Multa millonaria a CaixaBank por uso ilícito de datos de sus clientes

La Agencia Española de Protección de Datos (AEPD) ha impuesto a CaixaBankmultas que suman 6 millones de euros por infringir varios apartados del Reglamento de Protección de Datos (RGPD) y utilizar de manera ilícita información personal de sus clientes y no proteger su privacidad.

La resolución, adelantada por el diario El País, es un escrito de 177 páginas contra la que la entidad bancaria puede presentar recurso y que, además de imponer las multas, insta a CaixaBank a, en el plazo de seis meses, "adecuar" la información que ofrece a sus clientes sobre el consentimiento para la recogida y tratamiento de sus datos personales.

Según la resolución de la AEPD, que está disponible en su página web, CaixaBank ha infringido los artículos 13 y 14 del RGPD, que se refieren a la información que debe facilitarse cuando los datos personales se obtengan del interesado y a la que hay que proporcionar cuando, por el contrario, no se han recabado.

La agencia estima que Caixabank no proporcionó a los interesados información suficiente y adecuada sobre los diversos tratamientos realizados, que tuvo una conducta negligente, que mantuvo la infracción de manera continuada, y que utilizó un elevado volumen de datos de sus clientes, que el 26 de diciembre de 2019 ascendían a 15,7 millones de personas, entre otras irregularidades.

Tras considerar todos estos factores, la agencia impone una multa por infracción de 2 millones de euros a la entidad bancaria.

Legitimidad del tratamiento de datos
No obstante, además de todos estos factores, la agencia concluye que CaixaBank ha infringido de manera "muy grave" el artículo 6 del Reglamento General de Protección de Datos que se refiere a la licitud o legitimidad del tratamiento de datos.

Sobre este punto, la resolución considera probado que CaixaBank cometió irregularidades en la recogida de los datos personales y en la prestación de los consentimientos solicitados a los clientes, y añade que "la gravedad de las infracciones se incrementa atendiendo al alcance o propósito de las operaciones de tratamiento de que se trata, que incluyen la elaboración de perfilados utilizando una información excesiva".

También considera agravantes: el grado de responsabilidad de la entidad, ya que CaixaBank no cuidó de que fueran utilizados "exclusivamente los datos necesarios en razón al fin pretendido", así como los beneficios obtenidos por la infracción, dado que la información de los clientes sirvió "para diseñar nuevos productos o servicios o mejorar los existentes y para la difusión de los mismos".

"Alto grado de intromisión en la privacidad"
La resolución, finalmente, considera acreditado que la entidad perjudicó a las personas interesadas por el "alto grado de intromisión en la privacidad de los clientes de CaixaBank" y porque toda esa información fue comunicada a terceros (a las empresas del grupo), un tipo de información que incluía perfiles de los clientes.

Por todo ello, la AEPD impone a CaixaBank una multa de 4 millones de euros, que sumada a la anterior asciende a 6 millones de euros.

La resolución incluye las alegaciones presentadas por la entidad bancaria y también su opinión sobre "la desproporción sin precedentes de la sanción impuesta", en tanto que la AEPD considera que ninguna de las circunstancias expresadas por CaixaBank es suficiente para rebajar la multa que, subraya, es proporcional a los criterios establecidos por el régimen de infracciones y sanciones.