La Caixa ha sido sancionada con 100.000 euros de multa por obtener el consentimiento de los clientes del canal on-line para el envío de publicidad y la cesión de los datos a empresas del grupo, a través de casillas previamente marcadas.

Señala la AEPD que no se ha cumplido el requisito según el cual:

1. El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen.
2. El silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento (Considerando 32).

La ausencia de tal requisito determina que el mismo no sea válido de modo que los tratamientos basados en él carecen de legitimación, contraviniéndose así lo previsto en el artículo 6 del RGPD.

En este sentido, señalan las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, respecto de la manifestación de voluntad inequívoca:

1. El RGPD establece claramente que el consentimiento requiere una declaración del interesado o una clara acción afirmativa, lo que significa que siempre debe darse el consentimiento mediante una acción o declaración. Debe resultar evidente que el interesado ha dado su consentimiento a una operación concreta de tratamiento de datos.
2. Un responsable del tratamiento debe tener también en cuenta que el consentimiento no puede obtenerse mediante la misma acción por la que el usuario acuerda un contrato o acepta los términos y condiciones generales de un servicio.
3. La aceptación global de los términos y condiciones generales no puede considerarse una clara acción afirmativa destinada a dar el consentimiento al uso de datos personales.
4. El RGPD no permite que los responsables del tratamiento ofrezcan casillas marcadas previamente o mecanismos de exclusión voluntaria que requieran la intervención del interesado para evitar el acuerdo (por ejemplo, «casillas de exclusión voluntaria.