Las sanciones de la AEPD en banca permiten identificar problemas concretos de información, legitimación y gestión de datos. Para interpretarlas hay que leer el expediente y su evolución judicial: una multa inicialmente anunciada puede ser anulada o modificada. Tampoco permite deducir, por sí sola, cuánto se sancionará a otra entidad. Esta guía analiza dos decisiones documentadas y explica cómo trasladar sus enseñanzas a los procesos de una entidad financiera.
El trabajo útil consiste en seguir una operación completa. Por ejemplo, desde que una persona facilita datos para abrir una cuenta hasta que esos datos se utilizan para seleccionar una oferta comercial. En ese recorrido cambian las finalidades, pueden intervenir sociedades distintas y aparecen decisiones que deben justificarse separadamente. La firma del contrato bancario no resuelve todas esas cuestiones.
Cómo leer una sanción bancaria sin confundir sus efectos
Un análisis debe identificar la entidad sancionada, el número de procedimiento, la fecha de resolución, las infracciones apreciadas y las medidas correctoras. Después debe separar la resolución administrativa del recurso de reposición y de las sentencias. El año de publicación de una noticia no sustituye la fecha del acto, y una sentencia recurrible no prueba por sí sola la firmeza del resultado.
También hay que distinguir la descripción de hechos, las alegaciones del banco y la conclusión del órgano que decide. Que una resolución reproduzca una defensa basada en interés legítimo no significa que la AEPD la acepte. Del mismo modo, una referencia a perfiles no equivale a una condena por decisiones exclusivamente automatizadas del artículo 22. Esa distinción cambia tanto el diagnóstico como la medida que debe corregirlo.
Para comparar expedientes, el seguimiento de sanciones AEPD puede ayudar a localizar casos, pero cada importe debe vincularse a su documento y estado procesal. No existe una tarifa general para una política de privacidad deficiente o una consulta indebida. Las circunstancias del artículo 83 del RGPD influyen en la graduación y deben motivarse en el caso concreto.
CaixaBank: decisión inicial y modificación judicial
En el procedimiento PS/00477/2019, resuelto el 5 de enero de 2021, la AEPD impuso inicialmente seis millones de euros: dos millones por infracción de los artículos 13 y 14 y cuatro millones por infracción del artículo 6. El expediente examinó información, consentimiento y tratamientos descritos en la documentación contractual. Declaró expresamente que no existía infracción del artículo 22. Por tanto, presentar esos seis millones como una multa por scoring crediticio automatizado alteraría el contenido de la decisión.
La sentencia de la Audiencia Nacional de 8 de mayo de 2025, ECLI:ES:AN:2025:2166, estimó parcialmente el recurso y fijó una sanción de dos millones de euros por el artículo 6. Apreció concurso medial y revisó las agravantes; la infracción informativa quedó absorbida. Se enlaza una reproducción del texto judicial, identificada por su ECLI. Este resultado explica por qué los seis millones iniciales no deben presentarse como el importe judicialmente mantenido. La sentencia citada tampoco permite afirmar, sin comprobar recursos posteriores, que ese resultado sea firme.
La enseñanza operativa es revisar conjuntamente lo que se informa y lo que se autoriza. Si una pantalla agrupa finalidades heterogéneas, el equipo debe comprobar qué entiende la persona que acepta, qué tratamientos son necesarios para el servicio y cuáles dependen de una elección adicional. Una casilla no corrige información ambigua sobre destinatarios o usos. La revisión debe abarcar el recorrido real, incluidas pantallas, documentos descargables y cambios de versión.
BBVA: no fue únicamente un problema de información
El número correcto del expediente es PS/00070/2019. La resolución de 18 de noviembre de 2020 impuso inicialmente cinco millones de euros: dos millones por los artículos 13 y 14 y tres millones por el artículo 6. Invertir esas partidas o describir todo el importe como una infracción informativa impediría entender el reproche relativo a la base jurídica.
La evolución posterior importa. La Memoria 2024 de la AEPD recoge la sentencia del Tribunal Supremo 1792/2024, de 11 de noviembre, recurso 2960/2023, favorable a la Agencia frente a la sentencia anulatoria de la Audiencia Nacional de 23 de diciembre de 2022. Explica que la investigación puede alcanzar la política general de privacidad de la que proceden las infracciones denunciadas, respetando el conocimiento del expediente y las oportunidades de defensa. No debe conservarse una referencia a la anulación de 2022 como si cerrase por sí sola la trayectoria del asunto.
Para una entidad, esto justifica buscar la causa común de una reclamación. Si el cliente denuncia que no entiende una comunicación comercial, la investigación interna debería comprobar si el defecto aparece en el texto que reciben miles de personas. Resolver únicamente el mensaje individual deja activa la posible causa. La corrección necesita una versión nueva, una fecha de implantación y evidencias de que los distintos canales la utilizan.
