La AEPD ha impuesto tres sanciones a la entidad financiera, dos de 100.000 euros por la infracción del artículo 6 del RGPD (licitud del tratamiento) y otra de 50.000 euros por vulnerar el artículo 17 del mismo cuerpo normativo (derecho de supresión). Estas sanciones han sido reducidas a 150.000 euros por cuanto la compañía ha hecho uso de las dos reducciones previstas, reconociendo, en consecuencia, su responsabilidad.
La reclamación se interpuso debido a que la entidad financiera cargaba en la cuenta bancaria titularidad de la afectada (con quien no mantenía relación contractual alguna) los recibos de un préstamo contratado por un tercero al que la reclamante no conocía (y que sí era cliente del banco). La afectada se dirigió a la entidad para reclamar que hubieran atribuido su cuenta bancaria a un tercero sin requerir el certificado de titularidad de la misma, solicitando la supresión de sus datos, así como una explicación de lo sucedido. En este caso, habida cuenta de la reclamación, la entidad le devolvió el importe de los recibos. No obstante, un año después, se volvieron a cargar distintos recibos en su cuenta bancaria.
La entidad financiera ha justificado esta actuación indicando que, por error, era el número de cuenta de la reclamante el que constaba en un primer momento en el contrato, así como que, con posterioridad, vendió la deuda a una tercera empresa y, si bien suprimió esta información de sus sistemas, no la eliminó del contrato que facilitó al nuevo acreedor, por lo que en el mismo seguía figurando el número de cuenta de la reclamante. En este sentido, afirma que la responsabilidad del segundo incidente debía ser de la nueva compañía acreedora.
Respecto a los primeros cargos que se efectuaron, la Agencia Española de Protección de Datos declara que, si bien la compañía indica que se debió a un error humano, “los dígitos de control de las cuentas bancarias prácticamente imposibilitan la “creación” por error de un número de cuenta auténtico”, por lo que el error se debe a que CETELEM incluyó el número de cuenta en el contrato sin comprobar la titularidad de la cuenta. Adicionalmente, la entidad no ha conseguido aclarar en ningún momento por qué aparece esta información de una persona con la que no mantiene ninguna relación contractual en la documentación de un cliente con el que no guarda relación alguna la reclamante.
Habida cuenta de lo anterior, la entidad estaría tratando esta información sin ninguna base legitimadora, generando un evidente perjuicio en la afectada, motivo por el que se considera que se ha infringido el artículo 6 del RGPD.
Respecto a las solicitudes de supresión de sus datos ejercidas por la afectada, la autoridad de control manifiesta que incluso la propia entidad reconoce el incumplimiento de estos derechos, por cuanto la supresión de los datos únicamente se llevó a cabo en sus sistemas informáticos, pero no en el contrato del deudor que, posteriormente, se vendió a un tercero (por lo que consta acreditado que no se adoptaron las medidas adecuadas y razonables para lograr su supresión). Habida cuenta de ello, se considera que la citada actuación vulnera el artículo 17 del RGPD.
Por último, respecto a la realización de nuevos cargos en la cuenta bancaria de la afectada con ocasión de la cesión de la deuda, se declara por la AEPD que se ha llevado a cabo otro tratamiento por CETELEM consistente en la “comunicación por transmisión”, siendo necesario, para ello, contar con la correspondiente base legitimadora del artículo 6 del RGPD, lo que no ha sucedido en el caso que nos ocupa, puesto que dicha comunicación se ha llevado a cabo sin base alguna (ya que los datos de la afectada nunca debían haber sido conservados por la entidad reclamada).
Puede acceder a la resolución de la autoridad de control aquí.
