Aplicar el RGPD en una entidad financiera exige distinguir operaciones que utilizan los mismos datos con objetivos diferentes. Abrir una cuenta, estudiar una solicitud de crédito, detectar fraude, cumplir obligaciones de blanqueo y ofrecer un seguro no forman una única finalidad denominada «relación con el cliente». Cada operación necesita un fundamento, información adecuada, límites de acceso y una conservación justificada.
Esta guía aborda los puntos de decisión para bancos y entidades financieras en España. Separa los ficheros de incumplimiento del scoring, explica las reglas nacionales de prevención del blanqueo y diferencia el consentimiento de los servicios de pago del consentimiento del RGPD. Los expedientes sancionadores se presentan con sus posteriores resoluciones judiciales identificadas, sin convertir los importes históricos en una clasificación de las mayores multas.
Delimitar cada finalidad antes de recoger datos
Una cuenta puede requerir datos identificativos para ejecutar el contrato con su titular y otros elementos para cumplir una obligación legal. El artículo 6.1.b exige necesidad objetiva y que la persona sea parte del contrato o haya solicitado medidas precontractuales. No cubre automáticamente el tratamiento de familiares, representantes o beneficiarios, ni todo lo que la entidad considere comercialmente útil.
El análisis de las bases de legitimación debe explicar por qué cada operación es necesaria y qué datos requiere. Para una obligación legal, identifique la norma y su alcance. Para el interés legítimo, justifique el interés, la necesidad y la ponderación de derechos. Cuando se utilice consentimiento, debe existir una elección válida y demostrable, separada de la aceptación de condiciones que resulten necesarias para el servicio.
Los datos económicos son personales cuando se refieren a una persona identificada o identificable, pero no son todos categorías especiales del artículo 9. Una operación puede, sin embargo, revelar salud, religión u otros datos protegidos. Identifique ese contenido y su condición habilitante adicional, sin aplicar automáticamente el mismo régimen a toda la información bancaria ni ignorar las inferencias que producen los modelos.
Información comprensible y prueba de las decisiones
La información de privacidad debe permitir relacionar finalidades, fundamentos, destinatarios y conservación. Si la entidad comparte datos con una aseguradora del grupo para una finalidad propia de esta, no basta con mencionar genéricamente «empresas vinculadas». Analice la comunicación y los papeles de las entidades. Pertenecer a un grupo empresarial no crea una habilitación general para reutilizar cualquier dato.
La presentación por capas puede facilitar la lectura, siempre que la información completa sea accesible y coherente. Conserve qué versión se facilitó y cuándo, y documente las opciones elegidas cuando se recabe consentimiento. Una firma en una cláusula extensa no acredita por sí sola que una elección fuese específica, libre e informada. Revise también las pantallas y los guiones utilizados en oficinas y atención telefónica.
El registro de actividades de tratamiento permite ordenar las operaciones y sus responsables. Añadir el fundamento jurídico y la evidencia de su evaluación es una práctica útil de responsabilidad proactiva; el fundamento no figura como campo expreso en el listado del artículo 30. El registro tampoco sustituye los logs de consultas concretas, que sirven para investigar accesos y deben tener sus propios límites.
Qué enseñan CaixaBank y BBVA con su recorrido judicial
En PS/00477/2019, la AEPD impuso inicialmente a CaixaBank seis millones de euros: dos millones por los artículos 13 y 14 y cuatro por el artículo 6. La resolución es de 5 de enero de 2021. Ese importe inicial no debe presentarse como resultado judicial definitivo sin examinar lo sucedido después.
La sentencia de la Audiencia Nacional de 8 de mayo de 2025, recurso 1448/2021, estimó parcialmente el recurso y fijó una única sanción de dos millones por la infracción del artículo 6 en concurso medial con las de los artículos 13 y 14. El texto reproducido contempla recurso de casación. Esta referencia describe esa resolución; no certifica el estado final de todas las posibles actuaciones posteriores.
En PS/00070/2019, la resolución de 18 de noviembre de 2020 impuso a BBVA cinco millones: dos por información y tres por licitud. La anulación de la Audiencia Nacional de diciembre de 2022 tampoco es el último hito que debe citarse. La sentencia del Tribunal Supremo 1792/2024, de 11 de noviembre, anuló aquella sentencia y desestimó el recurso del banco contra la resolución de la AEPD.
