Jose Felgueroso
Abogado | Attorney

La Agencia Española de Protección de Datos sanciona a CaixaBank en relación con el tratamiento de datos personales de sus clientes

info@josefelgueroso.com

English version

2021-03-19

En enero, la Agencia Española de Protección de Datos impuso a CaixaBank una multa de 6.000.000 de euros y medidas correctivas en relación con el tratamiento de datos personales de sus clientes. En particular, determinó que CaixaBank:

• no proporcionó información adecuada a sus clientes acerca del tratamiento de sus datos personales;
• no trató lícitamente ciertas categorías de datos personales debido a defectos en el uso del consentimiento como base para su tratamiento;
• no trató lícitamente ciertas categorías de datos personales debido a defectos en el uso del interés legítimo como base para su tratamiento; y
• trató ciertas categorías de datos personales sin ninguna base jurídica.

Por otro lado, la Agencia de Protección de Datos no encontró pruebas de que CaixaBank tomara decisiones basadas únicamente en el tratamiento automatizado de datos personales. No sancionó a CaixaBank por este motivo de reclamación.

En este artículo utilizo los términos "responsable" e "interesado", siguiendo la terminología del Reglamento Europeo de Protección de Datos. El responsable es la persona o entidad que determina los fines y los medios del tratamiento de datos; en este caso, el responsable es CaixaBank. El interesado es la persona física cuyos datos personales trata el responsable; en este caso, los interesados son los clientes de CaixaBank.

Antecedentes

Un reclamante individual se quejó ante la Agencia de Protección de Datos, afirmando que CaixaBank le imponía la obligación de aceptar nuevas condiciones para el tratamiento de datos personales. En particular, el reclamante objetaba a que CaixaBank cediera sus datos personales a todas las empresas del Grupo CaixaBank y afirmaba que el proceso para cancelar esa cesión era más complicado que el proceso para dar su consentimiento.

Por otro lado, una organización de consumidores se quejó ante la Agencia de Protección de Datos, afirmando que CaixaBank imponía el consentimiento para el tratamiento de los datos personales de sus clientes y su cesión a terceros.

CaixaBank tenía varios documentos relacionados con el tratamiento de los datos personales de sus clientes, entre ellos un Contrato Marco y un Contrato de Consentimientos. El Contrato Marco pedía el consentimiento de los clientes para varias finalidades:

• el análisis de datos personales por CaixaBank y el Grupo CaixaBank con fines comerciales,
• el tratamiento de datos personales por CaixaBank y el Grupo CaixaBank para la oferta de productos y servicios y
• la cesión por CaixaBank de datos personales a terceros.

El Contrato de Consentimientos pedía el consentimiento de los clientes para finalidades comerciales y la cesión de datos a terceros. El contenido del Contrato de Consentimientos era similar a una de las cláusulas del Contrato Marco.

Inicialmente, CaixaBank obtenía verbalmente el consentimiento de sus clientes para cada una de esas tres finalidades, y una de ellas estaba desglosada en cuatro categorías. Después de una inspección de la Agencia de Protección de Datos, CaixaBank empezó a usar una pantalla compartida de una tablet para obtener el consentimiento de sus clientes. CaixaBank también usaba su sitio web y su aplicación digital de forma similar para ese fin.

El deber de información

La Agencia de Protección de Datos debía determinar si CaixaBank había cumplido su deber de proporcionar ciertas categorías de información a sus clientes en relación con el tratamiento de sus datos, como establece el Reglamento Europeo de Protección de Datos.

Cuando un responsable obtiene datos directamente del interesado, debe proporcionarle las siguientes categorías de información, entre otras:

• los fines del tratamiento de datos y su base jurídica;
• si la base del tratamiento es el interés legítimo del responsable o de un tercero, debe especificar ese interés legítimo;
• los destinatarios de los datos;
• la existencia del derecho del interesado a acceder a sus datos personales, rectificarlos, suprimirlos, limitar su tratamiento y oponerse a su tratamiento;
• si la base del tratamiento de los datos es el consentimiento del interesado, la existencia del derecho del interesado a retirarlo;
• la obligación legal o contractual del interesado de proporcionar los datos, y las consecuencias para el interesado de no proporcionarlos;
• la existencia de decisiones automatizadas, la lógica aplicada y sus consecuencias;
• el plazo de conservación de los datos personales.

