{"id":5047,"date":"2021-02-01T06:23:00","date_gmt":"2021-02-01T05:23:00","guid":{"rendered":"https:\/\/mascalvet.com\/?p=5047"},"modified":"2021-02-01T16:32:45","modified_gmt":"2021-02-01T15:32:45","slug":"multa-historica-al-bbva-cumplimiento-en-proteccion-de-datos","status":"publish","type":"post","link":"https:\/\/mascalvet.com\/en\/multa-historica-al-bbva-cumplimiento-en-proteccion-de-datos\/","title":{"rendered":"Multa hist\u00f3rica al BBVA: claves legales sobre cumplimiento en protecci\u00f3n de datos"},"content":{"rendered":"\n<p class=\"has-background\" style=\"background-color:#f2f4f5\">En los \u00faltimos meses la <strong><a href=\"https:\/\/www.aepd.es\/es\">Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (AEPD)<\/a><\/strong> ha impuesto varias multas que han acaparado la atenci\u00f3n de los medios de comunicaci\u00f3n por su cuant\u00eda y por las empresas a las que ha afectado. Un ejemplo reciente de ello ha sido la <strong>multa hist\u00f3rica al BBVA<\/strong>, un caso emblem\u00e1tico que puede dejar interesantes lecciones a otras compa\u00f1\u00edas, independientemente de si son de menor tama\u00f1o o de otro sector. \u00bfCu\u00e1les son las <strong>claves legales sobre cumplimiento en protecci\u00f3n de datos<\/strong> que este caso deja a las empresas? Estas son algunas de las lecciones que se pueden extraer.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<hr class=\"wp-block-separator\"\/>\n\n\n<ul class=\"wp-block-latest-posts__list wp-block-latest-posts\"><li><a class=\"wp-block-latest-posts__post-title\" href=\"https:\/\/mascalvet.com\/en\/la-diligencia-en-la-tramitacion-de-los-protocolos-de-acoso-cuando-44-dias-son-demasiados\/\">La diligencia en la tramitaci\u00f3n de los protocolos de acoso: cuando 44 d\u00edas son demasiados<\/a><\/li>\n<li><a class=\"wp-block-latest-posts__post-title\" href=\"https:\/\/mascalvet.com\/en\/el-bufete-mas-y-calvet-participara-en-el-vi-congreso-juridico-espacial\/\">El Bufete Mas y Calvet participar\u00e1 en el VI Congreso Jur\u00eddico Espacial<\/a><\/li>\n<li><a class=\"wp-block-latest-posts__post-title\" href=\"https:\/\/mascalvet.com\/en\/ser-patrono-de-una-fundacion-un-cargo-honorifico-o-una-responsabilidad-real\/\">Ser patrono de una fundaci\u00f3n: \u00bfun cargo honor\u00edfico o una responsabilidad real?<\/a><\/li>\n<li><a class=\"wp-block-latest-posts__post-title\" href=\"https:\/\/mascalvet.com\/en\/participacion-en-el-xviii-seminario-del-espacio-en-santander\/\">Participaci\u00f3n del Bufete Mas y Calvet en el XVIII Seminario del Espacio en Santander<\/a><\/li>\n<li><a class=\"wp-block-latest-posts__post-title\" href=\"https:\/\/mascalvet.com\/en\/la-extincion-indemnizada-del-contrato-de-trabajo-por-impago-o-retraso-continuado-en-el-abono-del-salario\/\">La extinci\u00f3n indemnizada del contrato de trabajo por impago o retraso continuado en el abono del salario<\/a><\/li>\n<\/ul>\n\n\n<hr class=\"wp-block-separator\"\/>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>En el caso del BBVA, la sanci\u00f3n ha sido la m\u00e1s elevada hasta ese momento. En total, cinco millones de euros por dos <strong>infracciones<\/strong>: por una parte, por infringir el <strong>deber de informaci\u00f3n<\/strong> cuando los datos personales se obtengan del interesado; por otra, por infringir la licitud del <strong>tratamiento de datos<\/strong> por carecer del consentimiento de los interesados. Entre las conclusiones que podemos sacar de esta resoluci\u00f3n, el equipo del <strong><a href=\"https:\/\/mascalvet.com\/wp-content\/uploads\/2020\/03\/Bufete-Mas-y-Calvet-Folleto-Derecho-Tecnol%C3%B3gicoA4_def.pdf\">\u00e1rea de Tecnolog\u00eda y Telecomunicaciones<\/a><\/strong> del <strong>Bufete Mas y Calvet<\/strong>, que lidera el <strong><a href=\"https:\/\/mascalvet.com\/miembro\/efren-diaz-diaz\/\">abogado Efr\u00e9n D\u00edaz<\/a><\/strong>, destaca las siguientes:<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\">Los