Imagen generada con IA.
La Agencia Española de Protección de Datos (AEPD) ha sancionado a CaixaBank con 400.000 euros —tras acogerse la entidad al pago voluntario, que reduce un 20% la multa inicialmente propuesta de 500.000 euros— por deficiencias en el diseño de los procedimientos de su Servicio de Atención al Cliente (SAC) que provocaron el envío de documentación con datos personales a destinatarios equivocados. Lo relevante del caso no es tanto el error en sí como el motivo por el que la AEPD lo sanciona: no como un fallo humano puntual, sino como un incumplimiento del deber de protección de datos desde el diseño.
El caso: fallos de diseño en el SAC que mezclan expedientes de distintos clientes
El expediente EXP202312854 —difundido en redes por el abogado Gerard Espuga Torné— tiene su origen en dos reclamaciones presentadas por clientes de la entidad. El primero recibió, a través del SAC, una respuesta que en realidad iba dirigida a un tercero que ni siquiera había presentado esa reclamación. En el correo figuraban datos de un contrato con información especialmente sensible: la situación financiera y el DNI de esa persona ajena. El segundo reclamante recibió documentación privada de dos personas distintas —una relativa a una deuda y otra a un código de buenas prácticas hipotecarias— mientras tramitaba sus propias reclamaciones con el banco.
En ambos casos, el patrón es el mismo: el sistema del SAC cruzó expedientes de clientes distintos y los envió a la persona equivocada.
Envíos a destinatarios erróneos y falta de exactitud de los datos
CaixaBank intentó defenderse alegando que se trataba de «errores humanos puntuales» y no de fallos sistémicos, y sostuvo que su SAC cumplía con la normativa bancaria aplicable y que contaba con medidas preventivas. La AEPD rechazó frontalmente este argumento apoyándose en dos elementos que resultaron decisivos: por un lado, acreditó la existencia de brechas similares en años anteriores a las dos reclamaciones investigadas, lo que descarta que se tratara de hechos aislados; por otro, constató que en torno al 60% de esas brechas anteriores habían sido detectadas por agentes externos al banco —clientes afectados o el propio Banco de España— y no por los sistemas de control interno de la entidad.
Ese dato —que sea el propio afectado quien detecte la filtración antes que el banco— es, para la AEPD, el síntoma más claro de un problema de diseño y no de una serie de despistes puntuales de algún empleado.
Por qué el diseño del propio servicio debe incorporar protección de datos desde el origen
La resolución se apoya en el artículo 25 del RGPD, el que consagra la privacidad desde el diseño y por defecto, y que obliga a integrar los principios de protección de datos en la propia arquitectura de los sistemas, no solo en las políticas y la formación que se dan a los empleados que los usan. La AEPD lo resume con una idea que cualquier empresa con un departamento de atención al cliente debería interiorizar: «el RGPD exige diseñar medidas técnicas y organizativas que reduzcan ese riesgo» cuando un proceso está expuesto de forma recurrente a errores humanos con impacto en datos personales.
Dicho de otro modo: formar al personal y aprobar un protocolo interno no es suficiente si el propio sistema permite, por su diseño, que el expediente de un cliente se adjunte por error a la respuesta dirigida a otro. Además de la multa, la AEPD obligó a CaixaBank a presentar en un plazo de nueve meses un informe detallado sobre la revisión de su SAC y las mejoras implantadas para garantizar el cumplimiento de ese artículo 25.
Cómo evitar cruces de expedientes en tu departamento de atención al cliente
Aunque el caso afecta a una gran entidad financiera, el riesgo de fondo —cruzar expedientes o direcciones al gestionar reclamaciones de varios clientes en paralelo— es común a cualquier negocio con un departamento de atención al cliente, por pequeño que sea: clínicas, despachos profesionales, ecommerce, inmobiliarias. Algunas medidas concretas que reducen ese riesgo:
- Evitar plantillas de respuesta que obliguen a copiar y pegar manualmente datos de un expediente a otro; cuanto más manual es el proceso, más fácil es el error.
- Establecer una verificación adicional (doble revisión, confirmación del destinatario) antes de enviar cualquier comunicación que incluya datos identificativos, financieros o de categorías especiales.
- Revisar periódicamente el histórico de incidencias del SAC, aunque no hayan derivado en reclamación formal ante la AEPD: si el mismo tipo de error se repite, hay un problema de diseño, no un despiste aislado.
- Documentar en el Registro de Actividades de Tratamiento (RAT) el tratamiento de datos que realiza el SAC y las medidas técnicas y organizativas específicas adoptadas para minimizar el riesgo de envíos erróneos.
El mensaje de la AEPD en este expediente es aplicable mucho más allá de la banca: la responsabilidad proactiva no se demuestra con un documento de política interna, sino con un sistema diseñado para que el error, cuando ocurre —porque siempre puede ocurrir—, no acabe convirtiéndose en una filtración de datos de un tercero.
Fuente: Confilegal
En Dataibérica ayudamos a empresas y autónomos a revisar el diseño de sus procesos de atención al cliente y a reforzar las medidas técnicas y organizativas que exige el principio de protección de datos desde el diseño. Si quieres revisar tu caso, contacta con nosotros.
