La Agencia Española de Protección de Datos impone la primera multa a un banco en España al BBVA por su infracción.
Como ya comentamos en nuestro primer post, en Nivolap siempre tratamos sobre la actualidad relacionada con la abogacía digital, empresas y startups. Anteriormente hablábamos acerca de los conflictos digitales que tienen las empresas provocados por el Coronavirus, o qué objetivos se debería plantear una empresa en una atmósfera de pandemia. Hoy, siguiendo esta linea, trataremos un tema que está a la orden del día después de que el BBVA haya recibido la primera sanción a un banco por la AEPD.
El pasado 11 de diciembre conocimos una nueva resolución de procedimiento sancionador de la Agencia Española de Protección de Datos (AEPD) por la que el Banco Bilbao Vizcaya Argentaria (BBVA) ha recibido la primera sanción a un banco en España con una multa de 5.000.000 euros.
Dicha resolución presenta como hechos probados que diversos reclamantes aprecian que el BBVA realiza una serie de comportamientos que no se adecúan a la regulación en materia de protección de datos como, por ejemplo: envío de mensajes de texto promocionales a la telefonía móvil de los clientes de BBVA sin autorización de los mismos, requerir a un cliente de BBVA que para desbloquear su cuenta debía suscribir el documento de protección de datos personales, envío de comunicaciones comerciales no solicitadas ni autorizadas por sus destinatarios; etcétera.
Todas las reclamaciones anteriormente enunciadas tienen que ver con tratamientos de datos personales de los reclamantes que BBVA ampara en el consentimiento prestado por los titulares de los datos mediante la firma de la ‘‘Declaración de Actividad Económica y Política de Protección de Datos’’.
EL BBVA es el primer banco en España que recibe una sanción por la AEPD.
En dicha Declaración, BBVA se refiere al interés legítimo como base legitimadora para el uso de los datos para ‘‘conocerte mejor y personalizar tu experiencia’’ y al consentimiento como base legitimadora ‘‘para ofrecerte productos y servicios de BBVA, del Grupo BBVA y de otros, personalizados para ti; para comunicar tus datos a sociedades del Grupo BBVA para que te puedan ofrecer productos y servicios propios personalizados para ti; y para mejorar la calidad de los productos y servicios’’.
Afirma el artículo 5 del RGPD que los datos personales serán tratados conforme a los principios de licitud, lealtad y transparencia; de limitación de la finalidad; de minimización de datos; de exactitud; de limitación del plazo de conservación; de integridad y confidencialidad; y con responsabilidad proactiva. Conviene echar un vistazo también a los Considerandos 39 y 42 del mismo RGPD, y al Título II de la LOPDGDD, donde se desarrollan dichos principios.
En base a estos principios, la AEPD en la resolución que hoy analizamos, entiende que la política de privacidad de BBVA emplea una terminología imprecisa y unas formulaciones vagas, mostrándose dicha política como un beneficio para el cliente, dando a entender que su no aceptación supondría una pérdida de ventajas como cliente; no informa de manera clara y sistemática sobre los tratamientos de datos ni las finalidades para las que serán utilizados; no delimita la naturaleza de la información sometida al tratamiento y su posterior utilización; la información es indeterminada; la información sobre las categorías de datos personales tratados, las finalidades o la base legal que habilita el tratamiento emplea expresiones poco claras e imprecisas, con significados ambiguos cuyo alcance no desarrolla; el consentimiento informado, en los términos que establece el Grupo de Trabajo del Artículo 29 no se acredita, en tanto que no proporciona información suficiente sobre la tipología de datos que serán sometidos a tratamiento en relación con todos aquellos tratamientos cuya base jurídica sea el consentimiento de los interesados; el tratamiento de los datos no puede ampararse en la base jurídica del interés legítimo, en tanto que se exige una evaluación para determinar los intereses o derechos que prevalecen; y un largo etcétera.
Como consecuencia de lo anterior, entiende la AEPD que ha resultado acreditado el incumplimiento del principio de transparencia establecido en los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.b) RGPD y calificada como leve por el artículo 74.a) LOPDGDD, imponiendo a BBVA una multa de 2.000.000 euros; así como una infracción del principio de licitud del artículo 6 RGPD, tipificada en el artículo 83.5.a) RGPD y calificada como muy grave por el artículo 72.1.b) LOPDGDD, imponiendo una multa de 3.000.000 euros.
Además, la AEPD requiere a BBVA para que en un plazo de seis meses adecúe a la normativa de Protección de Datos las operaciones de tratamiento que realiza, la información ofrecida a sus clientes, el procedimiento mediante el cual los mismos prestarán su consentimiento para la recogida y tratamiento de sus datos personales, debiendo justificar dicha adecuación ante la misma agencia.