usuarios denuncian\u2026 cada vez m\u00e1s<\/h2>\n\n\n\n<p>Las empresas deben tener en cuenta que los usuarios son m\u00e1s conscientes de su <strong>derecho a la privacidad<\/strong>. De hecho, el origen de esta resoluci\u00f3n sancionadora se encuentra en cinco reclamaciones de usuarios diferentes, entre octubre de 2018 y agosto de 2019, por recibir un SMS promocional sin su autorizaci\u00f3n, por la falta en la <strong>App BBVA<\/strong> de los requisitos legales sobre consentimiento libre e informado, por negarse a desbloquear la cuenta por no firmar el documento de <strong>protecci\u00f3n de datos personales<\/strong>, por el env\u00edo de comunicaciones comerciales no solicitadas ni autorizadas y por la realizaci\u00f3n de llamadas telef\u00f3nicas y env\u00edo de SMS publicitarios.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\">Informar correctamente a los clientes<\/h2>\n\n\n\n<p>Otra de las <strong>claves legales sobre cumplimiento en protecci\u00f3n de datos <\/strong>es la informaci\u00f3n facilitada al interesado. La AEPD sostiene, en este caso, que no le permite tener una idea clara sobre los datos que se comunicar\u00e1n a las entidades del Grupo, ya que no ha utilizado una terminolog\u00eda clara en su pol\u00edtica de privacidad.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Tambi\u00e9n indica que el BBVA no ofrece suficiente informaci\u00f3n sobre la <strong>categor\u00eda de datos personales procesados<\/strong> (sobre todo, cuando los clientes hacen uso de los productos, servicios y canales). Tambi\u00e9n ha incumplido su obligaci\u00f3n de informar sobre la<strong> finalidad del tratamiento<\/strong> y la base jur\u00eddica que lo legitima (especialmente en los tratamientos de datos personales basados en el inter\u00e9s leg\u00edtimo de la entidad bancaria). Y considera insuficiente la informaci\u00f3n sobre el tipo de perfiles a realizar y los usos espec\u00edficos a que se van a destinar.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>La <strong>AEPD <\/strong>explica que para determinar la regularidad de los tratamientos denunciados en las cinco reclamaciones, es necesario comprobar la <strong>validez del consentimiento prestado<\/strong>. La informaci\u00f3n ofrecida al usuario parece haber sido incompleta o inadecuada, y pone en entredicho los mecanismos para recabar el consentimiento y que no se han respetado los principios y garant\u00edas establecidos en la normativa aplicable<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\">El consentimiento del interesado<\/h2>\n\n\n\n<p>La AEPD considera probado que el BBVA carec\u00eda de un mecanismo espec\u00edfico para la recogida de los consentimientos de los clientes para el<strong> tratamiento de sus datos personales<\/strong>. El interesado pod\u00eda marcar una casilla para hacer constar su oposici\u00f3n a los tratamientos de datos, pero no se obten\u00eda un <strong>consentimiento espec\u00edfico, inequ\u00edvoco e informado<\/strong>. A ello se suma la insuficiente justificaci\u00f3n de los tratamientos de datos personales basados en el inter\u00e9s leg\u00edtimo del BBVA como responsable.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\">El inter\u00e9s leg\u00edtimo de la entidad<\/h2>\n\n\n\n<p>El argumento del inter\u00e9s leg\u00edtimo prevalente de la entidad para realizar determinados <strong>tratamientos de datos<\/strong>, en lugar de pedir el consentimiento expreso para ello, no alcanza a ciertos casos, explica la Agencia. En particular, diferencia los tratamientos que se realizan con la finalidad de <em>\u201cConocerte mejor y personalizar tu experiencia\u201d<\/em>, basados en <strong>inter\u00e9s leg\u00edtimo<\/strong>, de aquellos referidos al env\u00edo de comunicaciones comerciales que BBVA basa en el consentimiento del interesado.