Además, si el responsable obtiene los datos de un tercero debe informar al interesado acerca de las categorías de datos personales obtenidos y su origen.

La Agencia de Protección de Datos determinó que CaixaBank utilizaba terminología inconsistente, mencionaba tratamientos similares de datos para finalidades distintas y ofrecía varios documentos contractuales para comunicar la información: el Contrato Marco, el Contrato de Consentimientos, una Política de Privacidad y un Contrato de Servicio de Agregación. Estos documentos contractuales no siempre se ofrecían a todos los clientes. Como resultado, la información que CaixaBank proporcionaba a sus clientes no era uniforme. Esto reducía la transparencia del tratamiento, uno de los principios del Reglamento Europeo de Protección de Datos.

Además, los documentos contractuales de CaixaBank incluían terminología imprecisa y ambigua. Por ejemplo, CaixaBank incluía en sus documentos contractuales expresiones como "darte un mejor servicio", "conocerte mejor" y "comunicar tus datos a terceros con los que tengamos acuerdo". Según la Agencia de Protección de Datos, la terminología que usaba CaixaBank era indeterminada y difícil de entender para los clientes, lo que vulneraba el principio de transparencia.

La Agencia de Protección de Datos también determinó que los documentos contractuales de CaixaBank contenían defectos en la información relacionada con su utilización del interés legítimo como base para el tratamiento de datos personales. Por ejemplo, CaixaBank mencionaba el interés legítimo como base para ciertos tratamientos de datos, pero no indicaba el interés específico que perseguía. De este modo, la información no era suficiente para evaluar si los intereses de CaixaBank prevalecían sobre los de sus clientes.

La información relacionada con la creación de perfiles también era inadecuada. En ocasiones los documentos contractuales no especificaban el tipo de perfiles, sus usos o sus consecuencias. Por otro lado, CaixaBank mencionaba el uso de perfiles para fines de mercadotecnia, pero no informaba a los clientes acerca de su derecho a oponerse a ello.

En relación con la información ofrecida a los clientes acerca del ejercicio de sus derechos, la Agencia de Protección de Datos determinó que el Contrato de Consentimientos mencionaba la posibilidad de ejercer derechos, pero no mencionaba derechos específicos. La Política de Privacidad no mencionaba el derecho del cliente a oponerse al tratamiento de los datos. Por último, el Contrato de Servicio de Agregación no mencionaba el derecho a revocar el consentimiento ni el derecho de oposición.

En resumen, la Agencia de Protección de Datos concluyó que la información que CaixaBank proporcionaba a sus clientes era inadecuada, lo que vulneraba el principio de transparencia y el deber de CaixaBank de proporcionar cierta información a sus clientes para el tratamiento de sus datos personales.

Licitud del tratamiento basado en el consentimiento del cliente

La Agencia de Protección de Datos debía determinar si CaixaBank trató lícitamente los datos personales de sus clientes utilizando el consentimiento como base jurídica.

El tratamiento de datos personales es lícito si el interesado da su consentimiento, el cual debe ser específico, informado, libre e inequívoco:

• El consentimiento del interesado debe ser específico para cada fin del tratamiento de datos, y si el tratamiento implica varios fines el interesado debe dar su consentimiento para cada fin;
• el consentimiento tiene que ser informado, lo que implica que el responsable debe informar al interesado acerca de los fines del tratamiento de datos;
• el consentimiento debe ser libre: el interesado debe tener una verdadera elección y debe poder denegar o retirar su consentimiento sin sufrir perjuicio; y
• el consentimiento debe ser inequívoco: el interesado debe darlo mediante una clara acción afirmativa o declaración.

El Contrato Marco de CaixaBank indicaba varios fines del tratamiento de datos:

• la creación de estudios y perfilado;
• las ofertas de productos y servicios de CaixaBank, del Grupo CaixaBank y de terceros;
• la cesión de datos a terceros; y
• el uso de datos biométricos.

