L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (BBVA), comprenant le prononcé d'une amende de 100 000 €, pour avoir traité des données bancaires sans base légale valide. Cette affaire débute par une plainte déposée par une cliente signalant que, suite à la clôture de son compte bancaire, un prélèvement a été débité sur un nouveau compte sans son autorisation.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6 du RGPD) : La banque a débité un prélèvement sur un nouveau compte client, alors que le mandat de prélèvement unique européen (SEPA) concernait un ancien compte qui avait été clôturé. L'autorité a estimé que la banque ne disposait d'aucune base légale valide pour ce traitement, car le consentement de la cliente pour débiter ce nouveau compte n'a pas été démontré. Les bases légales alternatives invoquées par la banque, à savoir l'exécution du contrat et l'intérêt légitime, ont été écartées, l'autorité considérant qu'un mandat SEPA est lié à un compte spécifique et que les conditions de l'intérêt légitime n'étaient pas remplies.

En conséquence, l’autorité a imposé une amende de 100 000 € à BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (BBVA). Ce montant a été réduit à 80 000 € suite à un paiement volontaire de la part de la banque.