Asignar una base jurídica a cada finalidad
La relación bancaria comprende operaciones diferentes: ejecutar una transferencia, verificar exigencias normativas, gestionar una reclamación o seleccionar productos para una campaña. El artículo 6 exige identificar una base adecuada para cada tratamiento. La necesidad contractual requiere que el tratamiento sea objetivamente necesario para un contrato con el interesado o para medidas precontractuales solicitadas por él. No basta con introducir una finalidad opcional en las condiciones generales.
Cuando se invoca una obligación legal, conviene identificar la norma y los datos que exige. Una obligación de conservar cierta documentación no autoriza a reutilizarla para cualquier análisis comercial. Cuando se invoca interés legítimo, el expediente debe explicar el interés perseguido, la necesidad del tratamiento y la ponderación de derechos y expectativas, junto con las garantías elegidas. No se sustituye esa evaluación por una frase común para todos los procesos.
Si el tratamiento depende del consentimiento, la entidad debe poder demostrar qué información recibió la persona y qué acción manifestó su elección. La guía sobre consentimiento en el RGPD desarrolla estas condiciones. Separar la contratación del servicio de las opciones adicionales permite registrar una negativa sin interrumpir procesos que no dependen de esa autorización. La retirada debe propagarse a las herramientas que ejecutan la finalidad correspondiente.
Un ejemplo hipotético ayuda: una persona mantiene una cuenta y retira el consentimiento para recibir ofertas personalizadas. El banco debe revisar esa finalidad comercial y sus listas de ejecución; no tiene que cerrar automáticamente la cuenta ni borrar los registros cuya conservación sigue siendo necesaria por otro motivo válido. Tampoco puede conservar el mismo uso comercial cambiando de etiqueta sin haber evaluado su legitimidad y transparencia.
Información comprensible y comprobable en todos los canales
Los artículos 12, 13 y 14 del RGPD exigen información accesible y comprensible sobre el tratamiento. En banca, conviene que el cliente pueda relacionar una finalidad con sus datos, su base jurídica y sus destinatarios. Expresiones como «mejorar nuestros servicios» necesitan concreción cuando engloban operaciones sustancialmente distintas. El detalle puede organizarse por capas, siempre que la información necesaria siga siendo fácil de encontrar.
Una revisión práctica puede partir de tres momentos: alta del cliente, incorporación de datos procedentes de otra fuente y nueva finalidad. En cada uno debe identificarse quién recibe información, qué versión corresponde y cuándo se facilita. El artículo 14 tiene reglas propias para los datos no obtenidos del interesado; la mera existencia de una política pública no acredita automáticamente que se hayan cumplido sus condiciones.
La documentación también debe explicar los plazos de conservación o los criterios para determinarlos. Es poco útil indicar únicamente que los datos se guardarán «mientras sean necesarios» si la entidad puede describir el cierre de la relación, el cumplimiento de obligaciones y la conservación para reclamaciones. Esas fases deben traducirse a permisos y usos permitidos en los sistemas. Una cuenta inactiva no debe seguir alimentando campañas por simple inercia técnica.
Perfiles y decisiones automatizadas: identificar qué ocurre realmente
La elaboración de perfiles y el artículo 22 no son categorías equivalentes. Este último se refiere a decisiones basadas únicamente en tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten significativamente de modo similar. Un sistema de recomendación comercial y una decisión automática de denegar financiación pueden plantear problemas distintos. Primero hay que reconstruir el flujo y comprobar el efecto real sobre la persona.
Si existe una intervención humana, debe examinarse su contenido. Conviene comprobar qué información ve quien decide, si puede modificar el resultado y si revisa realmente los elementos pertinentes. Una aprobación rutinaria del resultado informático no demuestra por sí misma que haya una evaluación humana sustantiva. Las evidencias pueden incluir instrucciones, facultades de revisión y ejemplos de decisiones motivadas, con acceso restringido a los expedientes utilizados.
Las excepciones del artículo 22.2 comprenden la necesidad contractual, la autorización por Derecho de la Unión o del Estado miembro con medidas adecuadas y el consentimiento explícito. No toda automatización útil es necesaria para contratar. Cuando resulten aplicables las letras a) o c), el apartado 3 exige salvaguardias que incluyen intervención humana, expresión del punto de vista e impugnación. Los datos de categorías especiales tienen condiciones adicionales en el apartado 4.
La información significativa sobre la lógica, importancia y consecuencias se conecta con los artículos 13, 14 y 15 en los casos previstos. No se satisface necesariamente entregando código fuente ni prometiendo una lista universal de ponderaciones. Debe explicar de forma inteligible el funcionamiento relevante para la decisión y permitir al interesado ejercer sus derechos. Las sanciones a fintech y servicios de pago ofrecen un contexto sectorial próximo, aunque los hechos de cada expediente deben analizarse separadamente.