La Agencia de Protección de Datos determinó que el Contrato Marco agrupaba finalidades y tratamientos de datos, por lo que el consentimiento que daban los clientes no era específico. Por otro lado, la información que proporcionaba CaixaBank acerca del tratamiento de datos era indeterminada, porque la información acerca de los fines del tratamiento no era clara y no indicaba las categorías de datos afectadas por el tratamiento. Por último, el consentimiento de los clientes no era libre, porque la firma del contrato imponía aspectos esenciales del tratamiento de datos, como la comunicación de datos personales a empresas del Grupo CaixaBank.

Como resultado, la Agencia de Protección de Datos concluyó que el tratamiento de datos por CaixaBank no era lícito, porque el consentimiento dado por los clientes no era adecuado, ya que no era específico, informado o libre.

Licitud del tratamiento basado en el interés legítimo

La Agencia de Protección de Datos debía determinar si CaixaBank trató datos personales lícitamente basándose en su interés legítimo.

El tratamiento de datos por un responsable puede ser lícito si se basa en el interés legítimo del responsable o de un tercero. Sin embargo, si prevalecen los intereses, derechos o libertades del interesado sobre ese interés legítimo, el tratamiento de datos es ilícito. Es necesario realizar una evaluación de los intereses implicados:

• el interés del responsable debe ser claro, real, actual y lícito;
• el tratamiento de datos debe ser necesario, lo que quiere decir que no debe haber una alternativa razonable para la satisfacción del interés del responsable; y
• la evaluación debe tener en cuenta las posiciones relativas del interesado y el responsable.

También es necesario tener en cuenta las expectativas del interesado: si no espera un tratamiento posterior de los datos, pueden prevalecer los intereses del interesado. Por otro lado, es necesario tener en cuenta el impacto del tratamiento de datos sobre el interesado: cuanto más negativo o incierto sea ese impacto, menos legítimo será el tratamiento. Finalmente, la mercadotecnia directa puede constituir un interés legítimo del responsable.

La Agencia de Protección de Datos concluyó que el interés legítimo de CaixaBank no estaba claro, porque el banco ni siquiera mencionaba un interés legítimo para el tratamiento de los datos. CaixaBank sí indicaba las finalidades del tratamiento, pero eran indefinidas, como por ejemplo conocer al cliente, mejorar los servicios y elaborar el modelo de negocio. Además, no estaba claro si el envío de información para ofrecer productos o servicios similares a los contratados por el cliente se refería a productos o servicios de CaixaBank, del Grupo CaixaBank o de terceros.

Los documentos contractuales de CaixaBank confundían bases y tratamientos, porque indicaban bases jurídicas distintas para tratamientos de datos similares. Por ejemplo, indicaban el interés legítimo para la comunicación de ofertas personalizadas, la aplicación de promociones o la preconcesión de créditos, pero estos tratamientos eran similares a los indicados bajo la base del consentimiento. Esto podría llevar a que CaixaBank realizara tratamientos de datos basados en el interés legítimo en situaciones en las que el interesado hubiera denegado el consentimiento. Según la Agencia de Protección de Datos, esto era inadmisible.

Otros factores que la Agencia de Protección de Datos tuvo en cuenta para evaluar la licitud del interés legítimo como base eran la falta de transparencia en la lógica aplicada para la elaboración de perfiles, el elevado número de afectados, la gran cantidad de datos implicados y la posición relativa de CaixaBank y sus clientes. También tuvo en cuenta que CaixaBank no proporcionaba a sus clientes una evaluación del impacto del tratamiento sobre los interesados y que no ofrecía un mecanismo para que los interesados se excluyeran del tratamiento.

En resumen, la Agencia de Protección de Datos concluyó que el interés legítimo tal como aparece en los documentos contractuales de CaixaBank no era una base adecuada para el tratamiento de datos de sus clientes, porque no indicaban el interés perseguido, confundían tratamientos y bases y podían tener gran impacto sobre los interesados.

Tratamientos de datos personales sin base jurídica

La Agencia de Protección de Datos identificó en los documentos contractuales de CaixaBank referencias frecuentes a la comunicación de datos personales al Grupo CaixaBank. Examinó varias bases jurídicas posibles para estas comunicaciones, y debía determinar si eran suficientes para hacerlas lícitas.

