBank.

D. Identificación de clientes y firma de documentación mediante uso de biometría.

En el punto 6.1 de la aludida política de privacidad consta lo siguiente:

“TRATAMIENTOS BASADOS EN EL CONSENTIMIENTO.

Estos tratamientos tienen como base jurídica su consentimiento, según se establece en el
art. 6.1.a) del RGPD.

Podemos haberle solicitado ese consentimiento por diferentes canales, por ejemplo,
a través de nuestros canales electrónicos o en alguna de las empresas del Grupo
CaixaBank. Si por alguna circunstancia, nunca le hemos solicitado su
consentimiento, estos tratamientos no le aplicarán.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

88/133

Puede consultar las autorizaciones que usted nos ha consentido o denegado, y
modificar su decisión en cualquier momento y de manera gratuita en la web de
CaixaBank Payments & Consumer (www.caixabankpc.com) y en la de cada una de las
empresas del Grupo CaixaBank, o en su área privada de la web o aplicaciones móviles de
CaixaBank Payments & Consumer y en las oficinas de CaixaBank.

Los tratamientos basados en su consentimiento se indican a continuación ordenados de la
(A) a la (D). Señalaremos para cada uno de ellos: la descripción de la finalidad (Finalidad),
si son o no tratamientos realizados en régimen de corresponsabilidad con otras empresas
del Grupo CaixaBank (Corresponsables/Responsable del tratamiento), y las categorías de
datos utilizados (Categorías de datos tratados).”

A continuación, figura la siguiente información respecto al contenido en la letra A.
“Análisis de sus datos para la elaboración de perfiles que nos ayuden a
ofrecerle productos que creemos que pueden interesarle “

Finalidad: La finalidad de este tratamiento de datos es utilizar las categorías de
datos que le indicamos a continuación, para elaborar perfiles que nos permitan
identificarle con segmentos de clientes con similares características a las suyas y
sugerirle productos y servicios que creamos que pueden interesarle, así como
establecer la periodicidad con la que nos relacionamos con usted.

Mediante este tratamiento analizaremos sus datos para tratar de deducir sus
preferencias o necesidades y así poder hacerle ofertas comerciales que creamos
que puedan tener más interés que ofertas genéricas.

Cuando las ofertas que queramos trasmitirle consistan en productos que impliquen
el pago de cuotas o la financiación, realizaremos una preevaluación de solvencia
para calcular el límite de crédito adecuado a ofrecerle, de acuerdo con los
principios de responsabilidad en la oferta de productos de financiación exigidos por
el Banco de España.

Es importante que sepa que este tratamiento, incluida la preevaluación de
solvencia en los productos con riesgo, se limita a la finalidad indicada de sugerirle
productos y servicios que creamos que pueden interesarle, y no se utiliza, en
ningún caso, para denegación de ningún producto o servicio o límite de crédito.

Usted tiene siempre a su disposición nuestro catálogo completo de productos y
servicios, y este tratamiento no prejuzga, limita o condiciona su acceso a los
mismos, que, en caso de que los solicite, serán evaluados con usted conforme a
los procedimientos ordinarios de CaixaBank Payments & Consumer.

Solo realizaremos este tratamiento de sus datos si usted nos ha dado su
consentimiento para ello. Su consentimiento permanecerá vigente mientras
usted no lo retire.

Si cancela todos sus productos o servicios con las empresas del Grupo
CaixaBank, pero olvida retirar su consentimiento, nosotros lo haremos
automáticamente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

89/133

Categorías de datos tratados: Las categorías de datos que trataremos para esta
finalidad, cuyo contenido esta detallado en el epígrafe 5, son:

> datos que usted nos habrá facilitado

> datos observados en el mantenimiento de los productos y servicios, con
excepción de datos sensibles

> datos inferidos o deducidos por CaixaBank Payments & Consumer.

> datos que usted no nos ha facilitado directamente.

Corresponsables del tratamiento: El tratamiento de sus datos de las categorías
indicadas, con la finalidad de análisis para la elaboración de perfiles que nos
ayuden a ofrecerle productos que creemos que pueden interesarle, lo realizan en
régimen de corresponsabilidad las siguientes empresas del Grupo CaixaBank:

> CaixaBank, S.A.
> CaixaBank Payments & Consumer, E.F.C., E.P., S.A.U.
> CaixaBank Electronic Money, EDE, S.L.
> VidaCaixa, S.A.U., de seguros y reaseguros
> Nuevo Micro Bank, S.A.U.
> CaixaBank Equipment Finance, S.A.U.
> Promo Caixa, S.A.U,
> Comercia Global Payments, E.P. S.L.
> Buildingcenter, S.A.U.
> Imagintech S.A.

Encontrará la lista de las empresas que tratan sus datos, así como los aspectos
esenciales de los acuerdos del tratamiento en corresponsabilidad en:
www.caixabank.es/empresasgrupo.”

Consta que la información que se facilita respecto de la corresponsabilidad
accediendo a dicho enlace es la siguiente:

“Para llevar a cabo los tratamientos que le indicamos a continuación, CaixaBank y
las empresas del Grupo CaixaBank tratarán conjuntamente sus datos, decidiendo
de manera conjunta los objetivos (“para qué se usan los datos”) y los medios
utilizados (“cómo se usan los datos”) siendo, por tanto, corresponsables de esos
tratamientos (Entidades Corresponsables).

Los tratamientos para los cuales CaixaBank y las empresas del Grupo CaixaBank
tratarán conjuntamente sus datos, son los siguientes (puede ver el detalle de las
empresas del Grupo Caixabank que conforman el perímetro de cada uno de los
tratamientos que se realizan en corresponsabilidad clicando en cada uno de los
siguientes enlaces):

 Realizar las actividades comerciales de: (i) análisis de sus datos personales
para la elaboración de perfiles que nos ayuden a ofrecerle productos que
creemos que pueden interesarle; (ii) oferta comercial de productos y servicios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

90/133

por los canales seleccionados, y (iii) cesión de datos a empresas que no
forman parte del Grupo CaixaBank;

 Cumplir con las siguientes normativas aplicables a las empresas del Grupo
CaixaBank: (i) la normativa de prevención de blanqueo de capitales y
financiación del terrorismo; (ii) la normativa en materia tributaria; (iii) las
obligaciones derivadas de las políticas de sanciones y contramedidas
financieras internacionales, así como (iv) las obligaciones de concesión y
gestión de operaciones de crédito y la consulta y comunicación de riesgos a la
Central de Información de Riesgos del Banco de España (CIRBE).

 Realizar el análisis de la solvencia y la capacidad de devolución de los
solicitantes de productos que impliquen financiación.

De conformidad con lo dispuesto en la normativa aplicable, las Entidades
Corresponsables han suscrito un acuerdo de corresponsabilidad para
determinados tratamientos, cuyos elementos esenciales son los siguientes:

(i) Que, para determinados tratamientos identificados en la Política de Privacidad,
las Entidades Corresponsables actuarán de forma coordinada o conjunta.

(ii) Que han procedido a determinar las medidas de seguridad, técnicas y
organizativas, apropiadas para garantizar un nivel de seguridad adecuado al riesgo
inherente a los tratamientos de datos personales objeto de corresponsabilidad.

(iii) Que disponen de un mecanismo de ventanilla única para el ejercicio de los
derechos de los interesados, asumiendo el compromiso del deber de colaboración
y asistencia en aquellos casos en que resultase procedente.

(iv) Que cumplen la obligación de respetar el deber de secreto y guardar la debida
confidencialidad de los datos personales que sean tratados en el marco de las
actividades de tratamiento de datos informadas.

(v) Independientemente de los términos del acuerdo de corresponsabilidad, los
interesados podrán ejercer sus derechos en materia de protección de datos frente
a cada uno de los responsables.”

Consta que el punto 5 de la política de privacidad, titulado categorías de datos,
informa de lo siguiente:

“5. Categorías de datos

En CaixaBank Payments & Consumer trataremos diferentes datos personales
para poder gestionar las Relaciones Contractuales que establezca con nosotros,
para realizar el resto de los tratamientos de datos que se derivan de su condición
de cliente y, si nos ha dado su consentimiento, para realizar también el tratamiento
de sus datos para las actividades que se detallan en el epígrafe 6.1.

Para facilitar su comprensión, hemos ordenado los datos que tratamos en las
categorías que le detallamos a continuación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

91/133

No todas las categorías de datos que le detallamos se utilizan para todos los
tratamientos de datos. En el epígrafe 6, donde le detallamos los tratamientos de
datos que realizamos, usted podrá consultar específicamente por cada tratamiento
concreto las categorías de datos que se utilizan, contando así con la información
necesaria que le permita ejercer, si así lo desea, sus derechos reconocidos por el
RGPD, en especial los de oposición y de revocación del consentimiento.
Las categorías de datos que utilizan los distintos tratamientos expuestos en el
epígrafe 6 son las siguientes:

> Datos que usted nos ha facilitado en el alta de sus contratos o durante su
relación con nosotros. Estos datos son:

 datos identificativos y de contacto: su documento identificativo, nombre y
apellidos, sexo, información de contacto postal, telefónica y electrónica,
domicilio de residencia, nacionalidad y fecha de nacimiento, e idioma de
comunicación.
 datos socioeconómicos: detalle de la actividad profesional o laboral, ingresos o
retribuciones, unidad o círculo familiar, nivel de estudios, patrimonio, datos
fiscales y datos tributarios.
 datos financieros: productos y servicios contratados, relación con el producto
(condición de titular, autorizado o representante), categoría MiFID.
 datos biométricos: patrón facial, biometría de voz o patrón de huella dactilar.

> Datos observados en el mantenimiento de los productos y servicios. Estos datos
son:

 datos financieros: la información de los apuntes y movimientos que se realicen
en cuentas corrientes, incluyendo el tipo de operación, el emisor, el importe, y
el concepto, información sobre inversiones realizadas y su evolución,
información sobre financiaciones, extractos de operaciones con tarjetas de
débito y crédito, productos contratados e historial de pago.

Es importante que sepa que no trataremos datos observados en el mantenimiento
de los productos y servicios que puedan contener información que revele su origen
étnico o racial, sus opiniones políticas, sus convicciones religiosas o filosóficas, su
afiliación sindical, el tratamiento de datos genéticos, datos biométricos dirigidos a
identificarle de manera unívoca, datos relativos a la salud o datos relativos a su
vida u orientación sexual (“Datos Sensibles”).

 su condición de accionista, o no, de CaixaBank.
 datos digitales: los datos obtenidos de las comunicaciones que hayamos
establecido entre usted y nosotros en chats, muros, videoconferencias,
llamadas telefónicas o medios equivalentes y los datos obtenidos de sus
navegaciones por nuestras páginas web o aplicaciones móviles y la
navegación que realice en las mismas (ID dispositivo, ID publicidad, dirección
IP e historial de navegación), en el caso de que haya aceptado el uso de
cookies y tecnologías similares en sus dispositivos de navegación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

92/133

 datos geográficos: los datos de geolocalización de su dispositivo móvil
proporcionados por la instalación y/o el uso de nuestras aplicaciones móviles,
cuando así lo haya autorizado en la configuración de la propia aplicación.

> Datos inferidos o deducidos por CaixaBank Payments & Consumer del análisis y
tratamiento del resto de las categorías de datos. Estos datos son:

 agrupaciones de clientes en categorías y segmentos en función de su edad,
patrimonio y renta estimada, operativas, hábitos de consumo, preferencias o
propensiones a la contratación de productos, demografía y relación con otros
clientes o categorización según la normativa sobre Mercados de Instrumentos
Financieros (“MiFID”).
 puntuaciones de scoring que asignan probabilidades de pago o impago o
límites de riesgo.

> Datos que usted no nos ha facilitado directamente, obtenidos de fuentes
accesibles al público, registros públicos o fuentes externas. Estos datos son:

 datos de solvencia patrimonial y crédito obtenidos de los ficheros Asnef y
Badexcug.
 datos sobre riesgos mantenidos en el sistema financiero obtenidos de la base
de datos de la Central de Información de Riesgos del Banco de España
(CIRBE).
 datos de personas o entidades que estén incluidas en leyes, regulaciones,
directrices, resoluciones, programas o medidas restrictivas en materia de
sanciones económico-financieras internacionales impuestas por las Naciones
Unidas, la Unión Europea, el Reino de España, Reino Unido y/o el U. S.
Department of the Treasury’s Office of Foreign Assets Control (OFAC).
 datos catastrales o estadísticos obtenidos de compañías que facilitan estudios
estadísticos socioeconómicos y demográficos asociados a zonas geográficas o
códigos postales, no a personas determinadas.
 datos digitales obtenidos de sus navegaciones por páginas web de terceros (ID
dispositivo, ID publicidad, dirección IP, historial de navegación), en el caso de
que haya aceptado el uso de cookies y tecnologías similares en sus
dispositivos de navegación.
 datos de redes sociales o internet, que usted haya hecho públicos o que nos
autorice a consultar.”

CaixaBank Payments & Consumer, E.F.C., E.P., S.A.U. afirma que la fecha de
publicación de la nueva política de privacidad es de 18 de enero de 2021 y que dicha
política de privacidad sustituye a la anterior, que había estado vigente desde el 21 de
julio de 2019 hasta el 17 de enero de 2021.

SÉPTIMO; Afirma igualmente en su escrito de respuesta al requerimiento de
información efectuada durante el período de prueba que se aporta la información
proporcionada para la realización de tratamientos con fines comerciales, previamente
aportada en la respuesta al Requerimiento de información recibido con fecha 6 de
febrero de 2020. Afirma, asimismo, que “Si bien se han previsto, aun no se han
realizado modificaciones sobre la mencionada información desde su aportación en la
respuesta al Requerimiento de información, a la espera de la resolución de la solicitud
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

93/133

de aplicación de medidas cautelares relacionadas con el Procedimiento Sancionador a
CAIXABANK, que podrían afectar a las modificaciones de la mencionada
documentación, planificadas en este momento.”

Consta que dicha información se facilita en el documento denominado CONDICIONES
GENERALES DE LA SOLICITUD-CONTRATO DE CREDITO, en cuyo encabezado
aparece la entidad CaixaBank Payments & Consumer y la fecha 10 de abril de 2020.
El contenido de dicho documento coincide con el remitido tras el requerimiento de la
Inspección de Datos efectuado el 6 de febrero de 2020 como anexo 12.