La utilidad práctica consiste en revisar la política general y su ejecución, no solo una reclamación aislada. Un defecto en una cláusula empleada sistemáticamente puede afectar a numerosas operaciones. El seguimiento de sanciones bancarias ayuda a distinguir resolución administrativa, recurso y sentencia; no sustituye la lectura de la decisión aplicable al problema que se está evaluando.
Ficheros de incumplimiento y scoring: dos análisis distintos
El artículo 20 de la LOPDGDD establece una presunción de licitud, salvo prueba en contrario, para sistemas comunes relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito, bajo requisitos concretos. No es una autorización general para cualquier modelo de calificación crediticia.
La deuda debe ser cierta, vencida y exigible, y su existencia o cuantía no debe estar sometida a las reclamaciones o procedimientos vinculantes descritos en la norma. El acreedor informa sobre la posible inclusión y los sistemas en los que participa. El gestor notifica la inclusión y los derechos dentro de los treinta días siguientes a la comunicación de la deuda al sistema, manteniendo los datos bloqueados durante ese plazo.
Los datos permanecen mientras persista el incumplimiento, con un máximo de cinco años desde el vencimiento. No se incorporan deudas cuyo principal sea inferior a cincuenta euros, conforme a la disposición adicional sexta. Compruebe los eventos de pago y rectificación: alcanzar el límite máximo no es la única causa de retirada. El acreedor debe garantizar los requisitos de inclusión y responde de la inexistencia o inexactitud de la deuda.
La consulta también está limitada a las relaciones y solicitudes contractuales previstas en el artículo 20. Si la consulta provoca la denegación o que no se celebre el contrato, quien consultó debe informar del resultado al afectado. La norma contempla además una respuesta específica cuando se impugna la exactitud y se solicita la limitación. Mantenga una trazabilidad que permita reconstruir por qué se consultó y qué decisión se tomó.
El apartado 3 excluye de esa presunción el enriquecimiento con otros datos para perfilar al deudor, particularmente mediante técnicas de calificación crediticia. Un scoring requiere examinar sus fuentes, finalidad, licitud y efecto sobre la persona. No convierta una consulta permitida en una autorización para incorporar información adicional sin evaluación independiente.
Decisiones automatizadas y revisión humana efectiva
El artículo 22 se refiere a decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente de modo similar. El perfilado no activa siempre ese artículo, pero una denegación automática de financiación puede hacerlo. La entidad debe comprobar si concurre una excepción: necesidad contractual, autorización legal con salvaguardas o consentimiento explícito.
Para las vías contractual y de consentimiento, deben establecerse medidas adecuadas, al menos la intervención humana, la posibilidad de expresar el punto de vista y de impugnar la decisión. La autorización legal exige las salvaguardas previstas en la norma. Si intervienen categorías especiales, el artículo 22.4 añade condiciones específicas. Informar de que existe un algoritmo no sustituye estas garantías ni crea una excepción por sí mismo.
La revisión humana tiene que poder valorar y cambiar el resultado. Una persona que solo confirma automáticamente una recomendación no ofrece el mismo control que un analista con información y autoridad suficientes. Documente los datos relevantes, los errores detectados y la explicación comprensible facilitada al interesado, sin confundir transparencia con la entrega indiscriminada de secretos o información de terceros.
Prevención del blanqueo: obligación y límites de uso
La Ley 10/2010 diferencia la diligencia debida del capítulo II y las obligaciones de información del capítulo III. Sus artículos 32 y 32 bis amparan los tratamientos necesarios respectivos en la obligación legal, sin precisar consentimiento. Esa habilitación no permite recopilar documentación ajena al cumplimiento de la obligación concreta.
El artículo 32 bis exige informar a los nuevos clientes antes de la relación de negocios o de una operación ocasional, incluyendo un aviso general sobre las obligaciones de prevención del blanqueo. No traslade a esa información ordinaria todas las restricciones previstas para las comunicaciones del capítulo III. El artículo 32 establece para esos tratamientos límites específicos de información y de atención de los derechos de los artículos 15 a 22.
La reutilización tampoco puede describirse mediante una prohibición absoluta mal formulada. El artículo 32 bis.2 impide usar los datos de diligencia debida para fines distintos sin consentimiento, salvo que el tratamiento sea necesario para la gestión ordinaria de la relación de negocios. Esa excepción no convierte el expediente de prevención en una base comercial de libre uso. Identifique la operación, la necesidad y las demás reglas aplicables antes de reutilizarlo.
