Uso ilícito de datos de clientes por parte de una Entidad Bancaria

La Agencia Española de Protección de Datos (“AEPD”) tras casi dos años desde la entrada en vigor del RGPD el 25 de mayo de 2018, ha dictado más de 300 resoluciones basándose en esta normativa, de las cuales 100 han acabado en multa.

La entrada del 2021 nos trae multa récord, 6 millones de Euros. La agencia impone una multa de 2 millones por la infracción, considerada leve, de los artículos 13 y 14 del RGPD, mientras que los otros 4 millones llegan por saltarse el artículo 6 de la misma normativa, una vulneración calificada como muy grave por el Reglamento General de Protección de Datos.

Antecedentes:

Una entidad bancaria ha sido multada por parte de la Agencia Española de Protección de datos debidos a los siguientes hechos:

1. En enero de 2018 un cliente denunció a la entidad bancaria al obligarlo a dar el consentimiento para que sus datos fueran tratados por parte de otras empresas del grupo para fines comerciales, por lo que los clientes no tenían libre decisión sobre sus datos personales.
2. Posteriormente, en el año 2019, una asociación de consumidores puso la misma reclamación en relación con el “Contrato marco” que suscriben los clientes de la entidad, mediante el que se recogen los datos personales de los clientes. Este era un contrato de adhesión, y como tal, los clientes no podían negociar su contenido, siendo que el mismo imponía el consentimiento al tratamiento de los datos, así como también la cesión a terceras empresas con las que el cliente no tenía relación. En este sentido pues, los clientes no eran libres de decidir.
3. En los contratos marco constan datos que el cliente no ha proporcionado directamente a la entidad, por lo que se deduce que se han obtenido de otras fuentes.

A raíz de ello, la AEPD inicio un procedimiento sancionador PS/00447/2019 al haber vulnerado la obligación del deber de información que se ha de facilitar cuando los datos personales se obtengan del interesado (art. 13 RGPD) y a la que hay que proporcionar cuando, por el contrario, no se han recabado del interesado directamente (art. 14 RGPD), además no habían informado de forma clara al cliente, vulnerando el art. 6 RGPD.

Seguir leyendo