Dicho documento se estructura en diversas secciones, de las cuales, la número 26
contempla en diferentes apartados diversos aspectos del tratamiento de datos tales
como los distintos tratamientos según su base de legitimación, el ejercicio de derechos
por parte de los interesados o el plazo de conservación de los datos entre otras
cuestiones. Así, el apartado 26.1 se refiere a los Tratamientos de datos de carácter
personal con la finalidad de gestionar las Relaciones Comerciales; el apartado 26.3 a
los tratamientos de datos de carácter personal con finalidades regulatorias, este
apartado a su vez se divide en diversos subapartados como los relativos a
Tratamientos para la adopción de medidas de diligencia debida en la prevención del
blanqueo de capitales y de la financiación del terrorismo (26.3.1), tratamiento para el
cumplimiento de la política de gestión de sanciones y contramedidas financieras
Internacionales (26.3.2), comunicación con sistemas de información crediticia (26.3.3.),
comunicación de datos a la Central de Información de Riesgos del Banco de España
(26.3.4), etc. El apartado 26.4 se refiere al Tratamiento y cesión de datos con
finalidades comerciales por CaixaBank y las empresas del Grupo CaixaBank basados
en el consentimiento. Los apartados 26.1 y 26.4 se encuentran transcritos en el punto
6 del hecho probado tercero.

OCTAVO: Consta que se adjunta al escrito de respuesta al requerimiento de
información efectuado durante el período de prueba un documento denominado
Contrato Marco en cuyo encabezado figura “CaixaBank”, y en cuyo apartado 4.1 se
indica que “el responsable del tratamiento de sus datos personales en sus relaciones
contractuales y de negocios es CaixaBank, S.A. con NIF A08663619 y domicilio en la
calle Pintor Sorolla, 2-4 Valencia. Añadiendo lo siguiente:

“Corresponsables de tratamiento: Además, para determinados tratamientos que se
informan en detalle en la citada política, CaixaBank y las empresas del Grupo
CaixaBank tratarán conjuntamente sus datos, decidiendo de manera conjunta los
objetivos (“para qué se usan los datos”) y los medios utilizados (“cómo se usan los
datos”) siendo, por tanto, corresponsables de esos tratamientos. Los tratamientos para
los cuales CaixaBank y las empresas del Grupo CaixaBank tratarán conjuntamente
sus datos son los siguientes: > realizar las actividades comerciales de: (i) análisis de
sus datos personales para la elaboración de perfiles que nos ayuden a ofrecerle
productos que creemos que pueden interesarle; (ii) oferta comercial de productos y
servicios por los canales seleccionados, y (iii) cesión de datos a empresas que no
forman parte del Grupo CaixaBank; (…)

Encontrará la lista de las empresas que tratan sus datos, así como los aspectos
esenciales de los acuerdos del tratamiento en corresponsabilidad en:
www.caixabank.es/empresasgrupo.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

94/133

En el punto. 4.5 de dicho documento bajo el título” Qué tratamientos realizamos con
sus datos, señala respecto de los tratamientos basados en el consentimiento las
siguientes finalidades:

“− Análisis de sus datos para la elaboración de perfiles que nos ayuden a ofrecerle
productos que creemos que pueden interesarle.
− Poner a su disposición nuestra oferta comercial de productos y servicios por los
canales seleccionados.
− Cesión de datos a empresas que no forman parte del Grupo CaixaBank para que le
hagan ofertas comerciales de productos que comercializan.
− Identificación de clientes y firma de documentación mediante uso de biometría.
− Aplicación de condiciones personales en contratos en cotitularidad.”

Dicho documento no se encuentra fechado. Se afirma en el escrito de respuesta al
requerimiento de información efectuada durante el período de prueba que se ha
incluido entre la documentación remitida “la información proporcionada a los
interesados para la obtención de su consentimiento para la realización de tratamientos
con fines comerciales, cuando el consentimiento se recoge desde el canal bancario
(CAIXABANK). Esta documentación, aportada previamente en el transcurso del
Procedimiento Sancionador a CAIXABANK, fue modificada en marzo de 2021, en el
marco de las mencionadas actuaciones dirigidas a la implantación de la nueva política
de privacidad.”

NOVENO: Consta que durante el período de prueba se han aportado los siguientes
documentos:

 Capturas de pantalla en las que se recaba el consentimiento de los clientes:

 Una captura de pantallas en el canal prescriptor, que coincide exactamente con
la descrita para dicho canal en el punto 5 del hecho probado tercero de la
presente propuesta de resolución.

 Captura de pantallas alta nuevo cliente oficina (onboarding presencial, en la
que se señala lo siguiente: “entrega la tableta al cliente para que cumplimente
él mismo los consentimientos” y captura de pantallas alta nuevo cliente Portal
Web (onboarding digital). En ambas modalidades se aporta una información
básica para el cliente sobre el tratamiento de datos personales indicando que el
responsable del tratamiento es: “Caixabank, con NIF A08663619 y domicilio en
la calle Pintor Sorolla, 2-4 Valencia. Corresponsables del tratamiento “Para
determinadas actividades Caixabank, S.A. y las empresas del Grupo
Caixabank tratarán conjuntamente tus datos. Encontrarás la lista de las
empresas que tratan tus datos, así como los aspectos esenciales de los
acuerdos del tratamiento en corresponsabilidad en
www.caixabank.es/empresasgrupo.”

Respecto de los consentimientos se señala en ambas modalidades que
“Autorizas a las empresas del grupo CaixaBank a:
Analizar tus datos para la elaboración de perfiles que nos ayuden a ofrecerte
productos que creemos que pueden interesarte. Si tenemos tu consentimiento,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

95/133

te configuraremos o diseñaremos una oferta de productos y servicios ajustados
a tus características como cliente, mediante el análisis de tus datos y la
elaboración de perfiles con tu información.”

A continuación figuran dos casillas en las que se puede marcar si o no. En
otros apartados se solicita el consentimiento para comunicar la oferta comercial
de productos y servicios por los canales que se seleccionen y a ceder los datos
a empresas que no formen parte del Grupo Caixabank con las que tengan
acuerdos.

Respecto de los tratamientos de análisis para elaboración de perfiles se aporta
también en ambas modalidades la información siguiente: Estos tratamientos
tienen como base jurídica su consentimiento, según se establece en el artículo
6.1.a del Reglamento General de Protección de Datos. Se reitera a
continuación la información ofrecida en la política de privacidad relativa a este
tipo de tratamientos respecto de la finalidad, categorías de datos tratados y
corresponsables del tratamiento. No obstante, en lo que respecta a los datos
tratados indica: “las categorías de datos que trataremos para esta finalidad
cuyo contenido está detallado en el epígrafe 5 de nuestra Política de Privacidad
(www.Caixabank.es/políticade privacidad) son: datos que usted nos habrá
facilitado, datos observados en el mantenimiento de los productos y servicios
con excepción de datos sensibles, datos inferidos o deducidos por Caixabank,
datos que usted no nos ha facilitado directamente.” No figura en ninguna de
las pantallas la descripción de estos datos.

 Acuerdo de corresponsabilidad.

Dicho Acuerdo no tiene fecha ni firma alguna. El número 4 de dicho acuerdo,
relativo a la duración, señala que “El presente Acuerdo entrará en vigor en la fecha
de su firma y permanecerá vigente de forma indefinida, sin perjuicio de la revisión
y modificaciones necesarias de sus términos y contenido para su adaptación en su
caso, a la normativa vigente que resulte de aplicación en cada momento...”

En dicho acuerdo figura la siguiente definición: “Corresponsables del Tratamiento o
Corresponsables: Significa los responsables que determinan conjuntamente los
objetivos, finalidades y medios del Tratamiento detallados en el Anexo 1.” En el
citado anexo menciona los siguientes tratamientos objeto de corresponsabilidad
referente a “actividades comerciales”:

a) análisis de los datos personales para la elaboración de perfiles que nos
ayuden a ofrecer productos que creemos que pueden interesar al cliente F
Finalidad: La finalidad de este tratamiento de datos es utilizar las categorías de
datos indicadas en la Política de Privacidad de CaixaBank
(www.caixabank.com/politicaprivacidad) para elaborar perfiles que permitan a los
Corresponsables identificar al cliente con segmentos de clientes de similares
características para poder ofrecerle productos y servicios que puedan interesarle,
así como, para establecer la periodicidad con la que los Corresponsables se
relacionan con él.
Base legitimadora: La base legitimadora de este tratamiento es el consentimiento
otorgado por los interesados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

96/133

b) Oferta comercial de productos y servicios por los canales seleccionados.
Finalidad: La finalidad de este tratamiento de datos es poner a disposición del
cliente comunicaciones de ofertas comerciales relativas a productos y servicios
propios o de terceros comercializados por CaixaBank y/o las entidades del Grupo
CaixaBank. Estas comunicaciones únicamente se remitirán al cliente por los
canales que previamente éste nos haya autorizado al dar su consentimiento.
Base legitimadora: La base legitimadora de este tratamiento es el consentimiento
otorgado por los interesados.

c) cesión de datos a entidades que no forman parte del Grupo CaixaBank
Finalidad: La finalidad de este tratamiento es ceder los datos de los interesados a
entidades que no forman parte del Grupo CaixaBank con las que los
Corresponsables tengan acuerdos, con el propósito de que éstas les realicen
ofertas comerciales de los productos que comercializan.
Base legitimadora: La base legitimadora de este tratamiento es el consentimiento
otorgado por los interesados.”

Enumera después los corresponsables que serían los siguientes:
CAIXABANK, S.A
CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A.U.
CAIXABANK ELECTRONIC MONEY, EDE, S.L
VIDACAIXA, S.A.U., DE SEGUROS Y REASEGUROS
NUEVO MICRO BANK, S.A.U
CAIXABANK EQUIPMENT FINANCE, S.A.U
PROMO CAIXA, S.A.U.
COMERCIA GLOBAL PAYMENTS, E.P. S.L.
BUILDINGCENTER, S.A.U.
IMAGINTECH, S.A.

En sucesivos anexos se contemplan otros tratamientos objeto de
corresponsabilidad, cuya base legitimadora se encuentra en el cumplimiento de
obligaciones legales o la ejecución de las relaciones contractuales.

 Contrato suscrito con la entidad ***EMPRESA.3 para la actividad de risk score.
Según lo indicado en dicho contrato, de fecha 2 de junio de 2020, se ha novado el
contrato suscrito con fecha 2 de mayo de 2017, ampliado a su vez en fecha 2 de
mayo de 2019 para incorporar los servicios que se reseñan en el anexo I (que no
se adjunta). Son partes en dicho contrato CAIXABANK y CAIXABANK PAYMENTS
& CONSUMER y las entidades (…), designándose a estas dos últimas
conjuntamente como PROVEEDOR.

Dicho documento contiene dos cláusulas:
La cláusula primera de dicho contrato relativa a la novación modificativa no
extintiva de la cláusula 15 del contrato, sustituye la citada cláusula con efectos
retroactivos a 25 de mayo de 2018, con nuevos elementos relativos al encargado
de tratamiento, a fin de adaptar los servicios de risk score a las obligaciones
regulatorias contenidas en la LOPDGDD y en el RGPD.

En la segunda de las cláusulas se acuerda incorporar al anexo I (anexo de
servicios) una cláusula relativa a aspectos específicos del tratamiento de datos de
carácter personal del servicio risk score. Dicha cláusula viene referida a la
descripción del tratamiento, indicando que a los únicos efectos de la prestación del
servicio de “risk score” CAIXABANK Y CAIXABANK PAYMENTS & CONSUMER
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

97/133

ponen a disposición del proveedor la siguiente información “(…).” Se señalan a
continuación los siguientes tratamientos por parte del proveedor: explotación,
consulta y destrucción; la tipología de los datos (DNI(NIE/Pasaporte) y categorías
de interesados afectados (clientes, intervinientes no clientes). En cuanto a la
finalidad del tratamiento se señala que el proveedor utilizará los datos de carácter
personal objeto de tratamiento única y exclusivamente para el cumplimiento del
ANEXO I, no pudiéndolos utilizar, en ningún caso, para fines propios. Dicho anexo
no se adjunta.

DÉCIMO: En el escrito de respuesta al requerimiento de información formulado
durante el período de prueba se afirma que al volumen de negocios del Grupo o
CAIXABANK a 31 de diciembre de 2020 se cifra en doce mil ciento setenta y dos
millones de euros.

FUNDAMENTOS DE DERECHO

I

En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679,
del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las
Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre
Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante
RGPD) reconoce a cada Autoridad de Control, y según lo establecido en los artículos
47, 48, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la
Directora de la Agencia Española de Protección de Datos es competente para iniciar y
resolver este procedimiento.

El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

II

Con carácter previo, se considera conveniente analizar las alegaciones efectuadas por
CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A.U. (en adelante CPC) en
base a las cuales solicita la declaración de nulidad de las actuaciones.

1. En la primera de ellas se alega una insuficiente motivación del acuerdo de inicio.

Se alega por CPC que no existe conexión directa entre el contenido de la reclamación
inadmitida y el inicio de actuaciones previas.

Esta Agencia no puede compartir tal alegación, resulta evidente la conexión entre una
reclamación en la que se alega un tratamiento de consulta a un sistema de
información crediticia y una oferta comercial de un producto, para lo cual se ha llevado
a cabo un perfilado, todo ello sin consentimiento del reclamante, y el inicio de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

98/133

actuaciones de investigación de la AEPD sobre los procedimientos de obtención del
consentimiento en los procedimientos de perfilado llevados a cabo por CPC cuando
aquel constituya la base jurídica que legitime dichos tratamientos.

Respecto a que se ha obviado información relevante para la defensa, ya que en el
acuerdo de inicio no se hizo referencia al hecho de que el interesado presentó recurso
de reposición a la inadmisión de su reclamación y a que éste fue estimado por la
AEPD, cabe señalar que en el acuerdo de inicio no se hizo referencia a tal hecho, al
que no se atribuye la relevancia que le otorga CPC, toda vez que la propia resolución
de inadmisión de la reclamación, de la que se da comunicación al reclamado, advierte
que sin perjuicio de ese resultado “la Agencia, aplicando los poderes de investigación y
correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al
tratamiento de datos referido en la reclamación”.

No obstante lo anterior, dicha información fue incluida en la propuesta de resolución
para una mayor claridad de los antecedentes que dieron lugar al inicio de actuaciones
de investigación, de modo que CPC ha tenido conocimiento de la mismo en el marco
del procedimiento pudiendo alegar cuanto ha tenido por conveniente.

