El objeto de la presente nota informativa (en adelante, la «Nota») es el análisis por parte de ECIJA, de los principales criterios jurídicos manifestadfos por la Agencia Española de Protección de Datos (en adelante, «AEPD») en el Procedimiento Sancionador con referencia PS/00500/2020, para la imposición de la sanción, por valor de tres millones de Euros, a una entidad financiera (en adelante, la «Entidad»), filial de un Grupo financiero, como consecuencia de la infracción del artículo 6.1 Reglamento 679/2016 General de Protección de Datos (en adelante, «RGPD»), tipificada en el artículo 73 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, «LOPDGDD»).
En primer lugar, resulta de interés señalar que nos encontramos ante la segunda resolución que culmina con sanción para una entidad del presente grupo de empresas dentro del año 2021, teniendo lugar la primera de ellas el pasado mes de enero, correspondiente a un procedimiento sancionador –PS/00477/2019-, en el cual se sancionó a otra entidad del Grupo por infracción del deber de información y la invalidez del consentimiento y del interés legítimo que servían como base legitimadora para llevar a cabo algunos de los tratamientos realizados por la citada entidad, entre ellos, la elaboración de perfiles, siendo -por segunda vez- uno de los aspectos que han tenido protagonismo en esta última resolución de octubre de 2021 que a continuación se analiza.
(I) Introducción de los hechos
El inicio del Procedimiento Sancionador PS/00500/2020 trae causa de la denuncia interpuesta ante la Agencia Española de Protección de Datos por parte de un particular -excliente de de la Entidad-, debido al conocimiento por parte de este de que se había solicitado cierta información sobre su persona, a través de un expediente de solvencia de créditos preconcebidos, no existiendo en ese momento relación jurídica con la Entidad e incluyéndose, como consecuencia, en una campaña comercial de la Entidad.
Efectuado el correspondiente requerimiento de información a la Entidad por parte de la AEPD, la Entidad admitió que dicha circunstancia se trataba de un error humano y puntual, por lo que fue inadmitida a trámite la denuncia presentada por el excliente. No obstante, no conforme el denunciante con la decisión, la resolución de inadmisión fue recurrida, estimándose finalmente dicho recurso.
A consecuencia de esta reclamación, tuvo lugar el inicio por parte de la AEPD de las actuaciones de investigación e inspección necesarias, con respecto a los tratamientos llevados a cabo por la Entidad. En concreto, sobre la realización de perfiles realizados de sus clientes que tuvieran como base de legitimación el consentimiento, acordándose la apertura de actuaciones previas de investigación respecto a estos tratamientos de datos realizados por la Entidad.
(II)Análisis jurídico
El presente procedimiento sancionador objeto de análisis de esta Nota, culminó con la imposición de una sanción por cuantía de tres millones de euros a la Entidad, en base a una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a de la LOPDGDD.
En esencia, la Entidad es sancionada por extraer y utilizar perfiles de sus clientes sin una base legítima suficiente, no dando la AEPD por válido el consentimiento recabado de los interesados, ni tampoco la información facilitada respecto a la elaboración de estos perfiles, así como por compartir esta información con el resto de las empresas pertenecientes al Grupo, en base, tal y como alega la propia Entidad, a la existencia de un presunto régimen de corresponsabilidad para la realización de este tratamiento.
Previamente a comenzar con el análisis e impacto de la resolución objeto de esta Nota, cabe mencionar que, gran parte de las alegaciones efectuadas, en el seno del procedimiento sancionador por parte de la Entidad, tienen como base la presunta existencia de defectos de carácter procesal, argumentándose por parte de la Entidad, entre otros,: el quebrantamiento del principio nos bis in idem, la actuación arbitraria de la AEPD, la falta de motivación del acuerdo de inicio del procedimiento o la supuesta extensión artificial de las actuaciones previas por parte de la AEPD.