Grupo empresarial

Una posible base para estas comunicaciones de datos es la transmisión de datos personales entre empresas del mismo grupo empresarial con fines administrativos internos; estas comunicaciones pueden constituir un interés legítimo del responsable. El Reglamento Europeo de Protección de Datos define "grupo empresarial" como un "grupo constituido por una empresa que ejerce el control y sus empresas controladas".

La Agencia de Protección de Datos determinó que estas comunicaciones al Grupo CaixaBank no tenían finalidades administrativas internas, sino comerciales, tales como el diseño de nuevos productos. De este modo, el concepto de grupo empresarial no era una base adecuada para la comunicación de datos personales entre empresas del Grupo CaixaBank.

Consentimiento

Otra posible base para estas comunicaciones era el consentimiento del interesado dado en los documentos contractuales de CaixaBank. Ese consentimiento debe ser específico e informado, entre otras cosas.

El consentimiento de los interesados tampoco era una base adecuada para estas comunicaciones al Grupo CaixaBank. Los clientes de CaixaBank no daban consentimiento por separado para empresas concretas del Grupo CaixaBank. De este modo, la Agencia de Protección de Datos determinó que el consentimiento de los clientes para el tratamiento de sus datos personales por CaixaBank no constituía consentimiento para el tratamiento de esos datos por otras empresas del Grupo CaixaBank. Por otro lado, CaixaBank no proporcionaba a sus clientes información acerca de las obligaciones de las empresas del Grupo CaixaBank hacia el interesado, ni proporcionaba a los clientes un acuerdo que indicara las obligaciones entre CaixaBank y las empresas del Grupo CaixaBank.

En resumen, la Agencia de Protección de Datos concluyó que las comunicaciones de datos personales a empresas del Grupo CaixaBank eran ilícitas, porque no estaban amparadas por el concepto de grupo empresarial y porque el consentimiento dado por los clientes del banco no era específico ni informado.

Decisiones automatizadas

El Reglamento Europeo de Protección de Datos prohíbe las decisiones únicamente automatizadas (incluida la elaboración de perfiles) que tengan efectos jurídicos o un impacto significativo similar sobre el interesado. Hay excepciones:

• la decisión automatizada es necesaria para la celebración o ejecución de un contrato entre el interesado y el responsable;
• el derecho de la Unión Europea o del estado miembro en cuestión autoriza la decisión automatizada, con garantías adecuadas; y
• el interesado da su consentimiento explícito.

En cualquier caso, el responsable debe informar al interesado acerca de la existencia de las decisiones automatizadas, la lógica aplicada y las consecuencias del tratamiento para el interesado.

Los documentos contractuales de CaixaBank informaban al interesado acerca de la existencia de decisiones automatizadas; reconocían el derecho de los clientes a exigir intervención humana, obtener una explicación e impugnar la decisión; e indicaban que la base de estas decisiones era el consentimiento de los clientes.

La Agencia de Protección de Datos no encontró pruebas de que CaixaBank hubiera tomado decisiones únicamente automatizadas, así que no impuso sanciones al banco por este motivo de reclamación.

Medidas impuestas

La Agencia de Protección de Datos impuso a CaixaBank una multa de 6.000.000 de euros y medidas correctivas.

En la determinación de la cantidad de la multa, la Agencia de Protección de Datos tuvo en cuenta los siguientes factores agravantes, entre otros: la infracción afectaba a la actividad completa de CaixaBank, la infracción era permanente, los afectados por la infracción eran todos los clientes de CaixaBank y la infracción suponía una intromisión en la privacidad de los clientes de CaixaBank.

En cuanto a las medidas correctivas, la Agencia de Protección de Datos prohibió a CaixaBank tratar datos personales en ausencia de la información que debe proporcionar a sus clientes o del consentimiento válido de éstos. También prohibió el tratamiento de datos basado en el interés legítimo tal como aparece en los documentos contractuales de CaixaBank y los tratamientos sin base jurídica indicados en la resolución. Por otro lado, CaixaBank debía indicar a las empresas del Grupo CaixaBank que suprimieran los datos de sus clientes que hubieran sido comunicados ilícitamente. Por último, CaixaBank debía cesar el tratamiento de datos que tuvieran su origen en empresas del Grupo CaixaBank.