La autoridad de control ha impuesto una sanción de 70.000 euros a una entidad bancaria por infringir el artículo 5.1.f) (principio de integridad y confidencialidad) del RGPD. No obstante, dicha sanción se ha reducido a 42.000 euros por cuanto se ha hecho uso de las dos reducciones previstas, reconociendo, en consecuencia, su responsabilidad.
En mayo de 2023 el reclamante efectuó una transferencia bancaria desde su banca digital a favor de un cliente de otra entidad. Una vez realizada la misma, el receptor de dicha transferencia le envió un justificante con la finalidad de que este supiera que la transferencia se había llevado a cabo de manera adecuada. No obstante, en dicho justificante constaba, entre otra información, los datos del domicilio particular del ordenante (calle, número, piso, letra, código postal y ciudad) en un apartado denominado “Ampliación remitente de la transferencia”. Habida cuenta de ello, con ocasión de la supuesta infracción de los artículos 5 y 6 de la Ley Orgánica 3/2018, interpuso una reclamación ante la Agencia Española de Protección de Datos.
Una vez se dio traslado de la reclamación a la entidad ordenante reclamada, esta presentó escrito de alegaciones en el que hacía constar que el justificante no había sido generado, confeccionado o remitido por ella, sino por la entidad beneficiaria. Asimismo, con ocasión de las actuaciones de investigación realizadas por la AEPD, la entidad ordenante indicó que, si bien se envía un justificante al emisor de la transferencia, no se facilita ninguno al beneficiario. Del mismo modo, se hacía constar que, como información adicional para la ejecución de esta operación, en algunos casos se permite la transmisión de esta información personal entre los PSP.
Asimismo, la entidad destinataria declaró que la información que se mostró al beneficiario “es, en estricto cumplimiento de la normativa, la información que la entidad emisora de la transferencia ha trasladado […] conforme a la normativa interbancaria”, así como que la misma se mostró “porque es remitida por la entidad emisora, de acuerdo con la normativa interbancaria que aplica la normativa SEPA”.
La AEPD ha declarado en su resolución que, con ocasión de las actuaciones de investigación, existen indicios de que la entidad reclamada vulneró el RGPD, puesto que no garantizó debidamente la confidencialidad de los datos al constar en el justificante la dirección postal del ordenante. En este sentido, se indica lo siguiente:
- Para la solicitud de una transferencia entre particulares que los clientes ordenan a través de su área personal, la propia entidad reclamante “no exige que sus clientes cumplimenten su dato personal relativa a la dirección postal de sus domicilios”.
- Así, si bien se indica que la entidad ordenante puede transferir a la entidad beneficiaria aquella información que el ordenante haya facilitado al solicitar la realización de la transferencia, en este caso, no consta que el ordenante facilitara el dato relativo a su domicilio postal, ni que se solicitara por la entidad emisora para ello.
- Las normas que resultan de aplicación a estos supuestos no incluyen la dirección del ordenante de la transferencia como dato que debe facilitarse obligatoriamente. Es por ello por lo que no debió enviarse esta información entre los datos del reclamante.
- Habida cuenta de que dicha información fue remitida a la entidad beneficiaria, esta debía ponerla a disposición del receptor de la transferencia, lo que ha sucedido en el caso que nos ocupa.
La APED ha tenido en consideración, como circunstancias atenuantes, el hecho de que la infracción afecta a una única persona y al dato del domicilio postal, que debe ser considerado como un dato de naturaleza básica.
Puede acceder a la resolución sancionadora de la autoridad de control aquí.
