Entre 2018 y 2019 se presentaron dos reclamaciones ante la Agencia Española de Protección de Datos (AEPD), en las que se denunciaba que CaixaBank exigía a sus clientes aceptar nuevas condiciones de protección de datos, que obligaban a otorgar el consentimiento para compartir datos personales con las empresas del grupo que podrían tratarlo con fines comerciales. Además, el procedimiento para cancelar dicho consentimiento resultaba excesivamente complejo, ya que requería que el cliente enviara una solicitud individual a cada una de esas empresas del grupo.
La AEPD inició un procedimiento sancionador contra la entidad bancaria y, en enero de 2021, le impuso una multa total de 6 millones de euros, desglosada de la siguiente forma:
- 4 millones de euros por una infracción muy grave del artículo 6 del Reglamento General de Protección de Datos (“RGPD”), por no solicitar un consentimiento específico para la cesión de datos a las empresas del grupo con fines comerciales.
- 2 millones de euros por una infracción leve de los artículos 13 y 14 RGPD, por no proporcionar información clara y accesible sobre el tratamiento de los datos personales.
Esta resolución fue recurrida ante la Audiencia Nacional que estima parcialmente el recurso de CaixaBank contra la resolución de la AEPD.
Los puntos clave del fallo son los siguientes:
(i) Se anula la resolución original de la AEPD por no ser conforme a Derecho.
(ii) La Audiencia Nacional reformula la calificación jurídica de las infracciones: considera que hay una única infracción del artículo 6 del RGPD (licitud del tratamiento) en concurso medial con los artículos 13 y 14 (información al interesado). El concurso medial se produce porque la omisión del deber de información fue un factor determinante y necesario para que el consentimiento se otorgara de forma viciada.
(iii) Sanción impuesta: Se reduce la multa a 2 millones de euros, frente a los 6 millones originales.
(iv) La Audiencia Nacional aplica criterios más restrictivos que la AEPD al valorar los agravantes; excluyendo aquellos inherentes a la propia infracción, en línea con el principio de proporcionalidad.