2. La segunda hace referencia el supuesto incumplimiento del artículo 55.1 de la
LPACAP, en conexión con el artículo 53 de la LOPDGDD, considerando que la
inspección de datos se ha extralimitado, sin ser ésta su función, al ampliar el alcance
de las actuaciones previas de investigación definido por el titular del órgano
administrativo. Dicha alegación se fundamenta en que el ámbito de investigación
determinado por la Directora de la AEPD se refiere a clientes, mientras que el escrito
por el que se requiere información a CPC hace referencia a “posibles clientes”. Afirma
CPC que aunque la Agencia reconoce que ha habido un error de transcripción y que
no existen tales tratamientos, el hecho de no existir tales tratamientos no disminuye la
extralimitación inicialmente planteada, ya que aunque no sabe qué hubiera pasado si
tales tratamientos hubieran existido, “es razonable pensar que la investigación se
hubiera llevado a cabo fuera del alcance concretado por la Directora de la AEPD”

Nuevamente esta Agencia no puede compartir tales razonamientos. Esta Agencia ha
reconocido en la propuesta de resolución que se ha producido un error de
transcripción en el requerimiento de la Subdirección de Inspección por el que se
solicitaba información a CPC, al hacerse referencia no solamente a clientes, sino
también a “posibles clientes”. Ahora bien, no se ha realizado actuación alguna sobre
tratamientos de datos no incluidos en el ámbito de investigación fijado por la Directora
de la AEPD, la propia CPC ha manifestado, en la información facilitada con motivo de
tal requerimiento, que no se llevan a cabo tales tratamientos con “`posibles clientes” y
en consecuencia no ha facilitado información alguna en tal sentido. Por otra parte, la
afirmación de CPC de que aunque no sabe qué hubiera pasado si tales tratamientos
hubieran existido, pero “es razonable pensar que la investigación se hubiera llevado a
cabo fuera del alcance concretado por la Directora”, carece del más absoluto
fundamento. A juicio de esta Agencia, de ninguna manera pueda admitirse que una
suposición infundada constituya una causa de anulabilidad del procedimiento.

3. La tercera de las alegaciones hace referencia a una presunta vulneración del
principio non bis in ídem, considerando que la misma recogida de consentimientos
para la elaboración de perfiles fue objeto de investigación y sanción en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

99/133

procedimiento sancionador contra CAIXABANK, S.A, número PS/00477/2019.
Entiende que existe identidad de sujeto, hecho y fundamento, toda vez que CPC forma
parte del grupo CaixaBank, lo que conlleva que muchos tratamientos se realicen en
régimen de corresponsabilidad, en particular el tratamiento basado en el
consentimiento, descrito como “Análisis de sus datos para la elaboración de perfiles
que nos ayuden a ofrecerle productos que creemos que pueden interesarle”, que
figura en la letra 6.1.A de la política de privacidad de Caixabank, S.A.

Esta Agencia tampoco puede aceptar tal alegación. La resolución del PS/00477/2019,
limita su actuación a determinadas actuaciones de la entidad CAIXABANK, S.A.,
excluyendo expresamente “la actuación que puedan desarrollar las empresas que
integran el denominado “Grupo CaixaBank” para el cumplimiento del principio de
transparencia o los procedimientos específicos que hayan habilitado para recabar el
consentimiento de sus clientes para los tratamientos de datos personales que lleven o
pretendan llevar a cabo, o en relación con los otros aspectos reseñados.”

A ello debe añadirse que el régimen de corresponsabilidad a que se hace referencia
no solo no resulta acreditado sino que, a juicio de esta Agencia, ni siquiera resulte
admisible su existencia en el presente supuesto, como se verá más adelante. En este
sentido, no cabe admitir que la Agencia haya invertido la carga de la prueba como
alega CPC, es CPC quien afirma la existencia de corresponsabilidad para exonerarse
de su responsabilidad, siendo por tanto a ella a quien corresponde acreditar su
existencia.

Por otra parte, incluso en el supuesto de que existiera una corresponsabilidad en el
tratamiento, lo que a juicio de esta Agencia no sucede en el presente supuesto tal y
como se indica en el párrafo anterior, la sanción a cada uno de los responsables del
mismo no implicaría una infracción del principio non bis in ídem. El régimen de
corresponsabilidad no determina que toda la responsabilidad se aplique a un único
sujeto, sino que cada corresponsable responderá por la parte del tratamiento que lleve
a cabo. En este sentido, debe tenerse en cuenta lo señalado por el TJUE en la
Sentencia del 5 de junio de 2018, en el asunto C-210/16. (Wirtschaftsakademie)

“… la existencia de una responsabilidad conjunta no se traduce necesariamente en
una responsabilidad equivalente de los diversos agentes a los que atañe un
tratamiento de datos personales. Por el contrario, esos agentes pueden presentar una
implicación en distintas etapas de ese tratamiento y en distintos grados, de modo que
el nivel de responsabilidad de cada uno de ellos debe evaluarse teniendo en cuenta
todas las circunstancias pertinentes del caso concreto.”

4. En cuarto lugar se alega una actuación arbitraria de la AEPD, proscrita por el
artículo 9.3 de la Constitución Española. Afirma CPC que se trata de una actuación
arbitraria que no persigue con objetividad el interés general evidenciando además un
trato discriminatorio con otros administrados.

Afirma que CAIXABANK, S.A. compartió con la AEPD aspectos por los que ahora se
pretende sancionar a CPC, solicitando una reunión o contactos a fin de obtener y
adoptar criterios y recomendaciones que la AEPD hubiera querido trasladar al
respecto, gestiones que no dieron resultado a pesar de la insistencia de
CAIXABANK,S.A., por lo que entiende que este grupo adoptó una actitud diligente y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

100/133

preventiva siendo el efecto que la AEPD ha adoptado una actitud exclusivamente
punitiva con el grupo CAIXABANK.

Tales alegaciones no son admisibles. El RGPD introduce el principio de
responsabilidad proactiva como elemento fundamental de cumplimiento de sus
previsiones, incumbiendo dicha obligación al responsable. Tal y como establece el
artículo 24 de dicha norma, corresponde al responsable del tratamiento aplicar las
medidas técnicas y organizativas apropiadas a fin de garantizar que el tratamiento es
conforme con el RGPD, o, en los términos del considerando 74 de la misma norma:
“En particular, el responsable debe estar obligado a aplicar medidas oportunas y
eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con
el presente Reglamento, incluida la eficacia de las medidas”. No está obligada esta
Agencia a emitir opinión o valoración alguna sobre la conformidad con la normativa de
protección de datos de los tratamientos que lleva a cabo un responsable a petición de
éste, salvo en el supuesto de consulta previa previsto en el artículo 36, supuesto ante
el que no nos encontramos en el presente procedimiento. Por otra parte, si bien esta
Agencia dispone de diversos canales para que los responsables puedan plantear sus
dudas, los informes que a través de tales canales pudieran emitirse, carecen de
carácter vinculante, por lo que no cabe justificar en la ausencia de una opinión de la
AEPD sobre los tratamientos del responsable, el incumplimiento de las obligaciones de
éste.

También deben rechazarse las alegaciones relativas al supuesto trato desigual entre
entidades de un sector y otro que centra en el plan de oficio sobre contratación a
distancia en operadores de telecomunicaciones y comercializadores de energía. Como
el propio nombre del plan indica, su objetivo es la contratación a distancia y no
solamente en el sector de telecomunicaciones, sino también en el de la energía en el
que también se utiliza esta modalidad de contratación. La realización de dicho plan de
actuaciones no deriva del porcentaje de reclamaciones recibido durante un año
concreto en un sector o en otro, sino que su realización se encontraba incluida en el
plan estratégico 2015-2019 de la AEPD, a la vista de los problemas que este tipo de
contratación plantea, en particular en aspectos como la suplantación de identidad o la
contratación fraudulenta, tal y como el propio plan expone. Se trata de una
problemática general, que justifica una actuación de oficio de esta Agencia y no de un
concreto incumplimiento de la normativa de protección de datos por parte de una
entidad, como ocurre en el presente caso. Por otra parte, el hecho de que se lleve a
cabo un plan de oficio por parte de la AEPD no implica que las entidades del sector
objeto del mismo no sean sancionadas en el caso de que se reciba una reclamación
que determine la procedencia de actuaciones de investigación y, en su caso
sancionadoras. En este sentido debe recordarse que esta Agencia tiene la obligación
de publicar sus resoluciones, bastando con ver las que aparecen en su página web,
para comprobar que no limita su actuación punitiva a unos sectores de actividad.

CPC basa también la supuesta discriminación de trato respecto de otros interesados
en la afirmación de que son reiteradas las resoluciones de procedimientos
sancionadores de la AEPD en los que se sanciona al responsable del tratamiento por
infracción del artículo 6 RGPD (vid. PPSS 00235/2019, 00182/2019, 00415/2019) y
que, teniendo en cuenta la condición de gran empresa y volumen de negocio, entre
otros, ni de lejos las sanciones alcanzan el nivel económico de la propuesta de
sanción contenida en el Acuerdo de Inicio, puesto que son sanciones que han oscilado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

101/133

entre los 60.000€ y los 120.000€. Afirma también que no se entiende en qué se basa
la Agencia para modular las sanciones económicas puesto que el Acuerdo de Inicio ni
motiva ni explica mínimamente la aplicación de los criterios de graduación de la
sanción, ni el hecho de desviarse de los mismos en la sanción propuesta, tratándose
de hechos muy semejantes. Alega que la propuesta de resolución no ha entrado a
valorar estos concretos ejemplos.

Tampoco cabe admitir estas afirmaciones. Para determinar la sanción a imponer en
cada caso, esta Agencia, tiene en cuenta los elementos establecidos en el artículo 83
del RGPD, así como los establecidos en el artículo 76.2 de la LOPDGDD, dichos
elementos, como es sabido, no solamente se refieren al tipo infractor, la condición de
gran empresa o el volumen de negocio, por lo que la afirmación de CPC de que otros
procedimientos en los que coinciden esos tres elementos y la sanción es menor,
realizada sin mayor precisión que justifique la supuesta discriminación de trato
respecto de otros interesados, no puede ser tenida en cuenta como una causa que
determine la anulabilidad de un procedimiento. No obstante, cabe añadir que tales
elementos son lo único que tienen estos procedimientos en común con el que ahora se
tramita, puesto que los demás elementos de graduación de la sanción que se han
considerado para determinar la sanción en el presente procedimiento y los contenidos
en las resoluciones a que CPC hace referencia no son equiparables, ni por la
naturaleza y gravedad de la infracción, ni por el número de afectados (solamente el
reclamante en los casos mencionados), por mencionar solamente alguno de los
agravantes tenidos en cuenta en el presente procedimiento y que no concurrían en los
supuestos a que CPC se refiere.

En lo que respecta a lo afirmado por CPC respecto al acuerdo de inicio del presente
procedimiento, cabe recordar que se enumeran en el propio acuerdo de inicio las
circunstancias que pudieran influir en la determinación de la sanción. En este sentido,
el acuerdo de inicio del procedimiento es conforme a lo establecido en el artículo
64.2.b de la LPACAP, según el cual el acuerdo de iniciación deberá contener al menos:
b) “los hechos que motivan la incoación del procedimiento, su posible calificación y las
sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.”
En este sentido se expresa también el artículo 68 de la LOPDGDD, según el cual
bastará con que el acuerdo de inicio del procedimiento concrete los hechos que
motivan la apertura, identifique la persona o entidad contra la que se dirige el
procedimiento, la infracción que hubiera podido cometer y su posible sanción. En el
presente supuesto el acuerdo de inicio va incluso más allá mencionando las posibles
circunstancias que pudieran influir en la determinación de la sanción, siempre sin
perjuicio de lo que resulte de la instrucción, razón por la que las mismas no se
desarrollan en el citado acuerdo, si bien se indican en aras de una mejor posibilidad de
defensa por parte de la entidad contra la que se dirige el procedimiento y, en su caso,
a que pueda hacer uso de lo previsto en el artículo 85 de la LPACAP, pagando
voluntariamente y obteniendo las reducciones de la sanción que fija dicho precepto.

5.En quinto lugar, se alega la indefensión producida a CPC al conculcar su presunción
de inocencia, que fundamenta de la siguiente manera “nos hallamos ante el inicio de
un procedimiento sancionador, precedido de un requerimiento de información previa
de 6 de febrero de 2020. Pues bien, antes de que expirara el plazo administrativo
preceptivo para dar respuesta a dicho requerimiento, en concreto, el día 3 de marzo,
en un acto de ISMS Fórum celebrado en Madrid, tal y como ya se ha descrito en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

102/133

detalle anteriormente, la Directora de la AEPD, máxima autoridad de la institución, y
persona competente para resolver el presente expediente , señaló públicamente sobre
la existencia de dos o tres procedimientos sancionadores de alto impacto que iban a
tener mucha repercusión mediática en relación con el sector financiero.”. Reitera en
otro párrafo, previa consideración de que de conformidad con los artículos 24.2, 103. 1
y 3 CE –y art. 6.1 del Convenio Europeo de Derechos Humanos-, cualquier actuación
de la Administración Pública debe obedecer a los principios de objetividad e
imparcialidad; “no obstante, en este caso, sin haber valorado todavía la respuesta al
requerimiento de información, puesto que esta fue presentada el 2 de junio de 2020
(casi tres meses después de las mencionadas declaraciones de la Directora ), la
persona que ha de resolver, y de quien, además, como autoridad máxima, dependen
jerárquicamente inspectores e instructores de la AEPD, lejos de guardar alguna
apariencia de justicia decidió (públicamente) que habría sanción, y ello sin tan solo
haber acordado la iniciación de procedimiento sancionador.”

A este respecto, debe señalarse en primer lugar que la afirmación de CPC de que
existía una decisión ya tomada antes de propia tramitación del procedimiento
sancionador carece del más mínimo apoyo fáctico. No cabe admitir tal interpretación,
las afirmaciones de la Directora realizadas en el marco de unas declaraciones sobre la
transcendencia de los procedimientos sancionadores en curso debido a la cuantía de
las multas, ni predeterminaba la decisión a tomar de dichos procedimientos ni mucho
menos podía referirse a una entidad como CPC, respecto de la cual no solo no se
había incoado un procedimiento sancionador, sino que ni siquiera había presentado
todavía la documentación que posteriormente justificó la apertura del presente
procedimiento.

Debe aquí recordarse que, en el ámbito administrativo sancionador, la imparcialidad
del órgano resolutorio está vinculada al derecho del interesado a un proceso con todas
las garantías. Se garantiza con los motivos de abstención o recusación y con la debida
separación entre las fases de instrucción y de resolución del procedimiento
sancionador, separación entre fases que se respeta escrupulosamente en todos los
procedimientos de esta naturaleza seguidos en la AEPD.

En aras de la seguridad jurídica, los motivos de abstención o recusación se han
regulado mediante una lista taxativa de circunstancias que responden a razones
objetivas, evitándose con ello que los interesados puedan apreciar causas de
abstención o recusación basadas en criterios propios o particulares. En nuestro
ordenamiento administrativo, la apariencia de parcialidad se estima por la
concurrencia, objetivamente justificada, de los motivos regulados en los artículos 23 y
24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público
(LRJSP):

“Artículo 23. Abstención.

1. Las autoridades y el personal al servicio de las Administraciones en quienes se den
algunas de las circunstancias señaladas en el apartado siguiente se abstendrán de
intervenir en el procedimiento y lo comunicarán a su superior inmediato, quien
resolverá lo procedente.