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Seg\u00fan la AEPD, \u201cla conducta de BBVA se ve agravada por el car\u00e1cter continuado de la infracci\u00f3n, al menos hasta el momento en que procedi\u00f3 a la modificaci\u00f3n de la citada pol\u00edtica en julio de 2020\u201d, si bien BBVA actu\u00f3 en la confianza leg\u00edtima de que la AEPD consideraba que su <strong>Pol\u00edtica de Privacidad<\/strong> resultaba conforme a la legislaci\u00f3n de protecci\u00f3n de datos.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\">Con el foco en las t\u00e9cnicas de perfilado<\/h2>\n\n\n\n<p>El tratamiento de datos personales realizados por la entidad, de forma directa o indirecta, tambi\u00e9n se basa en datos recogidos de fuentes distintas a los interesados, incluso inferidos por la propia entidad, a trav\u00e9s de <strong>t\u00e9cnicas de perfilado<\/strong>, de las que no habr\u00eda informado con suficiente claridad. Las empresas deben saber que tienen que revisar escrupulosamente estos procedimientos para constatar que cumplen adecuadamente con la normativa, una labor que deben desarrollar los <strong>Delegados de Protecci\u00f3n de Datos<\/strong> (estas son las <strong><a href=\"https:\/\/mascalvet.com\/empresas-obligacion-delegado-proteccion-datos-dpd\/\">empresas que deben contar obligatoriamente con un DPD<\/a><\/strong> y este es el<strong> <a href=\"https:\/\/mascalvet.com\/delegado-proteccion-de-datos-funciones-dpd\/\">perfil profesional y las funciones que debe desarrollar el Delegado de Protecci\u00f3n de Datos<\/a><\/strong>)<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\">Imprecisiones del lenguaje comercial<\/h2>\n\n\n\n<p>BBVA no habr\u00eda informado de manera clara y sistem\u00e1tica sobre los tratamientos de datos personales, las finalidades para las que ser\u00e1n utilizados ni la naturaleza de la informaci\u00f3n personal que tratar\u00eda. De hecho, habr\u00eda utilizado expresiones vagas e imprecisas, como <em>\u201cOfrecerte productos y servicios&#8230; personalizados para ti\u201d<\/em>, <em>\u201cMejorar la calidad de los productos y servicios\u201d<\/em> o <em>\u201cTus datos son tuyos y los controlas t\u00fa\u201d<\/em>, que impiden comprender el alcance real de los consentimientos que puedan prestarse. Y cuestiona que la <strong>Pol\u00edtica de Privacidad<\/strong> se utilice como una<strong> \u201cacci\u00f3n de marketing\u201d<\/strong>.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Es decir, debe haber un equilibrio entre las <strong>acciones comerciales<\/strong> y el <strong>cumplimiento de la normativa de protecci\u00f3n de datos<\/strong>, con una informaci\u00f3n transparente, clara e inequ\u00edvoca.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\">No marcar una casilla no es consentimiento<\/h2>\n\n\n\n<p>La entidad deber\u00eda dar opci\u00f3n para que el cliente <strong>preste su consentimiento a los tratamientos concretos<\/strong>. Sin embargo, el BBVA recaba el consentimiento no a trav\u00e9s de una acci\u00f3n, sino mediante la inacci\u00f3n del interesado, a trav\u00e9s de <strong>no marcar<\/strong> las casillas en las que se indica \u201cNO quiero&#8230;\u201d. Y esto no asegura que el interesado otorgue inequ\u00edvocamente el consentimiento, por lo que los tratamientos de datos personales derivados de este tipo de consentimiento devienen en il\u00edcitos.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Si las finalidades del tratamiento de datos no se pueden conocer de forma clara, la AEPD considera que dif\u00edcilmente estas se pueden asociar a <strong>intereses leg\u00edtimos<\/strong> de BBVA, por lo que estos no pueden prevalecer sobre los derechos de los interesados, a los que no se habr\u00eda informado claramente acerca de los extremos exigidos por las <strong>normas de protecci\u00f3n de datos<\/strong>.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>En conclusi\u00f3n, la inacci\u00f3n del usuario no se traduce en un <strong>consentimiento expreso<\/strong> y las finalidades del <strong>tratamiento de datos personales <\/strong>deben ser conocidas de forma clara e inequ\u00edvoca.