Sentado lo anterior, y en lo que aquí interesa, procede analizar los aspectos materiales derivados esta resolución, siendo posible encuadrarlos en tres bloques:
- Deber de información de los responsables del tratamiento.
En este caso en particular, la AEPD entendió que la información facilitada a los clientes no era suficiente para alcanza un entendimiento adecuado respecto al tratamiento de datos llevado a cabo por la Entidad. En concreto, estima que el consentimiento solicitado a los mismos para realizar elaboraciones de perfiles no resulta correcto, por no permitir una compresión completa de la finalidad y alcance de dicho tratamiento, ni por tanto de las consecuencias que este perfilado puede llegar a tener para los titulares de los datos.
A este respecto, conviene recordar que, conforme al RGPD, los responsables del tratamiento deben, en todo momento, facilitar a los titulares de los datos información básica y necesaria, requerida por la normativa aplicable, con respecto al tratamiento de datos que vaya a realizarse por el responsable del tratamiento, debiendo ajustarse a los principios establecidos en el artículo 5 del RGPD: licitud, lealtad y transparencia.
2. Cómo debe facilitarse la información a los titulares de los datos y, en concreto, en caso de llevarse a cabo elaboraciones de perfiles.
Respecto a la forma o método a utilizar para facilitar la información a los clientes por parte de la Entidad, la AEPD, en el seno de este procedimiento, resalta que la información facilitada no resultaba conforme a la normativa de materia de protección de datos, en base a los siguientes fundamentos:
(i) Carácter genérico de la información
(ii) Imposibilidad de conocer alcance del tratamiento
(iii) Disparidad de finalidades perseguidas no debidamente informadas
(iv) Consulta de fuentes terceras de datos
(i) La información facilitada por la Entidad se considera que ostentaba carácter genérico e insuficiente para cumplir con el deber de información del responsable del tratamiento.
En este sentido, la AEPD indica en su resolución que, en definitiva, no se cumplen con los requisitos básicos y necesarios para poder hacer uso del consentimiento como base de legitimación, debiendo ser, en todo caso, un consentimiento libre, informado, específico e inequívoco.
En concreto, se menciona que la información facilitada para los diferentes tratamientos no era clara ni específica, al hacerse referencia, en el primero de los consentimientos analizados, a lo siguiente:
“el estudio de productos o servicios que puedan ser ajustados a su perfil y situación comercial concreta, para efectuarle ofertas comerciales ajustadas a sus necesidades y preferencias”.
Con ello, la AEPD concluyó que esta información no era suficiente para que el interesado pudiera conocer en qué consistía dicho tratamiento, ni deducir que los productos con los que pudiera ser impactado fueran los exclusivamente comercializados por la Entidad, ni, en ningún caso, que estos servicios pudieran llegar a incluir la asignación de límites de crédito “preconcedidos”, siendo todos estos hechos consecuencias derivadas directamente del consentimiento prestado por parte de los clientes de la Entidad.
Asimismo, la AEPD incide en que estas carencias no han sido detectadas únicamente en el consentimiento antes analizado, sino también el resto de los tratamientos, en relación al perfilado, detectados tras el análisis de la información aportada por la Entidad.
(ii) La información no permitía conocer el alcance de los tratamientos, ni los datos utilizados de los titulares para la elaboración de los perfiles.
En este sentido, y respecto a la información que debe facilitarse a los interesados cuando se lleven a cabo elaboración de perfiles, la AEPD trae a colación las Directrices sobre decisiones individuales automatizadas y elaboración de perfiles del Reglamento 2016/67, en concreto, lo destinado a analizar las bases jurídicas pertinentes para la elaboración de perfiles respecto a lo previsto en el artículo 6.1.a) RGPD, esgrimiéndose lo siguiente:
“Los responsables del tratamiento que pretendan basarse en el consentimiento como base para la elaboración de perfiles deberán demostrar que los interesados entienden exactamente qué están consintiendo, y deberán recordar que el consentimiento no es siempre una base adecuada para el tratamiento. En todos los casos, los interesados deben contar con suficiente información sobre el uso y las consecuencias previstos del tratamiento para garantizar que cualquier consentimiento que den constituya una elección informada.”