2. Son motivos de abstención los siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

103/133

a) Tener interés personal en el asunto de que se trate o en otro en cuya resolución
pudiera influir la de aquél; ser administrador de sociedad o entidad interesada, o tener
cuestión litigiosa pendiente con algún interesado.

b) Tener un vínculo matrimonial o situación de hecho asimilable y el parentesco de
consanguinidad dentro del cuarto grado o de afinidad dentro del segundo, con
cualquiera de los interesados, con los administradores de entidades o sociedades
interesadas y también con los asesores, representantes legales o mandatarios que
intervengan en el procedimiento, así como compartir despacho profesional o estar
asociado con éstos para el asesoramiento, la representación o el mandato.

c) Tener amistad íntima o enemistad manifiesta con alguna de las personas
mencionadas en el apartado anterior.

d) Haber intervenido como perito o como testigo en el procedimiento de que se trate.

e) Tener relación de servicio con persona natural o jurídica interesada directamente en
el asunto, o haberle prestado en los dos últimos años servicios profesionales de
cualquier tipo y en cualquier circunstancia o lugar.”

“Artículo 24. Recusación.

1. En los casos previstos en el artículo anterior, podrá promoverse recusación por los
interesados en cualquier momento de la tramitación del procedimiento.

2. La recusación se planteará por escrito en el que se expresará la causa o causas en
que se funda”.

Se trata, en definitiva, de que la persona que adopta la decisión no tenga ningún
interés personal en el asunto y no haya intervenido en el procedimiento como perito o
testigo, de modo que pueda resolver conforme al interés general, sin ningún tipo de
influencia ajena a ese interés que pueda llevarle a decidir en una forma determinada.
Por otra parte, de conformidad con la doctrina de nuestro Tribunal Constitucional, lo
que se reclama a los servidores públicos no es la imparcialidad personal y procesal
que se exige a los órganos judiciales, sino que actúen con objetividad y sometimiento
al derecho.

Así, en la STC 174/2005, de 4 de julio, se declara lo siguiente: “Al respecto se debe
recordar que si bien este Tribunal ha reiterado que, en principio, las exigencias
derivadas del derecho a un proceso con todas las garantías se aplican al
procedimiento administrativo sancionador, sin embargo, también se ha hecho especial
incidencia en que dicha aplicación debe realizarse con las modulaciones requeridas
en la medida necesaria para preservar los valores esenciales que se encuentran en la
base del art. 24.2 CE y la seguridad jurídica que garantiza el art. 9.3 CE, en tanto sean
compatibles con su propia naturaleza (por todas, STC 197/2004, de 15 de noviembre,
FJ 2). Más en concreto, y por lo que se refiere específicamente a la garantía de
imparcialidad, se ha señalado que es uno de los supuestos en que resulta necesario
modular su proyección en el procedimiento administrativo sancionador, toda vez que
dicha garantía “no puede predicarse de la Administración sancionadora en el mismo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

104/133

sentido que respecto de los órganos judiciales” (STC 2/2003, de 16 de enero, FJ 10),
pues, “sin perjuicio de la interdicción de toda arbitrariedad y de la posterior revisión
judicial de la sanción, la estricta imparcialidad e independencia de los órganos del
poder judicial no es, por esencia, predicable en la misma medida de un órgano
administrativo” (STC 14/1999, de 22 de febrero, FJ 4), concluyéndose de ello que la
independencia e imparcialidad del juzgador, como exigencia del derecho a un proceso
con todas las garantías, es una garantía característica del proceso judicial que no se
extiende sin más al procedimiento administrativo sancionador (STC 74/2004, de 22 de
abril, FJ 5)”.

Y la STC 14/1999, de 22 de febrero, señala lo siguiente: “Un erróneo entendimiento
del contenido de las exigencias constitucionales de imparcialidad judicial y su
pretendida traslación in totum a quien interviene en el procedimiento administrativo
sancionador en calidad de Instructor, lleva al recurrente a afirmar la lesión de su
derecho a un proceso con todas las garantías. (…) Cabe reiterar aquí de nuevo, como
hicimos en la STC 22/1990 (fundamento jurídico 4º), que "sin perjuicio de la
interdicción de toda arbitrariedad y de la posterior revisión judicial de la sanción, la
estricta imparcialidad e independencia de los órganos del poder judicial no es, por
esencia, predicable en la misma medida de un órgano administrativo". Lo que del
Instructor cabe reclamar, ex arts. 24 y 103 C.E., no es que actúe en la situación de
imparcialidad personal y procesal que constitucionalmente se exige a los órganos
judiciales cuando ejercen la jurisdicción, sino que actúe con objetividad, en el sentido
que a este concepto hemos dado en las SSTC 234/1991, 172/1996 y 73/1997, es
decir, desempeñando sus funciones en el procedimiento con desinterés personal. A
este fin se dirige la posibilidad de recusación establecida por el art. 39 de la Ley
Orgánica 12/1985, del Régimen Disciplinario de las Fuerzas Armadas (en adelante
L.O.R.D.F.A.) que reenvía al art. 53 de la Ley Procesal Militar, cuyo catálogo de
causas guarda, en este ámbito, evidente similitud, con el previsto en la Ley Orgánica
del Poder Judicial, aunque las enumeradas en uno y otro obedezcan, según lo
expuesto, a diverso fundamento. (…) Ninguna de las razones aducidas puede ser
atendida, no ya sólo porque, con carácter general, y según antes se expresó, no
puede trasladarse sin más al ámbito sancionador administrativo la doctrina
constitucional elaborada acerca de la imparcialidad de los órganos judiciales, sino
porque en el caso presente, y en atención a la configuración de las causas legales de
recusación, no cabe apreciar la concurrencia de ningún elemento que demandara el
apartamiento del Instructor por pérdida de la necesaria objetividad. No se observa en
el Instructor cuestionado, ni el interesado ha aportado dato justificado alguno al
respecto, la presencia de interés personal directo o indirecto en la resolución del
expediente sancionador (…)”.

A este respecto, debe tenerse en cuenta que, para declarar la nulidad de las
actuaciones por las razones alegadas, es preciso que se demuestre plenamente la
concurrencia de uno de aquellos motivos que hayan podido influir de manera efectiva
en la decisión adoptada mediante la resolución presente.

Se considera oportuno dejar constancia en este acto de la no concurrencia de ninguna
de las causas de abstención o recusación establecidas en los preceptos transcritos, lo
que permite concluir que no existe la falta de imparcialidad alegada. No tiene interés
personal en el objeto del procedimiento; ni vínculo, amistad o enemistad con el
interesado; ni ha intervenido como perito o testigo en el procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

105/133

En el presente supuesto, si bien CPC alega falta de imparcialidad del órgano
resolutorio, no ha planteado formalmente la recusación de la Directora de la AEPD,
reconociendo en sus alegaciones que “ya valoró en su momento que no concurrían
los supuestos de abstención del artículo 23.2 de la Ley 40/2015, y, en consecuencia,
no se planteó solicitar la recusación sugerida en la Propuesta de Resolución”.

Por otra parte, la presente resolución se adopta conforme a Derecho, según criterios
objetivos, y sin que el órgano resolutorio haya prejuzgado el asunto en cuestión
mediante actuaciones formales previas o mediante su intervención en fases anteriores
del procedimiento. Esta intervención no ha tenido lugar en forma alguna, más allá de la
adopción del acuerdo de apertura del procedimiento según establece la normativa
procesal aplicable.

Tampoco las declaraciones de la Directora de la AEPD a que hace referencia CPC, ni
ninguna otra circunstancia, han quebrado la imparcialidad del órgano instructor, que ha
dispuesto de todas las facultades que le atribuye la normativa en cuestión y plena
libertad para dictar su propuesta de resolución.

Por otra parte, la instrucción del procedimiento ha sido acorde a la normativa
procedimental, sin que pueda apreciarse ninguna irregularidad en la tramitación del
procedimiento, en el que, además, se han respetado todas las garantías del
interesado, incluida la presunción de inocencia.

La intervención de la Directora en el evento celebrado el 03/03/2020 está relacionada,
con la adopción de los acuerdos de apertura de los procedimientos a que se refiere
CPC en sus alegaciones, ambos del sector financiero. La referencia a estos acuerdos
como de amplio impacto para los sectores afectados y con relevancia mediática tiene
que ver con las novedades reguladas en el RGPD y, en particular, las relativas al
nuevo modelo de cumplimiento y de supervisión. En relación con este último, destacan
las importantes cuantías contempladas en el Reglamento con el fin de qué, cómo
pretende dicha norma, puedan tener carácter disuasorio.

6. En sexto lugar se afirma que existe una quiebra del principio de confianza legítima
en la actuación administrativa, que fundamenta en que a raíz de la denuncia a que
hace referencia el antecedente de hecho primero del acuerdo de inicio, la AEPD dio
traslado de la misma el 29 de noviembre de 2018 al Delegado de Protección de
Datos, y que con fecha 7 de febrero de 2019, acordó la inadmisión a trámite de la
reclamación presentada hecho que generó sobre CPC la legítima confianza de su
actuación conforme a la ley; meses después se inician actuaciones previas de
investigación, supuestamente en base a la Reclamación, dando como resultado el
Acuerdo de Inicio.

A este respecto, tal y como se expone en el antecedente de hecho primero, la
reclamación presentada constituye un hecho que da lugar a la actuación de
investigación de la inspección, no sobre el hecho concreto denunciado, sino sobre la
forma en que dicha entidad lleva a cabo el tratamiento de perfilado en sus tratamientos
basados en el consentimiento. La propia resolución de inadmisión pone de manifiesto
que la AEPD puede llevar a cabo otras actuaciones respecto de los tratamientos objeto
de denuncia. Consta así en dicha resolución que “Ello sin perjuicio de que la Agencia,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

106/133

aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo
posteriores actuaciones relativas al tratamiento de datos referido en la reclamación.”
Por otra parte, olvida CPC que la resolución de inadmisión puede ser recurrida por el
reclamante, como sucedió en el presente caso y ser estimado. A ello cabe añadir que
en ningún momento esta Agencia manifestó que los tratamientos llevados a cabo por
CPC fueran conformes a lo establecido en la normativa de protección de datos,
limitándose a aceptar inicialmente la alegación de que se trataba de un error puntual,
sin perjuicio de que la Directora de la AEPD, a la vista de la reclamación, ordenase
una investigación sobre la forma en que CPC llevaba a cabo los tratamientos de
perfilado cuando su base legitimadora es el consentimiento.

7. La última de las alegaciones hace referencia a una supuesta extensión artificial de
las actuaciones previas afirmando que “Las actuaciones previas de investigación
acordadas por la AEPD suplantaron la actividad instructora, habiendo sido
prolongadas hasta casi su caducidad.” Y que el “El Acuerdo de Inicio descansa,
prácticamente en su integridad, en elementos de cargo recogidos durante la fase de
actuaciones previas.”

Tal y como señala la propia sentencia del Tribunal Supremo de 6 de mayo de 2015
traída a colación por CPC “El artículo 69.2 prescribe, al regular los procedimientos
iniciados de oficio, que "con anterioridad al acuerdo de iniciación, podrá el órgano
competente abrir un período de información previa con el fin de conocer las
circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento". La
exigua regulación de dicho período pone de relieve que la finalidad legal se limita a
enmarcar una actividad administrativa de comprobación sin poner un plazo concreto
de duración y sin reglamentar o limitar las actuaciones que puede adoptar la
Administración en dicho período. En puridad, el único significado de declarar abierto
un período de información previa es enmarcar legalmente una actuación
administrativa que en todo caso podría realizar la Administración al amparo de sus
facultades de control o supervisión en el ámbito de que se trate. Esto es, la
Administración puede iniciar de oficio procedimientos de muy diversa naturaleza, entre
los que se encuentran los destinados a comprobar el cumplimiento de requisitos
-como en el caso de autos- o los sancionadores, y previamente a la iniciación de uno
de tales expedientes puede efectuar comprobaciones cuyo alcance dependerá de la
regulación material existente en dicho ámbito, esto es, de las obligaciones a las que
queda sometido el particular y de las concretas facultades de control que se atribuyan
a la Administración en dicha materia en orden a comprobar si existen indicios que
puedan llevar a la conveniencia de incoar un expediente formal de incumplimiento,
sancionador, o de otra naturaleza. Pues bien, si dicha actividad de comprobación
inicial es posible al amparo de las facultades de inspección o control que ostenta la
Administración en diversos ámbitos materiales, tanto más podrá hacerlo si
formalmente abre un período de información previa cuyo único significado sería, como
se ha indicado antes, encuadrar dicha actuación comprobadora en un marco legal
explícito.”

Cabe aquí señalar que en si bien el artículo 69.2 de la Ley 39/2015 a que se refiere la
sentencia, no fija un plazo concreto para tales actuaciones, el artículo 67.2.de la
LOPDGDD sí lo hace, fijándolo en 12 meses a contar desde la fecha del acuerdo por
el que se decida su iniciación; ninguna consecuencia tiene que la Administración haga
uso de todo el plazo disponible para realizar tales actuaciones siempre y cuando no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

107/133

supere el mismo, supuesto en que se produciría la caducidad de las actuaciones de
investigación.

En cuanto a que las actuaciones previas de investigación suplantaron la actividad
instructora no explica CPC qué trámite concreto realizado en el marco de las
actuaciones previas de investigación es en realidad un trámite administrativo que
debió celebrarse en el seno del procedimiento sancionador, ni qué trámite o trámites
concretos del procedimiento sancionador han sido suplantados por las actuaciones
previas, ni qué tramites del procedimiento han sido evitados a causa de las
actuaciones previas realizadas.

Al contrario, se llevaron a cabo actuaciones previas de investigación perfectamente
justificadas, con el propósito de lograr una mejor determinación de los hechos y
circunstancias (artículo 67 LOPDGDD), durante las cuales se recabó información
necesaria para la determinación de los hechos, sin realizar durante el transcurso de
las mismas trámite alguno propio del procedimiento sancionador, el cual se inició en
base a las evidencias obtenidas y con el único fin de aplicar las previsiones normativas
establecidas.

Durante la fase de investigación se cursó un requerimiento de información a CPC
solicitando un listado de los tratamientos de datos personales llevados a cabo en
desarrollo de su actividad comercial que impliquen la elaboración de perfiles,
aportando respecto de cada tratamiento la siguiente información: definición de la
lógica aplicada al perfilado y las consecuencias previstas de dicho tratamiento para el
interesado; descripción de la finalidad del tratamiento y base de legitimación en que se
sustenta; procedimiento seguido para cumplir con el deber de información al
interesado; medios utilizados para la recogida del consentimiento en caso de que la
actividad de tratamiento se ampare en el artículo 6.1.a del RGPD; categorías de
interesados y datos personales objeto de tratamiento; origen de los datos personales
objeto de tratamiento; en su caso listado de encargados que participen en la actividad
de tratamiento y copia de los contratos que rijan el encargo; descripción de las
medidas técnicas y organizativas de seguridad aplicadas en virtud del artículo 32 del
RGPD a la actividad de perfilado; en su caso copia de la evaluación de impacto de
protección de datos personales y el número de interesados cuyos datos personales
han sido tratados en el desarrollo de la actividad de perfilado por categoría (cliente,
potencial cliente) y año (2018 y 2019).