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\">Suprimir los datos y dejar de utilizarlos<\/h2>\n\n\n\n<p>Tras constatar las infracciones, la AEPD ha aplicado de los<strong> poderes correctivos<\/strong> que le otorga el RGPD (art 58) y ha requerido al BBVA para que, en el plazo de seis meses, todas las entidades del grupo que hayan <strong>comunicado datos personales de los clientes<\/strong> con dicho formulario de consentimiento que deber\u00e1n suprimir tales datos y cesar en la utilizaci\u00f3n de los mismos. Tambi\u00e9n le indica que debe cesar en los tratamientos de datos personales que fundamenta en el inter\u00e9s leg\u00edtimo de BBVA o de terceros.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\">Alternativas legales: los recursos<\/h2>\n\n\n\n<p>No obstante, el BBVA puede presentar <strong>recurso de reposici\u00f3n<\/strong> contra esta resoluci\u00f3n de la AEPD ante la Directora de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos o, directamente, <strong>recurso contencioso administrativo<\/strong> ante la Sala de lo Contencioso-administrativo de la <strong>Audiencia Nacional<\/strong>. Por lo pronto, BBVA tendr\u00e1 que abonar la multa y, m\u00e1s adelante, iniciar las distintas acciones seg\u00fan considere adecuado.<\/p>\n\n\n\n<div style=\"height:30px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<hr class=\"wp-block-separator\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">Cumplimiento en protecci\u00f3n de datos<\/h2>\n\n\n\n<p>Nuestro equipo de especialistas te ayuda a cumplir con el <strong>Reglamento General de Protecci\u00f3n de Datos (RGPD) <\/strong>en todas las actividades de tu empresa o fundaci\u00f3n, tambi\u00e9n en las relacionadas con el uso de nuevas tecnolog\u00edas de la comunicaci\u00f3n y en campa\u00f1as de marketing, apoy\u00e1ndote en el&nbsp;<strong>cumplimiento y auditor\u00eda en protecci\u00f3n de datos<\/strong>, el asesoramiento en materia de propiedad intelectual o la defensa de derechos de autor, etc.<\/p>\n\n\n\n<p>Somos el primer bufete de abogados en Espa\u00f1a que puede ofrecer la <strong><a href=\"https:\/\/mascalvet.com\/bufete-mas-y-calvet-europrivacy\/\">certificaci\u00f3n Europrivacy<\/a><\/strong>. Estos son los servicios que te podemos ofrecer para&nbsp;<strong><a href=\"https:\/\/mascalvet.com\/europrivacy\/\">obtener la certificaci\u00f3n europea de protecci\u00f3n de datos<\/a><\/strong>.<\/p>\n\n\n\n<p>&nbsp;<strong><a href=\"https:\/\/mascalvet.com\/contacto\/\" target=\"_blank\" rel=\"noreferrer noopener\">Contacta con nuestro equipo de abogados<\/a><\/strong>&nbsp;para que te asesoremos de forma personalizada.&nbsp;<strong><a href=\"https:\/\/mascalvet.com\/wp-content\/uploads\/2020\/03\/Bufete-Mas-y-Calvet-Folleto-Derecho-Tecnol%C3%B3gicoA4_def.pdf\">Estos son nuestros servicios<\/a><\/strong>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p><span class=\"excerpt-hellip\"> [\u2026]<\/span><\/p>\n","protected":false},"author":5,"featured_media":5105,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[],"class_list":["post-5047","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia-telecomunicaciones"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts\/5047","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/comments?post=5047"}],"version-history":[{"count":9,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts\/5047\/revisions"}],"predecessor-version":[{"id":5115,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts\/5047\/revisions\/5115"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/media\/5105"}],"wp:attachment":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/media?parent=5047"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/categories?post=5047"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/tags?post=5047"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}