(iii) No se preveía que el interesado pudiera expresar su opción en relación con todos los fines para los que se trataban sus datos por parte de la Entidad.
Sobre este tercer aspecto, cabe resaltar que, conforme a los fundamentos plasmados por la AEPD, parece ser que esta Autoridad no consideró suficiente la información facilitada para concluir que el titular de los datos tenía conocimiento suficiente para comprender las finalidades para las cuales estaba prestando dicho consentimiento.
Según lo recogido en la resolución, al informarse en el consentimiento del perfilado la finalidad de “la oferta y diseño de productos y servicios ajustados al perfil del cliente”, no resulta completa ni exhaustiva tal información, teniendo en cuenta que dicho tratamiento y, por ende, consentimiento, comprendía en total tres finalidades diferentes:
- Estudio de productos y/o servicios que pudieran ajustarse a su perfil;
- seguimiento de los productos y/o servicios contratados;
- ajuste de medidas recuperativos de impagos e incidencias derivadas de esos productos y/o servicios);
- así como otras finalidades añadidas a las mismas, tal y como se describe en el fundamento de derecho IV de la resolución del procedimiento sancionador.
(iv) Falta de información sobre la consulta a fuentes terceras -como los ficheros de solvencia y de la Central de Riesgos del Banco de España- para la elaboración de esos perfiles, con objeto y fines comerciales.
Además de todo lo anteriormente expuesto, la AEPD incide también en la falta de información con respecto a las fuentes utilizadas para la elaboración de estos perfiles, así como la falta de información respecto a las categorías de datos que van a ser utilizados para elaborar un perfil de los clientes que presten dicho consentimiento.
3. Comunicación de datos entre empresas sin base de legitimación suficiente, en base a un presunto régimen de corresponsabilidad para el tratamiento.
Respecto a este punto, el cual también fue objeto de análisis en el anterior procedimiento sancionador de enero de 2021 – PS/00477/2019- , la AEPD concluye, en el mismo sentido que en dicha resolución, es decir, el acuerdo de corresponsabilidad entre las empresas del Grupo no puede considerarse válido, teniendo en cuenta que, por un lado, dicho acuerdo seguía sin contar con fecha ni firma, esgrimiéndose en el propio documento -es decir, en acuerdo de corresponsabilidad- en su apartado 6, que “El presente Acuerdo entrará en vigor en la fecha de su firma”, por lo que la AEPD no otorga, una vez más, validez a dicho documento, al no haberse acreditado por la Entidad la existencia de un régimen de corresponsabilidad entre las entidades del Grupo respecto a estos tratamientos.
Por ello, concluye que, analizados los diversos documentos aportados por la Entidad donde se solicita el consentimiento, éste es recogido para “el Grupo”, lo que constituye, en palabras de la AEPD: “una comunicación de datos a las empresas del Grupo, comunicación que constituye una finalidad específica en si misma que requiere una manifestación de voluntad del interesado por la que éste consienta que puede llevarse a cabo”.
- Consideraciones finales
Tras el análisis llevado a cabo a través de la presente Nota, resulta interesante destacar la labor de investigación y análisis de la AEPD sobre el contenido y expresión de la información que debe seguirse cuando se pretendan llevar a cabo elaboraciones de perfiles usando como base de legitimación el consentimiento de los titulares de los datos. Sin duda, no sería inesperado que, tras el análisis plasmado en la extensa resolución aquí analizada, la AEPD se sirva del mismo para futuros casos que pudieran culminar en la apertura de procedimientos de investigación y/o sancionadores respecto a la elaboración de perfiles y el uso del consentimiento como base de legitimación.
Área IT, Privacidad y Seguridad de ECIJA