No puede decirse, a la vista de lo expuesto, que en este caso las actuaciones previas
no eran necesarias o que no se realizaron para reunir datos e indicios sobre los
hechos cometidos y sus responsables.

III

Las actuaciones reseñadas en los antecedentes de la presente resolución tienen como
objeto analizar el procedimiento de obtención del consentimiento en los
procedimientos de perfilado llevados a cabo por CaixaBank Payments & Consumer,
E.F.C., E.P., S.A (CPC) cuando aquél constituya la base jurídica que legitime dichos
tratamientos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

108/133

Por consiguiente, las conclusiones que pudieran derivarse del presente procedimiento
no supondrán ningún pronunciamiento sobre otros aspectos relativos a dicho
tratamiento, como la intervención de encargados del tratamiento, la adecuación de las
evaluaciones de impacto aportadas a lo establecido en el RGPD o las medidas de
seguridad establecidas respecto de dicho tratamiento, ni sobre otros tratamientos de
perfilado cuya base jurídica, según expone CPC, sea dar cumplimiento a
requerimientos regulatorios.

IV

El artículo 4.4 del RGPD define la “elaboración de perfiles” como “toda forma de
tratamiento automatizado de datos personales consistente en utilizar datos personales
para evaluar determinados aspectos personales de una persona física, en particular
para analizar o predecir aspectos relativos al rendimiento profesional, situación
económica, salud, preferencias personales, intereses, fiabilidad, comportamiento,
ubicación o movimientos de dicha persona física”

Como todo tratamiento de datos debe ajustarse a los principios establecidos en el
artículo 5 del RGPD. Dispone dicho artículo que “1. Los datos personales serán: a)
tratados de manera lícita, leal y transparente en relación con el interesado («licitud,
lealtad y transparencia»);

De conformidad con dispuesto en la letra a) de dicho precepto los datos personales
deben ser tratados de manera lícita. Se tiene en cuenta a este respecto lo señalado
en el considerando 40 del RGPD, según el cual: “Para que el tratamiento sea lícito, los
datos personales deben ser tratados con el consentimiento del interesado o sobre
alguna otra base legítima establecida conforme a Derecho, ya sea en el presente
Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que
se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal
aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el
que sea parte el interesado o con objeto de tomar medidas a instancia del interesado
con anterioridad a la conclusión de un contrato.”

Se tiene en cuenta lo señalado en las Directrices sobre decisiones individuales
automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679,
adoptadas por el Grupo de Trabajo sobre Protección de Datos del artículo 29 el 3 de
octubre de 2017, revisadas por última vez y adoptadas el 6 de febrero de 2018 y
aprobadas por el Comité Europeo de Protección de Datos en su primera reunión
plenaria, que al referirse al consentimiento como base jurídica del tratamiento
recuerda que “La elaboración de perfiles puede resultar opaca y, a menudo, se basa
en datos derivados o inferidos de otros datos, más que en información facilitada
directamente por el interesado. Los responsables del tratamiento que pretendan
basarse en el consentimiento como base para la elaboración de perfiles deberán
demostrar que los interesados entienden exactamente qué están consintiendo, y
deberán recordar que el consentimiento no es siempre una base adecuada para el
tratamiento. En todos los casos, los interesados deben contar con suficiente
información sobre el uso y las consecuencias previstos del tratamiento para garantizar
que cualquier consentimiento que den constituya una elección informada.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

109/133

El número 11 del artículo 4 del RGPD define el consentimiento como “Toda
manifestación de voluntad libre, específica, informada e inequívoca por la que el
interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen”

Por su parte, los artículos 6 y 7 del RGPD se refieren, respectivamente, a la “Licitud
del tratamiento” y las “Condiciones para el consentimiento”:

Artículo 6 del RGPD.
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas
a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al
tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más
precisa requisitos específicos de tratamiento y otras medidas que garanticen un
tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de
tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser
establecida por:

a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

110/133

relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener
disposiciones específicas para adaptar la aplicación de normas del presente
Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento
por parte del responsable; los tipos de datos objeto de tratamiento; los interesados
afectados; las entidades a las que se pueden comunicar datos personales y los fines
de tal comunicación; la limitación de la finalidad; los plazos de conservación de los
datos, así como las operaciones y los procedimientos del tratamiento, incluidas las
medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras
situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión
o de los Estados miembros cumplirá un objetivo de interés público y será proporcional
al fin legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;

b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;

c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas e infracciones penales, de conformidad con el artículo 10;

d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;

e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización”.

Artículo 7 del RGPD.

“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos
personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita
que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de
tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de
fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte
de la declaración que constituya infracción del presente Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

111/133

retirada del consentimiento no afectará a la licitud del tratamiento basada en el
consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado
será informado de ello. Será tan fácil retirar el consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la
mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato,
incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de
datos personales que no son necesarios para la ejecución de dicho contrato”.

Se tiene en cuenta lo expresado en los considerandos 32, 40 a 44 y 47 del RGPD en
relación con lo establecido en los artículos 6 y 7 antes reseñados. De lo expresado en
estos considerandos, cabe destacar lo siguiente:

(32) El consentimiento debe darse mediante un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada, e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernen, como una
declaración por escrito, inclusive por medios electrónicos, o una declaración verbal.
Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros
técnicos para la utilización de servicios de la sociedad de la información, o cualquier
otra declaración o conducta que indique claramente en este contexto que el interesado
acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las
casillas ya marcadas o la inacción no deben constituir consentimiento. El
consentimiento debe darse para todas las actividades de tratamiento realizadas con el
mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el
consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a
raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no
perturbar innecesariamente el uso del servicio para el que se presta.

(42) Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el
responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su
consentimiento a la operación de tratamiento. En particular en el contexto de una
declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el
interesado es consciente del hecho de que da su consentimiento y de la medida en
que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo, debe proporcionarse
un modelo de declaración de consentimiento elaborado previamente por el
responsable del tratamiento con una formulación inteligible y de fácil acceso que
emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que
el consentimiento sea informado, el interesado debe conocer como mínimo la
identidad del responsable del tratamiento y los fines del tratamiento a los cuales están
destinados los datos personales. El consentimiento no debe considerarse libremente
prestado cuando el interesado no goza de verdadera o libre elección o no puede
denegar o retirar su consentimiento sin sufrir perjuicio alguno.

(43) (…) Se presume que el consentimiento no se ha dado libremente cuando no
permita autorizar por separado las distintas operaciones de tratamiento de datos
personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un
contrato, incluida la prestación de un servicio, sea dependiente del consentimiento,
aun cuando este no sea necesario para dicho cumplimiento.

Procede tener en cuenta, igualmente lo establecido en el artículo 6 de la LOPDGDD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

112/133

“Artículo 6. Tratamiento basado en el consentimiento del afectado

1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679,
se entiende por consentimiento del afectado toda manifestación de voluntad libre,
específica, informada e inequívoca por la que este acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.

2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del
afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.

3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual”.

Se tiene en cuenta también lo señado por el Comité Europeo de Protección de Datos
en el documento ““Directrices 05/2020 sobre el consentimiento con arreglo al
Reglamento 2016/679” aprobadas el 4 de mayo de 2020, que actualiza las Directrices
sobre el consentimiento en virtud del Reglamento 2016/679, adoptadas por el Grupo
de Trabajo del artículo 29 y que fueron aprobadas por el Comité Europeo de
Protección de Datos en su primera reunión plenaria. De lo indicado en dicho
documento, interesa aquí destacar algunos de los criterios relacionados con la validez
del consentimiento, en concreto sobre los elementos “específico” e “informado”:

“3.2. Manifestación de voluntad específica

“El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para
el tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un
interesado puede elegir con respecto a cada uno de dichos fines. El requisito de que el
consentimiento deba ser «específico» tiene por objeto garantizar un nivel de control y
transparencia para el interesado. Este requisito no ha sido modificado por el RGPD y
sigue estando estrechamente vinculado con el requisito de consentimiento
«informado». Al mismo tiempo, debe interpretarse en línea con el requisito de
«disociación» para obtener el consentimiento «libre». En suma, para cumplir con el
carácter de «específico» el responsable del tratamiento debe aplicar:

i. la especificación del fin como garantía contra la desviación del uso,
ii. la disociación en las solicitudes de consentimiento, y
iii. una clara separación entre la información relacionada con la obtención del
consentimiento para las actividades de tratamiento de datos y la información
relativa a otras cuestiones.

Ad. i): De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la obtención
del consentimiento válido va siempre precedida de la determinación de un fin
específico, explícito y legítimo para la actividad de tratamiento prevista. La necesidad
del consentimiento específico en combinación con la noción de limitación de la
finalidad que figura en el artículo 5, apartado 1, letra b), funciona como garantía frente
a la ampliación o difuminación gradual de los fines para los que se realiza el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

113/133

tratamiento de los datos una vez que un interesado haya dado su autorización a la
recogida inicial de los datos. Este fenómeno, también conocido como desviación del
uso, supone un riesgo para los interesados ya que puede dar lugar a un uso
imprevisto de los datos personales por parte del responsable del tratamiento o de
terceras partes y a la pérdida de control por parte del interesado.

Si el responsable del tratamiento se basa en el artículo 6, apartado 1, letra a), los
interesados deberán siempre dar su consentimiento para un fin específico para el
tratamiento de los datos. En consonancia con el concepto de limitación de la finalidad,
con el artículo 5, apartado 1, letra b), y con el considerando 32, el consentimiento
puede abarcar distintas operaciones, siempre que dichas operaciones tengan un
mismo fin. Huelga decir que el consentimiento específico solo puede obtenerse
cuando se informa expresamente a los interesados sobre los fines previstos para el
uso de los datos que les conciernen.

Sin perjuicio de las disposiciones sobre la compatibilidad de los fines, el
consentimiento debe ser específico para cada fin. Los interesados darán su
consentimiento entendiendo que tienen control sobre sus datos y que estos solo serán
tratados para dichos fines específicos. Si un responsable trata datos basándose en el
consentimiento y, además, desea tratar dichos datos para otro fin, deberá obtener el
consentimiento para ese otro fin, a menos que exista otra base jurídica que refleje
mejor la situación.
(…)
Ad. ii) Los mecanismos de consentimiento no solo deben estar separados con el fin
de cumplir el requisito de consentimiento «libre», sino que también deben cumplir con
el de consentimiento «específico». Esto significa que un responsable del tratamiento
que busque el consentimiento para varios fines distintos debe facilitar la posibilidad de
optar por cada fin, de manera que los usuarios puedan dar consentimiento específico
para fines específicos.

Ad. iii) Finalmente, los responsables del tratamiento deben facilitar, con cada solicitud
de consentimiento separada, información específica sobre los datos que se tratarán
para cada fin, con el objeto de que los interesados conozcan la repercusión de las
diferentes opciones que tienen. De este modo, se permite a los interesados dar un
consentimiento específico. Esta cuestión se solapa con el requisito de que los
responsables faciliten información clara, tal y como se ha expuesto anteriormente en
la sección 3.3”.

3.3 Manifestación de voluntad informada.

“El RGPD refuerza el requisito de que el consentimiento debe ser informado. De
conformidad con el artículo 5 del RGPD, el requisito de transparencia es uno de los
principios fundamentales, estrechamente relacionado con los principios de lealtad y
licitud. Facilitar información a los interesados antes de obtener su consentimiento es
esencial para que puedan tomar decisiones informadas, comprender qué es lo que
están autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el
responsable no proporciona información accesible, el control del usuario será ilusorio y
el consentimiento no constituirá una base válida para el tratamiento de los datos.

Si no se cumplen los requisitos relativos al consentimiento informado, el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

114/133

consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6
de RGPD.

3.3.1 Requisitos mínimos de contenido para que el consentimiento sea «informado»
Para que el consentimiento sea informado es necesario comunicar al interesado
ciertos elementos que son cruciales para poder elegir. Por tanto, el CEPD opina que
se requiere, al menos, la información siguiente para obtener el consentimiento válido:
i. la identidad del responsable del tratamiento,
ii. el fin de cada una de las operaciones de tratamiento para las que se
solicita el consentimiento,
iii. qué (tipo de) datos van a recogerse y utilizarse,
iv. la existencia del derecho a retirar el consentimiento,
v. información sobre el uso de los datos para decisiones automatizadas
de conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente,
e
vi. información sobre los posibles riesgos de transferencia de datos
debido a la ausencia de una decisión de adecuación y de garantías
adecuadas, tal y como se describen en el artículo 46.”

1. En el presente supuesto CPC solicita el consentimiento en los diversos canales de
prescriptores y agentes para finalidades de estudio y perfilado. Así el consentimiento
se solicita en los siguientes términos: “Autorizo al Grupo CaixaBank a utilizar mis datos
para finalidades de estudio y perfilado”. Respecto a la información sobre las
finalidades de dicho tratamiento, la documentación aportada es la contenida en las
impresiones de pantalla remitidas y el documento aportado como anexo 12
denominado “CONDICIONES GENERALES DE LA SOLICITUD-CONTRATO DE
CRÉDITO” cuyo contenido en este punto ya se ha transcrito en los hechos probados
de la presente resolución del procedimiento sancionador, y que, según se expone, se
facilita al interesado en el marco de la contratación de un producto.

Según lo expresado en dicho documento, el detalle de los usos de los datos que se
realizará conforme a sus autorizaciones es el siguiente:

(i) “Detalle de los tratamientos de análisis, estudio y seguimiento para la oferta y
diseño de productos y servicios ajustados al perfil de cliente. Otorgando su
consentimiento a las finalidades aquí detalladas, Usted nos autoriza a:

a) Realizar de manera proactiva análisis de riesgos y aplicar sobre sus datos técnicas
estadísticas y de segmentación de clientes, con una triple finalidad:

1) Estudiar productos o servicios que puedan ser ajustados a su perfil y
situación comercial o crediticia concreta, todo ello para efectuarle ofertas
comerciales ajustadas a sus necesidades y preferencias,

2) Realizar el seguimiento de los productos y servicios contratados,

3) Ajustar medidas recuperatorias sobre los impagos e incidencias derivadas de
los productos y servicios contratados.

b) Asociar sus datos con los de otros clientes o sociedades con las que tenga algún
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

115/133

tipo de vínculo, tanto familiar o social, como por su relación de propiedad como de
administración, al efecto de analizar posibles interdependencias económicas en el
estudio de ofertas de servicios, solicitudes de riesgo y contratación de productos.

c) Realizar estudios y controles automáticos de fraude, impagos e incidencias
derivadas de los productos y servicios contratados.

d) Realizar encuestas de satisfacción por canal telefónico o por vía electrónica con el
objetivo de valorar los servicios recibidos.

e) Diseñar nuevos productos o servicios, o mejorar el diseño y usabilidad de los
existentes, así como definir o mejorar las experiencias de los usuarios en su relación
con CaixaBank Payments& Consumer y las empresas del Grupo CaixaBank.”