Los artículos 32.4 y 32 bis.4 exigen evaluación de impacto para los tratamientos a los que se refieren, con medidas reforzadas y trazabilidad de accesos y comunicaciones. Aquí existe una exigencia nacional específica: no basta con un análisis genérico sobre si cualquier perfilado suele requerir evaluación. Coordine la documentación del área de prevención con la función de protección de datos, respetando las restricciones de acceso.
Conservación: diez años no significa acceso ordinario permanente
El artículo 25 dispone una conservación de diez años para la documentación comprendida, atendiendo a la terminación de la relación de negocios o la ejecución de la operación según la categoría documental. Tras cinco años desde esos eventos, la documentación conservada solo es accesible internamente por los órganos de control interno, incluidas las unidades técnicas de prevención, y, en su caso, quienes se encarguen de la defensa legal.
Esa limitación debe reflejarse en permisos y circuitos reales. Mover los archivos a otra carpeta sin cambiar quién puede consultarlos no implanta la restricción. El sistema debe conservar integridad, legibilidad y capacidad de atender requerimientos de las autoridades. Transcurrido el periodo legal, procede la eliminación prevista en la norma, sin confundir ese régimen con el archivo general de todos los datos bancarios.
Para otros documentos, establezca el plazo y su fundamento por separado. Una necesidad concreta de defensa puede justificar una conservación delimitada, pero no una prórroga silenciosa de toda la base de clientes. Cuando responda a una solicitud de supresión, explique qué datos se eliminan y qué conservación procede, con su finalidad residual. La cancelación de un producto no borra automáticamente todas las obligaciones legales asociadas.
Open banking y consentimiento contractual
Las Directrices 06/2020 del CEPD, versión final 2.0, distinguen el consentimiento explícito de PSD2 del consentimiento como fundamento del RGPD. El primero, en el contexto del artículo 94.2, es un requisito contractual adicional; no constituye una séptima base jurídica ni equivale automáticamente al consentimiento del artículo 6.1.a.
Para prestar el servicio solicitado, el tratamiento puede apoyarse en el artículo 6.1.b cuando resulte objetivamente necesario y exista la relación exigida con el interesado. Delimite las cuentas, categorías y operaciones realmente necesarias. Incorporar un servicio adicional al mismo contrato no convierte en necesaria cualquier utilización de los movimientos para publicidad o análisis ajenos al servicio de pago.
Compruebe qué proveedor inicia pagos, cuál informa sobre cuentas y qué entidad determina las finalidades. La autorización de acceso no resuelve por sí sola la información a las personas ni las condiciones sobre otros usos. El seguimiento de fintech y pagos permite profundizar en problemas de ese ámbito sin trasladar automáticamente un expediente de una entidad a todos los proveedores.
DORA, seguridad y respuesta a derechos
Desde el 17 de enero de 2025, DORA resulta aplicable a las entidades incluidas en su ámbito, con las exclusiones y particularidades previstas. Sus obligaciones sobre riesgo TIC y proveedores se coordinan con el RGPD, pero un informe al supervisor financiero no sustituye automáticamente la evaluación de una violación de datos personales.
La notificación del artículo 33 debe realizarse sin dilación indebida y, si es posible, dentro de las 72 horas desde el conocimiento, salvo que sea improbable que la violación entrañe un riesgo para los derechos y libertades. Deben explicarse los retrasos. Todas las violaciones se documentan; la comunicación a las personas por riesgo alto es una decisión diferente conforme al artículo 34. Una incidencia técnica puede requerir otro reporte sin constituir una violación de datos personales.
Los canales de ejercicio del derecho de acceso deben localizar datos en oficinas, aplicaciones y proveedores. En general se responde sin dilación indebida y en un mes, con la extensión motivada permitida por complejidad o número de solicitudes y comunicada dentro del primer mes. Si no se actúa, se comunican los motivos sin demora y, como máximo, en un mes, junto con las vías de reclamación y tutela judicial, sin perjuicio de las restricciones legales específicas ya explicadas.
La gobernanza debe vincular decisiones y evidencias: quién aprobó el uso, qué información recibió el cliente y cómo se ejecutan las restricciones. La guía de sanciones RGPD explica criterios y límites sin convertir la sanción en automática. Los tratamientos compartidos con abogados, notarías o administradores de fincas requieren igualmente examinar cada papel y comunicación, incluso cuando todos intervienen en una misma operación financiera.