Sistemas de información crediticia: comprobar requisitos antes de comunicar
El artículo 20 de la LOPDGDD contiene una presunción de licitud condicionada para determinados sistemas comunes de información crediticia. La deuda debe ser cierta, vencida y exigible; su existencia o cuantía no debe estar sometida a reclamación administrativa o judicial del deudor ni a un procedimiento alternativo vinculante. El acreedor debe garantizar los requisitos de inclusión y la exactitud de la información.
Además, debe haberse informado al afectado, en el contrato o al requerir el pago, de la posible inclusión, identificando los sistemas en los que participa el acreedor. El sistema comunica la inclusión y los derechos dentro de los treinta días siguientes a la notificación de la deuda al sistema; durante ese plazo los datos permanecen bloqueados. Estos controles tienen que existir antes de que un envío masivo se convierta en información consultable.
La disposición adicional sexta prohíbe incorporar deudas cuyo principal sea inferior a cincuenta euros. No se trata de una recomendación de proporcionalidad ni de afirmar que esas deudas «rara vez» justifican la inclusión. La información solo puede mantenerse mientras persista el incumplimiento, con un máximo de cinco años desde el vencimiento. Pagar la deuda y alcanzar ese límite son eventos que necesitan seguimiento operativo.
Las consultas también están condicionadas por la relación contractual o la solicitud de contratación descritas en el artículo 20. Cuando una denegación deriva de la consulta, debe informarse al afectado de su resultado. Para controlar el proceso, una entidad puede conservar la referencia de la deuda, el evento que habilitó el envío, la información facilitada y las actualizaciones remitidas, evitando duplicar datos innecesarios. El diseño debe permitir corregir el registro en origen y propagar la corrección.
Accesos internos y brechas: evidencias antes de conclusiones
Que un empleado tenga credenciales válidas no significa que pueda consultar cualquier cuenta. Los permisos deben corresponder a sus funciones y a la necesidad de cada operación. Como medida organizativa, resulta útil asignar responsables a los perfiles de acceso y revisar las altas, cambios de puesto y bajas. Los registros de consulta deben permitir investigar un uso indebido sin convertirse en una colección indefinida de datos de trabajadores y clientes.
Ante una consulta sospechosa, conviene preservar las evidencias pertinentes, limitar nuevos accesos y determinar qué información se vio, si se extrajo y a quién pudo comunicarse. El hecho exige una evaluación concreta de seguridad y de riesgo. No hay una sanción automática de importe fijo por cada consulta ni basta afirmar que el empleado actuó por su cuenta para cerrar la responsabilidad organizativa.
Si existe una violación de seguridad de datos personales, el artículo 33 exige notificar a la autoridad sin dilación indebida y, cuando sea posible, dentro de las setenta y dos horas desde que se tenga constancia, salvo que sea improbable que entrañe riesgo para los derechos y libertades. Si la notificación es posterior, deben explicarse los motivos de la demora. Todas las brechas se documentan; la comunicación a personas bajo el artículo 34 exige valorar el alto riesgo y sus excepciones.
El Reglamento DORA para entidades financieras añade un marco sectorial que debe coordinarse con este análisis. Un incidente tecnológico no activa automáticamente todos los mecanismos: el equipo debe clasificarlo según cada régimen, identificar el destinatario y seguir los plazos correspondientes. Compartir información entre seguridad, resiliencia y protección de datos ayuda a evitar respuestas incoherentes, pero no fusiona las obligaciones jurídicas.
Derechos del cliente y revisión del sistema de cumplimiento
El cliente puede ejercer el derecho de acceso para conocer sus datos y obtener la información prevista en el artículo 15. La entidad debe localizar también los datos relevantes en herramientas comerciales, expedientes y proveedores, según el alcance de la petición. No basta entregar movimientos de cuenta si se han solicitado otros datos personales tratados por el banco.
El plazo ordinario del artículo 12.3 es un mes desde la recepción, con la posible prórroga motivada de hasta dos meses adicionales según complejidad y número de solicitudes, comunicada dentro del primero. Si no se actúa, deben comunicarse los motivos sin dilación y como máximo dentro de un mes, indicando reclamación ante la autoridad y tutela judicial. Este procedimiento no debe confundirse con la reclamación voluntaria previa al delegado de protección de datos del artículo 37.1 LOPDGDD, que contempla una decisión en un máximo de dos meses.
Una auditoría de protección de datos puede comprobar muestras completas: información recibida, base jurídica, ejecución del tratamiento, accesos y respuesta a una solicitud. La frecuencia se decide atendiendo a riesgos y cambios; no existe una periodicidad anual universal impuesta por el RGPD a toda auditoría bancaria. La revisión debe producir responsables y plazos de corrección, además de verificar que el cambio funciona en las operaciones.
Cuando se comercializan seguros, la conexión con la entidad aseguradora necesita un análisis propio. Los roles y las finalidades no se deducen de que las empresas pertenezcan al mismo grupo. La guía de RGPD para compañías de seguros desarrolla ese ámbito, particularmente relevante cuando intervienen datos de salud. La decisión práctica es determinar quién hace qué, con qué legitimación y qué información recibe el cliente en cada paso.