A juicio de esta Agencia la información contenida en el documento CONDICIONES
GENERALES DE LA SOLICITUD-CONTRATO DE CRÉDITO, arriba transcrita no
aporta al interesado suficiente información como para que este pueda conocer el
alcance de los tratamientos de perfilado que se llevan a cabo.

A este respecto debe recordarse que las Directrices sobre decisiones individuales
automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/67, al
analizar las bases jurídicas pertinentes para la elaboración de perfiles señala lo
siguiente respecto de lo previsto en el Artículo 6, apartado 1, letra a) – Consentimiento
“Los responsables del tratamiento que pretendan basarse en el consentimiento como
base para la elaboración de perfiles deberán demostrar que los interesados entienden
exactamente qué están consintiendo, y deberán recordar que el consentimiento no es
siempre una base adecuada para el tratamiento . En todos los casos, los interesados
deben contar con suficiente información sobre el uso y las consecuencias previstos del
tratamiento para garantizar que cualquier consentimiento que den constituya una
elección informada.”

También el mismo documento al hacer referencia a los derechos de los interesados,
menciona en primer término:
“1. Artículos 13 y 14 – Derecho a ser informado
Teniendo en cuenta el principio básico de transparencia que sustenta el RGPD, los
responsables del tratamiento deben garantizar que explican a las personas de forma
clara y sencilla el funcionamiento de la elaboración de perfiles o las decisiones
automatizadas.”

Sin embargo, en el presente caso, se facilita al interesado solamente una información
genérica sobre los diferentes tratamientos de perfilado. Así el primero de ellos hace
referencia al “estudio de productos o servicios que puedan ser ajustados a su perfil y
situación comercial concreta, para efectuarle ofertas comerciales ajustadas a sus
necesidades y preferencias”. Con esta información el interesado no puede conocer
exactamente en que consiste el tratamiento que está consintiendo. De tal información
no puede deducirse que los productos a ofertar sean exclusivamente los de CPC,
como dicha entidad alega, por lo que podría incluir ofertas de otras entidades del
grupo o de otro tipo de productos o servicios no relacionados con la actividad de dicha
entidad. Tampoco de tal información se desprende que la oferta de productos y
servicios pueda llegar a incluir la asignación de límites de crédito “preconcedidos”, tal y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

116/133

como consta en la información aportada por CPC a la AEPD con motivo del
requerimiento de información efectuado por la Inspección. Tampoco, como se analiza
más adelante, se le informa adecuadamente de los datos que se van a utilizar para
llevar a cabo el tratamiento de perfilado. Con la información aportada, el interesado no
puede saber el alcance del tratamiento que está consintiendo o el nivel de detalle del
perfil a elaborar ni la exhaustividad del mismo. Las mismas carencias en la información
que se proporciona al interesado se observan en otros tratamientos de perfilado
enumerados en la información arriba transcrita que se facilita en dicho documento.

Alega CPC que el Grupo CaixaBank proactivamente ha verificado esa comprensión
mediante estudios que han involucrado a clientes, sin embargo no lo acredita.

En segundo lugar, tal como aparece configurado el mecanismo para la prestación del
consentimiento, no se ha previsto que el interesado exprese su opción sobre todos los
fines para los que se tratan los datos, Se habla en el apartado (i) de tratamientos para
“la oferta y diseño de productos y servicios ajustados al perfil de cliente”, supuesto que
en sí mismo comprende ya tres diferentes fines:

1. Estudiar productos o servicios que puedan ser ajustados a su perfil y situación
comercial o crediticia concreta, todo ello para efectuarle ofertas comerciales ajustadas
a sus necesidades y preferencias,

2) Realizar el seguimiento de los productos y servicios contratados,

3) Ajustar medidas recuperatorias sobre los impagos e incidencias derivadas de los
productos y servicios contratados.

A ello se añaden otras finalidades como “analizar posibles interdependencias
económicas en solicitudes de riesgo y contratación de productos”, “valorar los servicios
recibidos” o “diseñar nuevos productos o servicios, o mejorar el diseño y usabilidad de
los existentes, así como definir o mejorar las experiencias de los usuarios en su
relación con CaixaBank Payments& Consumer y las empresas del Grupo CaixaBank”.
La enumeración de los tratamientos que la citada entidad realiza, en realidad supone
una ampliación de los fines, que en algunos casos ni siquiera se identifican, por lo que
el consentimiento prestado no puede considerarse específico al no haberse disociado
suficientemente las solicitudes de consentimiento.

Se alega por CPC, que esa confusión se debe a un error leve en la cláusula
informativa, de listar operaciones de tratamiento que no se realizan en base al
consentimiento obtenido para el perfilado; señala que esta incidencia, tras ser
detectada, ha sido subsanada por el Grupo CaixaBank y, por tanto, también por CPC,
mediante la elaboración de una nueva Política de Privacidad en la que se detallan
correctamente y de forma precisa los tratamientos realizados para el análisis y estudio
con finalidad comercial.

Sin embargo, dicha política de privacidad, con independencia de que ésta sea
ajustada o no a lo previsto en la normativa de protección de datos, sobre lo que esta
Agencia no se pronuncia en el presente procedimiento, se encuentra vigente desde
el 18 de enero de 2021 sin que se hayan modificado otros documentos de información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

117/133

al interesado, como informa CPC en su contestación al requerimiento de información
de esta Agencia durante el periodo de prueba, en particular las CONDICIONES
GENERALES DE LA SOLICITUD-CONTRATO DE CRÉDITO, a que antes se ha hecho
referencia y que constituyen el mecanismo para facilitar información a los interesados.

2. En los diversos documentos en que se solicita el consentimiento, este se solicita
para “el grupo CaixaBank”, lo que constituye una comunicación de datos a las
empresas del grupo, comunicación que constituye una finalidad específica en sí misma
considerada, que requiere una manifestación de voluntad del interesado por la que
éste consienta que puede llevarse a cabo.

Se alega por CPC que no se produce comunicación de datos alguna puesto que existe
un régimen de corresponsabilidad entre las sociedades del Grupo CaixaBank, por
existir un acuerdo de determinación conjunta de los objetivos y los medios del
tratamiento objeto del presente procedimiento, tal y como dispone el artículo 26 del
RGPD. Se alega asimismo, que tal corresponsabilidad obedece también a
necesidades regulatorias. Cita en este sentido los artículos 29.1 de la Ley 2/2011, de 4
de marzo, de Economía Sostenible. y 14 de la Ley 16/2011, de 24 de junio, de
contratos de crédito al consumo.

A este respecto cabe recordar que las Directrices 7/2020 sobre responsable y
encargado del tratamiento en el RGPD, adoptadas el 7 de julio de 2021, señalan que
el artículo 26 del RGPD, que refleja la definición del párrafo 7 del artículo 4 del RGPD,
dispone que “Cuando dos o más responsables determinen conjuntamente los
objetivos y los medios de tratamiento, serán corresponsables del tratamiento” .En
términos generales, existe corresponsabilidad con respecto a una actividad de
tratamiento específica cuando diferentes partes determinan conjuntamente el
propósito y los medios de esta actividad de tratamiento. Por lo tanto, evaluar la
existencia de corresponsables requiere examinar si la determinación de los fines y
medios que caracterizan a un responsable es decidida por más de una parte. «Junto»
debe interpretarse en el sentido de «junto con» o «no solo», en diferentes formas y
combinaciones, como se explica a continuación.

La evaluación de la corresponsabilidad debe llevarse a cabo sobre la base de un
análisis fáctico, más que formal, de la influencia real sobre los fines y medios del
tratamiento. Todas las disposiciones existentes o previstas deben verificarse teniendo
en cuenta las circunstancias de hecho relativas a la relación entre las partes. Un
criterio meramente formal no sería suficiente por al menos dos razones: En algunos
casos, el nombramiento formal de un corresponsable, por ejemplo, previsto por la ley
o en un contrato, estaría ausente; En otros casos, puede ser que el nombramiento
formal no refleje la realidad de los arreglos, al confiar formalmente el papel de
responsable a una entidad que realmente no está en condiciones de «determinar» los
propósitos y medios del tratamiento.

No todos los tratamientos en los que participan varias entidades dan lugar a
corresponsabilidad. El criterio general para que exista corresponsabilidad es la
participación conjunta de dos o más entidades en la determinación de los fines y
medios de un tratamiento. Más concretamente, la corresponsabilidad debe incluir la
determinación de los objetivos, por una parte, y la determinación de los medios, por
otra. Si cada uno de estos elementos es determinado por todas las entidades
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

118/133

interesadas, deben considerarse corresponsables del tratamiento en cuestión.”

En el presente supuesto, el acuerdo de corresponsabilidad aportado carece de fecha y
firma y, en consecuencia, de validez alguna. En este sentido el propio acuerdo, en su
número 6 relativo a su duración señala que “El presente Acuerdo entrará en vigor en la
fecha de su firma”. En este sentido señalan las aludidas Directrices 7/2020 que “El
RGPD no especifica la forma jurídica del acuerdo entre controladores conjuntos. En
aras de la seguridad jurídica, y con el fin de garantizar la transparencia y la rendición
de cuentas, el Comité Europeo de Protección de Datos recomienda que dicho acuerdo
se haga en forma de documento vinculante, como un contrato u otro acto jurídico
vinculante de conformidad con la legislación de la UE o de los Estados miembros al
que estén sometidos los controladores.” Debe además añadirse que no cabe excusar
la ausencia de firma del acuerdo en la supuesta espera a que la Agencia hiciese un
pronunciamiento sobre las medidas a adoptar en el marco de otro procedimiento
sancionador contra otra entidad (CaixaBank) por si debía modificarse el mismo, como
señalaba en las alegaciones al acuerdo de inicio o, como señala ahora en las
alegaciones a la propuesta de resolución, que se haga depender dicha firma de que se
resuelva en vía jurisdiccional el mismo procedimiento sancionador contra CaixaBank.

Tampoco se aporta ningún elemento fáctico que permita considerar que se determinan
conjuntamente por todas las empresas del grupo los fines y los medios del tratamiento
concreto a que hace referencia el presente procedimiento, esto es, las operaciones de
perfilado para la oferta a los clientes de CPC de determinados productos, los que
forman parte de su actividad comercial, tal y como señala dicha entidad en la
información aportada.

Tampoco resulta admisible que tal corresponsabilidad obedezca a razones
regulatorias. El artículo 29 1, de la Ley 2/2011, de 4 de marzo, de Economía
Sostenible, dispone que “Las entidades de crédito, antes de que se celebre el contrato
de crédito o préstamo, deberán evaluar la solvencia del potencial prestatario, sobre la
base de una información suficiente. A tal efecto, dicha información podrá incluir la
facilitada por el solicitante, así como la resultante de la consulta de ficheros
automatizados de datos, de acuerdo con la legislación vigente, especialmente en
materia de protección de datos de carácter personal.” El artículo 14 de la Ley 16/2011,
de 24 de junio, de contratos de crédito al consumo Establece que “1. El prestamista,
antes de que se celebre el contrato de crédito, deberá evaluar la solvencia del
consumidor, sobre la base de una información suficiente obtenida por los medios
adecuados a tal fin, entre ellos, la información facilitada por el consumidor, a solicitud
del prestamista o intermediario en la concesión de crédito. Con igual finalidad, podrá
consultar los ficheros de solvencia patrimonial y crédito, a los que se refiere el artículo
29 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de
Carácter Personal, en los términos y con los requisitos y garantías previstos en dicha
Ley Orgánica y su normativa de desarrollo.
En el caso de las entidades de crédito, para la evaluación de la solvencia del
consumidor se tendrán en cuenta, además, las normas específicas sobre gestión de
riesgos y control interno que les son aplicables según su legislación específica.”

Del tenor literal de ambos preceptos resulta evidente que tales obligaciones se refieren
al momento en que se celebra un contrato de crédito o préstamo, no a la actividad
comercial por la que una entidad ofrece tales créditos o préstamos a sus clientes,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

119/133

productos que éstos, además, no han solicitado. Ni mucho menos puede aceptarse
que tales obligaciones regulatorias justifiquen una comunicación de datos a todas las
empresas del grupo, desde el momento en que se consiente por el interesado tal
tratamiento de perfilado con independencia de que luego se lleve a cabo o no.

Por otra parte, como se ha señalado ya anteriormente, esta Agencia no ha invertido la
carga de la prueba como alega CPC, es dicha entidad la que ha alegado la existencia
de corresponsabilidad en el tratamiento correspondiéndole a dicha entidad acreditarla,
no basta la mera alegación de su existencia y la presentación de un documento
carente de validez para probar que existe corresponsabilidad. Esta Agencia ha
aclarado suficientemente las razones por las que considera que no existe
corresponsabilidad en los párrafos anteriores, por lo que no se trata de una mera
opinión en contrario no fundamentada.

3. Entre los elementos cruciales para que el consentimiento sea válido, las aludidas
Directrices sobre el consentimiento con arreglo al Reglamento 2016/679 hacen
referencia a la información al interesado sobre qué tipos de datos van a recogerse y
utilizarse.

En la información que CPC ha aportado a esta Agencia, en concreto en las
CONDICIONES GENERALES DE LA SOLICITUD-CONTRATO DE CRÉDITO, se
indica que los datos personales objeto de tratamiento son los siguientes:

“Los datos que se tratarán con las finalidades de (i) análisis y estudio de datos, y (ii)
para la oferta comercial de productos y servicios serán:

a) Todos los facilitados en el establecimiento o mantenimiento de relaciones
comerciales o de negocio.

b) Todos los que se generen en la contratación y operativas de productos y servicios
con CaixaBank Payments & Consumer, con las empresas del Grupo CaixaBank o con
terceros, tales como, movimientos de cuentas o tarjetas, detalles de recibos
domiciliados, domiciliaciones de nóminas, siniestros derivados de pólizas de seguro,
reclamaciones, etc.

c) Todos los que CaixaBank Payments & Consumer o las empresas del Grupo
CaixaBank obtengan de la prestación de servicios a terceros, cuando el servicio tenga
como destinatario al Titular, tales como la gestión de trasferencias o recibos.

d) Su condición o no de accionista de CaixaBank según conste en los registros de
esta, o de las entidades que de acuerdo con la normativa reguladora del mercado de
valores hayan de llevar los registros de los valores representados por medio de
anotaciones en cuenta.

e) Los obtenidos de las redes sociales que el Titular autorice a consultar.

f) Los obtenidos de terceras entidades como resultado de solicitudes de agregación de
datos solicitadas por el Titular.

g) Los obtenidos de las navegaciones del Titular por el servicio de la web de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

120/133

CaixaBank Payments & Consumer y otras webs esta y/o de las empresas del Grupo
CaixaBank o aplicación de telefonía móvil de CaixaBank Payments& Consumer y/o de
las empresas del Grupo CaixaBank, en las que opere debidamente identificado. Estos
datos pueden incluir información relativa a geolocalización.

h) Los obtenidos de chats, muros, videoconferencias o cualquier otro medio de
comunicación establecida entre las partes. Los datos del Titular podrán ser
complementados y enriquecidos por datos obtenidos de empresas proveedoras de
información comercial, por datos obtenidos de fuentes públicas, así como por datos
estadísticos, socioeconómicos (en adelante, “Información Adicional”) siempre
verificando que estos cumplen con los requisitos establecidos en las normas vigentes
sobre protección de datos.”

De dicha información se desprende que el interesado no puede conocer los datos que
se van a tratar para el perfilado, la información que se le aporta contempla datos que,
de acuerdo con la información facilitada sobre los datos a utilizar para el tratamiento
de perfilado y su origen, no van a ser objeto de dicho tratamiento y, sin embargo, no
se le informa del tratamiento de otros datos que si serán objeto del mismo como la
consulta a ficheros de solvencia y a la Central de Información de Riesgos del Banco de
España o el denominado Risk score.

No pueden compartirse las alegaciones de CPC cuando afirma que se cumple
adecuadamente con el deber de informar a los interesados en relación con los datos
que se tratan para el perfilado, señalando, en primer lugar, que las categorías de datos
objeto de tratamiento no se encuentran entre la información mínima descrita en el
artículo 13 del RGPD para que el consentimiento sea informado.

A este respecto, debe aquí reiterarse lo señalado por el Comité Europeo de Protección
de Datos en el documento ““Directrices 05/2020 sobre el consentimiento con arreglo al
Reglamento 2016/679”, al que anteriormente se ha hecho referencia, en particular no
cabe sino reproducir de nuevo lo señalado en el punto Ad. iii) según el cual
“Finalmente, los responsables del tratamiento deben facilitar, con cada solicitud de
consentimiento separada, información específica sobre los datos que se tratarán para
cada fin, con el objeto de que los interesados conozcan la repercusión de las
diferentes opciones que tienen. De este modo, se permite a los interesados dar un
consentimiento específico. Esta cuestión se solapa con el requisito de que los
responsables faciliten información clara, tal y como se ha expuesto anteriormente en
la sección 3.3”. El citado punto 3.3, que igualmente se encuentra arriba transcrito
señala que “el requisito de transparencia es uno de los principios fundamentales,
estrechamente relacionado con los principios de lealtad y licitud. Facilitar información
a los interesados antes de obtener su consentimiento es esencial para que puedan
tomar decisiones informadas, comprender qué es lo que están autorizando y, por
ejemplo, ejercer su derecho a retirar su consentimiento”, en su punto 3.1.1. enumera
los requisitos mínimos de contenido para que el consentimiento sea «informado»,
siendo uno de ellos el relativo a “qué (tipo de) datos van a recogerse y utilizarse”.

Tampoco puede admitirse la alegación de que la información proporcionada sí permite
a los interesados conocer los datos que se van a tratar para el perfilado, ya que el
fragmento transcrito por la AEPD se corresponde con el punto 26.4. (ii) del
condicionado general, pero no se ha tenido en cuenta el resto del condicionado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

121/133

Señala que en el apartado 26.3 del condicionado general (previo al 26.4.ii transcrito en
el Acuerdo de Inicio) se concreta con mayor detalle qué datos se tratarán para el
establecimiento o mantenimiento de relaciones comerciales.

Señala CPC que el punto 26.3 informa de que “CaixaBank Payments & Consumer y,
en su caso las empresas del Grupo CaixaBank, está obligada por diferentes
normativas y acuerdos a realizar determinados tratamientos de datos de las personas
con las que mantiene Relaciones Comerciales, según se indica en los apartados
siguientes de esta cláusula (en adelante, “Tratamientos con Finalidades
Regulatorias”). Estos tratamientos son necesarios para el establecimiento y
mantenimiento de las Relaciones Comerciales con CaixaBank Payments & Consumer
y/o con las empresas del Grupo CaixaBank, y la oposición del Titular a los mismos
conllevaría necesariamente el cese (o no establecimiento, en su caso) de estas
relaciones. En todo caso, los Tratamientos con Finalidades Regulatorias se limitarán
exclusivamente a la finalidad expresada, sin perjuicio de otras finalidades o usos que
el Titular autorice según lo dispuesto en la cláusula 26.4. del presente documento.”

Añade CPC que el punto 26.3.3 informa acerca de la consulta a ficheros de
información crediticia (entre los que se encuentran los necesarios para obtener el “Risk
Score”, como se expondrá más adelante) y el punto 26.3.4. informa acerca de la
consulta a la Central de Información de Riesgos del Banco de España, transcribiendo
ambos:

“26.3.3 Comunicación con sistemas de información crediticia.
Se informa al Titular que CaixaBank Payments & Consumer, en el estudio del
establecimiento de Relaciones Comerciales, podrá consultar información obrante en
sistemas de información crediticia. Asimismo, en caso de impago de cualquiera de las
obligaciones derivadas de las Relaciones Comerciales, los datos relativos al impago
podrán ser comunicados a estos sistemas.

26.3.4. Comunicación de datos a la Central de Información de Riesgos del Banco de
España

Se informa al Titular del derecho que asiste a CaixaBank Payments & Consumer para
obtener de la Central de Información de Riesgos del Banco de España (CIR) informes
sobre los riesgos que pudiera tener registrados en el estudio del establecimiento de
Relaciones Comerciales. […]”

A este respecto, debe indicarse que el primero de los fragmentos mencionados por
CPC en sus alegaciones, esto es el punto 26.3 de las condiciones generales se refiere
tal y como el mismo menciona en su título a los tratamientos de datos de carácter
personal con finalidades regulatorias, siendo claro también en su contenido que se
refiere a las mismas y no a las finalidades comerciales, para las cuales la información
se ofrece en el número 26.4. De la misma manera los puntos 26.3.3 y relativo a la
comunicación con sistemas de información crediticia, y 26.3.4, referido a la
comunicación a la central de Información de Riesgos del Banco de España, se
incluyen dentro del apartado general relativo a los tratamientos con finalidades
regulatorias, sin que en ellos se haga referencia alguna a que tales datos pueden ser
objeto de tratamiento en el marco de los tratamientos con finalidades comerciales
basados en el consentimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

122/133

El punto 26.4 se titula precisamente “Tratamiento y cesión de datos con finalidades
comerciales por Caixabank y las empresas del Grupo Caixabank basados en el
consentimiento”, y a partir de dicho punto se concreta la información relativa a tales
tratamientos. Así en el punto ii del aludido punto 26.4 se indica expresamente “Los
datos que se tratarán con las finalidades de (i) análisis y estudio de datos, y (ii) para la
oferta comercial de productos y servicios serán:

a) Todos los facilitados en el establecimiento o mantenimiento de relaciones
comerciales o de negocio.

b) Todos los que se generen en la contratación y operativas de productos y servicios
con CaixaBank Payments & Consumer, con las empresas del Grupo CaixaBank o con
terceros, tales como, movimientos de cuentas o tarjetas, detalles de recibos
domiciliados, domiciliaciones de nóminas, siniestros derivados de pólizas de seguro,
reclamaciones, etc.

c) Todos los que CaixaBank Payments & Consumer o las empresas del Grupo
CaixaBank obtengan de la prestación de servicios a terceros, cuando el servicio tenga
como destinatario al Titular, tales como la gestión de trasferencias o recibos.

d) Su condición o no de accionista de CaixaBank según conste en los registros de
esta, o de las entidades que de acuerdo con la normativa reguladora del mercado de
valores hayan de llevar los registros de los valores representados por medio de
anotaciones en cuenta.

e) Los obtenidos de las redes sociales que el Titular autorice a consultar.

f) Los obtenidos de terceras entidades como resultado de solicitudes de agregación de
datos solicitadas por el Titular.

g) Los obtenidos de las navegaciones del Titular por el servicio de la web de
CaixaBank Payments & Consumer y otras webs esta y/o de las empresas del Grupo
CaixaBank o aplicación de telefonía móvil de CaixaBank Payments& Consumer y/o de
las empresas del Grupo CaixaBank, en las que opere debidamente identificado. Estos
datos pueden incluir información relativa a geolocalización.

h) Los obtenidos de chats, muros, videoconferencias o cualquier otro medio de
comunicación establecida entre las partes. Los datos del Titular podrán ser
complementados y enriquecidos por datos obtenidos de empresas proveedoras de
información comercial, por datos obtenidos de fuentes públicas, así como por datos
estadísticos, socioeconómicos (en adelante, “Información Adicional”) siempre
verificando que estos cumplen con los requisitos establecidos en las normas vigentes
sobre protección de datos.”

Por consiguiente las alegaciones de CPC en ningún modo pueden aceptarse, no se
informa adecuadamente sobre los datos que pueden ser objeto de tratamiento en el
marco de las actividades comerciales basadas en el consentimiento, la información
aportada por el responsable enumera expresamente los supuestos datos que pueden
ser utilizados para dicho tratamiento con fines comerciales basados en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

123/133

consentimiento, sin hacer referencia alguna a datos tan relevantes como la consulta a
ficheros de solvencia y el tratamiento denominado risk score. La información debe
facilitarse tal y como señala el artículo 12 del RGPD en forma concisa, transparente,
inteligible y de fácil acceso. Resulta inadmisible que el interesado deba interpretar la
información que se le facilita, para conocer qué datos se van a tratar para una
operación basada en su consentimiento acudiendo a la información relativa a otros
tipos de tratamientos cuya base no es el consentimiento.

Señalan las alegaciones que la base legitimadora para el tratamiento de estos dos
datos, la consulta a ficheros de solvencia y el risk score, se encuentra en el
consentimiento del interesado. Afirma CPC que el hecho de que ciertos tratamientos
se realicen en base al consentimiento del interesado no excluye que deba cumplir las
obligaciones legales establecidas en la Normativa Prudencial y de Solvencia y de
Préstamo Responsable dado que los productos comercializados son cuentas de
crédito y préstamos. Por lo tanto, aun cuando el tratamiento se realiza en base al
consentimiento del interesado, CPC debe cumplir las obligaciones legales establecidas
en la Normativa Prudencial y de Solvencia y de Préstamo Responsable; por lo que, al
realizar una oferta personalizada a un interesado, CPC deberá valorar su capacidad
de devolución y solvencia, consultando para ello los datos contenidos en sistemas de
información crediticia.

No resulta admisible tal alegación, la oferta de tales productos constituye una actividad
exclusivamente comercial, sin que el artículo 20 de la LOPDGDD, relativo a los
sistemas de información crediticia, habilite la consulta a tales sistemas sin el
consentimiento del interesado más que en el supuesto contenido en la letra e) de su
número primero, según el cual los datos referidos a un deudor determinado solamente
pueden ser consultados cuando “quien consulte el sistema mantuviese una relación
contractual con el afectado que implique el abono de una cuantía pecuniaria o este le
hubiera solicitado la celebración de un contrato que suponga financiación, pago
aplazado o facturación periódica, como sucede, entre otros supuestos, en los
previstos en la legislación de contratos de crédito al consumo y de contratos de crédito
inmobiliario.” No se trata aquí de una solicitud de tales servicios, sino de una oferta
que CPC hace de los mismos, sin que previamente lo haya solicitado el interesado.
Por consiguiente, la ausencia de consentimiento del interesado para el acceso a los
sistemas de información crediticia determina un tratamiento ilegítimo. Y en este sentido
debe recordarse que el consentimiento debe ser informado, de modo que sin la debida
información, entre la que se encuentra la de conocer los datos que se van a tratar, el
consentimiento deviene invalido.

En lo que respecta al dato denominado “risk score”, de la información aportada parece
desprenderse que se trata de otra operación de perfilado de datos, efectuado por un
encargado del tratamiento, (…). Esta Agencia considera que no se informa al
interesado sobre esta nueva operación de perfilado, ni sobre la base jurídica que
permite su realización, ni sobre los datos utilizados para llevarlo a cabo.

Alega CPC que el dato denominado “Risk Score” se obtiene a partir del análisis
realizado por el proveedor ***EMPRESA.3, (…), señalando que al informar a los
interesados acerca del tratamiento de sus datos no se menciona la obtención de este
dato concreto puesto que, aunque sea obtenido con la intervención de un encargado
del tratamiento, no se diferencia del simple análisis y estudio de datos llevado a cabo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

124/133

tanto con finalidades regulatorias como con finalidades comerciales y que su base
jurídica, cuando se realice con finalidad comercial, será el consentimiento del
interesado, teniendo en cuenta que para llevar a cabo el tratamiento de análisis y
estudio de datos con finalidad comercial será necesario observar igualmente la
normativa prudencial y de solvencia. Se añade que en cuanto a los datos utilizados
para obtener el “Risk Score”, se trata de los obrantes en sistemas de información
crediticia.

Esta Agencia tampoco comparte esta alegación, no puede considerarse que se
informa debidamente a los interesados al integrarse dicha operación de tratamiento
dentro del análisis y estudio de datos llevado a cabo con finalidades comerciales. El
denominado risk score constituye en sí mismo una operación de perfilado, sin que se
informe a los interesados ni de los datos que se utilizan para dicha operación ni de su
resultado, que constituye un dato que se utilizará en otras operaciones de perfilado
que lleve a cabo el responsable con fines comerciales. En lo que respecta a los datos
utilizados para llevar a cabo la operación de perfilado denominada risk score, que
según se señala son aquellos que obran en los sistemas de información crediticia,
tampoco cabe su tratamiento sin el consentimiento del interesado, salvo que concurran
las circunstancias previstas en el artículo 20.1.e de la LOPDGDD, al que antes se ha
hecho referencia, lo que no sucede en el presente supuesto en que se pretende su
uso para realizar un perfilado con fines comerciales. En consecuencia, dicho
tratamiento deviene inválido en tanto carece de base legitimadora al no solicitarse el
consentimiento informado del interesado para que pueda llevarse a cabo.

En este sentido, las Directrices sobre decisiones individuales automatizadas y
elaboración de perfiles a los efectos del Reglamento 2016/679 señalan que “La
transparencia del tratamiento es un requisito fundamental del RGPD.

El proceso de elaboración de perfiles suele ser invisible para el interesado. Funciona
creando datos derivados o inferidos sobre las personas (datos personales «nuevos»
que no han sido directamente facilitados por los propios interesados). Las personas
tienen distintos niveles de comprensión y les puede resultar difícil entender las
complejas técnicas de los procesos de elaboración de perfiles y decisiones
automatizadas.

Según el artículo 12, apartado 1, el responsable del tratamiento debe facilitar a los
interesados información concisa, transparente, inteligible y de fácil acceso sobre el
tratamiento de sus datos personales.

Con respecto a los datos obtenidos directamente del interesado, estos deben
facilitarse en el momento que se obtengan (artículo 13); con respecto a los datos
obtenidos indirectamente, la información debe facilitarse dentro de los plazos previstos
en el artículo 14, apartado 3”

Más específicamente, debe reiterarse que las citadas directrices, en el punto relativo a
las bases jurídicas del tratamiento, en particular la relativa al consentimiento, señalan
que “Las directrices del GT29 sobre consentimiento abordan de forma general el
consentimiento como base del tratamiento. El consentimiento explícito es una de las
excepciones de la prohibición sobre las decisiones automatizadas o la elaboración de
perfiles definidas en el artículo 22, apartado 1.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

125/133

La elaboración de perfiles puede resultar opaca y, a menudo, se basa en datos
derivados o inferidos de otros datos, más que en información facilitada directamente
por el interesado.

Los responsables del tratamiento que pretendan basarse en el consentimiento como
base para la elaboración de perfiles deberán demostrar que los interesados entienden
exactamente qué están consintiendo, y deberán recordar que el consentimiento no es
siempre una base adecuada para el tratamiento. En todos los casos, los interesados
deben contar con suficiente información sobre el uso y las consecuencias previstos del
tratamiento para garantizar que cualquier consentimiento que den constituya una
elección informada.”

De todo ello cabe concluir que el consentimiento prestado para las finalidades de
perfilado descritas en los hechos del presente acuerdo no es conforme a lo establecido
en el artículo 4.7 RGPD. No es específico, porque no cumple la exigencia de
separación de los fines y prestación del consentimiento para cada uno de ellos, ni está
debidamente informado. La ausencia de tales requisitos determina que el mismo no
sea válido de modo que los tratamientos basados en él carecen de legitimación
contraviniéndose así lo previsto en el artículo 6 del RGPD.

En consecuencia, de conformidad con las constataciones expuestas, los citados
hechos podrían suponer una posible vulneración del artículo 6 del RGPD, en relación
con el artículo 7 del mismo texto legal y artículo 6 de la LOPDGDD, que da lugar a la
aplicación de los poderes correctivos que el artículo 58 del RGPD otorga a la Agencia
Española de Protección de datos.
V

Para el caso de que concurra una infracción de los preceptos del RGPD, entre
los poderes correctivos de los que dispone la Agencia Española de Protección de
Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los
siguientes:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de
las medidas mencionadas en el presente apartado, según las circunstancias de cada
caso particular;”.

Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
d) anterior es compatible con la sanción consistente en multa administrativa.

VI

En el presente caso ha quedado acreditado el incumplimiento del artículo 6.1
del RGPD con el alcance expresado en los Fundamentos de Derecho anteriores, lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

126/133

que, supone la comisión de una infracción tipificada en el artículo 83.5 de la misma
norma que bajo la rúbrica “Condiciones generales para la imposición de multas
administrativas” dispone lo siguiente:

5. “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9”

A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica:

Artículo 72. Infracciones consideradas muy graves

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)

a) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679.

(…)”
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

127/133

como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

En este caso, considerando la gravedad de la infracción constatada procede la
imposición de multa.

No cabe aceptar la solicitud formulada por CAIXABANK PAYMENTS &
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

128/133

CONSUMER EFC, EP, S.A.U para que se impongan otros poderes correctivos,
concretamente, el apercibimiento, teniendo en cuenta lo previsto en el considerando
148 del RGPD según el cual “A fin de reforzar la aplicación de las normas del presente
Reglamento, cualquier infracción de este debe ser castigada con sanciones, incluidas
multas administrativas, con carácter adicional a medidas adecuadas impuestas por la
autoridad de control en virtud del presente Reglamento, o en sustitución de estas. En
caso de infracción leve, o si la multa que probablemente se impusiera constituyese
una carga desproporcionada para una persona física, en lugar de sanción mediante
multa puede imponerse un apercibimiento. Debe no obstante prestarse especial
atención a la naturaleza, gravedad y duración de la infracción, a su carácter
intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado
de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la
autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de
medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante.”

Por las mismas razones, y considerando los criterios de graduación de las
sanciones que seguidamente se indican, se desestima igualmente la petición de
imposición de una sanción en su grado mínimo.

Tampoco cabe admitir la alegación de que, en el uso de los criterios de
graduación de la sanción, esta Agencia se separa del precedente administrativo
debiendo motivar el cambio de criterio según el artículo 35.1.c) de la LACAP. Según
CPC sirve como ejemplo el PS/0070/2019 afirmando que se aprecia una aplicación
diferente de los criterios que permiten graduar la sanción, ya que siendo, según CPC
los hechos imputados semejantes únicamente se tienen en cuenta dos criterios de
graduación frente a los que se contienen en la propuesta de resolución de este
procedimiento. Esta Agencia, para determinar la sanción a imponer en cada caso,
tiene en cuenta los elementos establecidos en el artículo 83 del RGPD, así como los
establecidos en el artículo 76.2 de la LOPDGDD, justificando la aplicación de cada uno
de ellos en función de las circunstancias de cada caso concreto.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de las
sanciones de multa a imponer en el presente caso al reclamado, como responsable de
infracciones tipificadas en el artículo 83.5.a) y b) del RGPD, procede graduar la multa
que correspondería imponer por la infracción imputada como sigue:

Infracción por incumplimiento de lo establecido en el artículo 6 del RGPD, en relación
con el artículo 7 del mismo texto legal y artículo 6 de la LOPDGDD, tipificada en el
artículo 83.5.a) y calificada como muy grave a efectos de prescripción en el artículo
72.1.b) de la LOPDGDD:

Se estima que concurren en calidad de agravantes los siguientes factores que
revelan una mayor antijuridicidad y/o culpabilidad en la conducta de la entidad
CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U.:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de las operaciones de tratamiento de que se trata;
la infracción resulta del procedimiento diseñado por dicha entidad para la recogida
del consentimiento para efectuar perfiles con fines comerciales a sus clientes, lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

129/133

que entraña un riesgo importante para los derechos de los interesados teniendo en
cuenta el carácter especialmente intrusivo de tal tratamiento de datos.

Alega dicha entidad que “No estamos ante un supuesto en el que CPC haya
prescindido radicalmente de las obligaciones relacionadas con la obtención de
consentimientos, sin perjuicio de que la AEPD considere que habría que subsanar
determinadas cuestiones, que podrían suponer mejoras a la manera en que se
recaban los consentimientos.” Alega también que la Agencia no argumenta en que
consiste ese riesgo importante ni el carácter intrusivo del tratamiento, lo que lleva a
preguntarse si el envío de comunicaciones comerciales a clientes resulta
especialmente intrusivo, qué tratamiento de datos personales no será
especialmente intrusivo

Esta Agencia considera que se trata de una infracción que afecta al procedimiento
mediante el que se recaba el consentimiento y que afecta en particular a dos
elementos esenciales de éste, esto es, que el consentimiento sea específico e
informado. No se trata pues de meras mejoras en el procedimiento, sino que el
incumplimiento de estos dos requisitos determina que el consentimiento devenga
inválido. Tampoco se trata de un mero envío de comunicaciones comerciales, sino
de la realización de tratamientos de perfilado.

- La intencionalidad o negligencia apreciada en la comisión de la infracción;
los defectos señalados en el procedimiento mediante el que se recaba el
consentimiento de sus clientes, dada su evidencia debieron ser advertidos y
evitados al diseñar dicho procedimiento por una entidad de las características de
CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U.

- La alta vinculación de la actividad del infractor con la realización de
tratamientos de datos personales. Las operaciones que constituyen la actividad
empresarial desarrollada por CAIXABANK PAYMENTS & CONSUMER EFC, EP,
S.A.U. como entidad dedicada a la comercialización de tarjetas de crédito o de
débito, cuentas de crédito y préstamos, implican operaciones de tratamientos de
datos personales.

Afirma dicha entidad que en ningún caso, su actividad principal es el tratamiento de
datos de carácter personal de sus clientes más allá de lo que resulta necesario
para el desarrollo de esa actividad principal, ni tampoco se beneficia
económicamente del tratamiento de los datos personales de sus clientes. A este
respecto, debe tenerse en cuenta que entre sus actividades comerciales se
encuentra la del envío de comunicaciones comerciales a sus clientes de entidades
terceras con las que mantiene acuerdos comerciales.

Afirma también que la AEPD se separa de la intención del legislador que va dirigida
a considerar agravante el hecho de que el tratamiento de datos personales sea la
actividad principal de carácter empresarial, no que sea un instrumento; de ahí que
se refiera a "alta vinculación", de otro modo se llegaría a la conclusión de que el
mero hecho de tratar datos personales sería siempre una agravante. Si el
legislador así lo hubiera pretendido no hubiera calificado que tal vinculación debe
ser "alta

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

130/133

Esta Agencia no comparte tal interpretación. El artículo 76.2.b de la LOPDGG
establece como criterio de graduación de la infracción “la vinculación de la
actividad del infractor con la realización de tratamientos personales”. Dicho
precepto no hace referencia alguna a que ésta sea alta, como afirma CPC, sino al
hecho de que exista tal vinculación, elemento que esta Agencia ha valorado como
alto por las razones expresadas.

- La condición de gran empresa de la entidad responsable y su volumen de
negocio. El volumen de negocio de la entidad según la información obtenida ha
sido de 872.976.000 € durante el año 2019. A efectos informativos debe además
indicarse que la cifra de negocio del Grupo CaixaBank a 31 de diciembre de 2020
se cifra en doce mil ciento setenta y dos millones de euros.

Esta Agencia no comparte la alegación de que se han utilizado para la determina-
ción de la multa tanto la cifra de volumen de negocio de CPC como la del Grupo
CaixaBank, en el que aquella ya estaría incluida. La cifra de negocio del Grupo
CaixaBank se menciona a efectos informativos para resaltar que la multa es pro-
porcional y disuasoria, tal y como exige el artículo 83.1 del RGPD.

- Elevado volumen de datos y tratamientos que constituye el objeto del
expediente. Se trata un gran volumen de datos y de las siguientes tipologías: datos
identificativos, financieros, sociodemográficos y socioeconómicos, que permiten
efectuar un perfil exhaustivo de los interesados.

- Elevado número de interesados. El número de interesados (clientes) cuyos
datos fueron tratados en el desarrollo de la actividad de perfilado asociada a la
actividad de Scoring Proactivo con finalidades comerciales, asciende a (…).

Solicita que se tengan en cuenta como atenuantes, el esfuerzo realizado durante los
últimos años, especialmente desde la entrada en aplicación del RGPD, para
proporcionar a sus clientes la información pertinente sobre el tratamiento de sus datos
de forma adecuada y la puesta en marcha una serie de medidas dirigidas a esa mejora
en la recogida de los consentimientos. Alega también que CPC ha sido proactiva y
diligente en la respuesta a cualesquiera requerimientos de la Agencia.

A juicio de esta Agencia facilitar información a sus clientes, es una obligación que
deriva del RGPD y que debe hacerse en la forma exigida por éste, por tanto, el hecho
de facilitar información a sus clientes, que en lo que respecta al tratamiento objeto del
presente procedimiento esta Agencia considera precisamente que no es adecuada, no
puede considerarse como una atenuante. En cuanto a las medidas adoptadas, estas
se centran en la modificación de la política de privacidad en su página web, sin
embargo la información que se aporta al cliente al recabar el consentimiento se
encuentra en el documento denominado CONDICIONES GENERALES DE LA
SOLICITUD-CONTRATO DE CRÉDITO, documento que no se ha modificado como el
propio CPC reconoce en su contestación al requerimiento realizado durante el período
de prueba, por lo que no cabe considerar que se hayan adoptado medidas suficientes
para poner remedio a la infracción o mitigar sus posibles efectos adversos. Por el
contrario, se facilitan informaciones distintas en dicho documento y en la política de
privacidad, de modo que la información que se facilita al interesado no es uniforme.
Por otra parte, atender los requerimientos de información de la Administración no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

131/133

constituye una atenuante contemplada en la normativa de protección de datos.

Considerando los factores expuestos, la valoración que alcanza la multa por la
infracción imputada es de 3.000.000 euros.

VII

De acuerdo con lo establecido en el artículo 58.2.d) del RGPD, cada autoridad
de control podrá “ordenar al responsable o encargado del tratamiento que las
operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento,
cuando proceda, de una determinada manera y dentro de un plazo especificado…”.

En este caso, considerando las circunstancias expresadas en relación con los
incumplimientos apreciados, procede requerir a CAIXABANK PAYMENTS &
CONSUMER EFC, EP, S.A.U. para que, en el plazo que se indica en la parte
dispositiva, adecúe a la normativa de protección de datos personales los
procedimientos mediante los que se recaba el consentimiento para elaborar perfiles
con finalidades comerciales con el alcance y en el sentido expresado en los
Fundamentos de Derecho del presente acto.

Se advierte que no atender los requerimientos de este organismo puede ser
considerado como una infracción administrativa grave al “no cooperar con la Autoridad
de control” ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la
hora de la apertura de un procedimiento administrativo sancionador con multa
pecuniaria.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE

PRIMERO: Imponer a la entidad CAIXABANK PAYMENTS & CONSUMER EFC, EP,
S.A.U., con NIF A08980153, por una infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD, y calificada como muy grave a efectos de prescripción en el
artículo 73 de la LOPDGDD, con una multa por importe de 3.000.000 de euros (tres
millones de euros).

SEGUNDO: Requerir a la entidad CAIXABANK PAYMENTS & CONSUMER EFC, EP,
S.A.U en el plazo de 6 meses adopte las medidas necesarias para adecuar a la
normativa de protección de datos personales los procedimientos mediante los que
recaba a sus clientes el consentimiento para elaborar perfiles con finalidades
comerciales, con el alcance expresado en el Fundamento de Derecho VII. En el plazo
indicado, CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U, deberá justificar
ante esta Agencia Española de Protección de Datos la atención del presente
requerimiento.

TERCERO: NOTIFICAR la presente resolución a CAIXABANK PAYMENTS &
CONSUMER EFC, EP, S.A.U.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

132/133

CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

133/133

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es