Müşteri Hizmetlerinde Tasarım Yoluyla Veri Koruma

1/59

 Expediente N.º: EXP202312854

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 16 de abril de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a CAIXABANK, S.A.
(en adelante, CAIXABANK). Notificado el acuerdo de inicio y tras analizar las
alegaciones presentadas, con fecha 4 de marzo de 2026 se emitió la propuesta de
resolución que a continuación se transcribe:

Expediente N.º: EXP202312854

PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES

Contenido
PRIMERO: Reclamación 1......................................................................................... 3
SEGUNDO: Reclamación 2........................................................................................ 3
TERCERO: Actuaciones previas de investigación...................................................... 4
CUARTO: Acuerdo de inicio de procedimiento sancionador:...................................... 4
QUINTO: Alegaciones al acuerdo de inicio:................................................................ 5
1. Contexto en el que se llevan a cabo los tratamientos de datos personales
afectados por las brechas de datos personales...................................................... 5
2. Artículo 5.1 f) del RGPD...................................................................................... 5
3. Artículo 25 del RGPD.......................................................................................... 6
4. Falta de proporcionalidad................................................................................... 6
5. Existencia de un concurso medial....................................................................... 6
SEXTO: Periodo de práctica de prueba:..................................................................... 7
SÉPTIMO: Relación de documentos que obran en el procedimiento:........................7
HECHOS PROBADOS.................................................................................................. 7
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/59

ÍNDICE DE HECHOS PROBADOS:........................................................................... 7
PRIMERO:................................................................................................................. 8
SEGUNDO:................................................................................................................ 9
TERCERO:............................................................................................................... 10
CUARTO:................................................................................................................. 11
QUINTO:.................................................................................................................. 12
SEXTO:.................................................................................................................... 13
SÉPTIMO:................................................................................................................ 14
OCTAVO:.................................................................................................................. 15
NOVENO:................................................................................................................. 16
DÉCIMO:.................................................................................................................. 18
UNDÉCIMO:............................................................................................................. 20
DUODÉCIMO:.......................................................................................................... 21
DECIMOTERCERO:................................................................................................ 23
DECIMOCUARTO:................................................................................................... 23
DECIMOQUINTO:.................................................................................................... 25
DECIMOSEXTO:...................................................................................................... 26
DECIMOSÉPTIMO:.................................................................................................. 27
DECIMOCTAVO:...................................................................................................... 27
DECIMONOVENO:.................................................................................................. 28
VIGÉSIMO:.............................................................................................................. 28
VIGÉSIMO PRIMERO:............................................................................................. 29
VIGÉSIMO SEGUNDO:............................................................................................ 31
VIGÉSIMO TERCERO:............................................................................................ 33
VIGÉSIMO CUARTO:............................................................................................... 34
VIGÉSIMO QUINTO:................................................................................................ 36
VIGÉSIMO SEXTO:.................................................................................................. 37
VIGÉSIMO SÉPTIMO:.............................................................................................. 39
VIGÉSIMO OCTAVO:............................................................................................... 40
VIGÉSIMO NOVENO:.............................................................................................. 40
TRIGÉSIMO:............................................................................................................ 42
TRIGÉSIMO PRIMERO:........................................................................................... 43
TRIGÉSIMO SEGUNDO:......................................................................................... 45
TRIGÉSIMO TERCERO:.......................................................................................... 45
TRIGÉSIMO CUARTO:............................................................................................ 47
TRIGÉSIMO QUINTO:............................................................................................. 49

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/59

TRIGÉSIMO SEXTO:............................................................................................... 50
TRIGÉSIMO SÉPTIMO:........................................................................................... 52
FUNDAMENTOS DE DERECHO................................................................................. 53
I Competencia.......................................................................................................... 53
II Cuestiones previas................................................................................................ 53
III Contestación a las alegaciones formuladas al acuerdo de inicio.......................... 54
1.ALEGACIONES RELATIVAS AL CONTEXTO EN EL QUE SE LLEVAN A CABO
LOS TRATAMIENTOS DE DATOS PERSONALES AFECTADOS POR LAS
BRECHAS DE DATOS PERSONALES................................................................ 54
2. ARTÍCULOS 25 y 5.1 f) del RGPD.................................................................... 56
3. PROPORCIONALIDAD:................................................................................... 78
IV Obligación incumplida. Protección de datos desde el diseño y por defecto.........79
V Tipificación de la infracción del artículo 25 del RGPD y calificación a efectos de
prescripción.............................................................................................................. 80
VI Propuesta de sanción.......................................................................................... 81
Obligación incumplida del artículo 25 del RGPD:.................................................. 82
VII Medidas correctivas............................................................................................ 86

PRIMERO: Reclamación 1

Con fecha 19 de julio de 2023 se interpuso reclamación ante la Agencia Española de
Protección de Datos (en adelante, AEPD) por parte de A.A.A. (reclamante 1) por una
posible infracción imputable a CAIXABANK, S.A. con NIF A08663619 (en adelante,
CAIXABANK, la entidad bancaria o parte reclamada).

Los hechos que se ponen en conocimiento de esta autoridad son los siguientes:

La parte reclamante manifiesta que el ***FECHA.1 recibió por correo electrónico una
comunicación del Servicio de Atención al Cliente de CAIXABANK (en adelante,
indistintamente SAC, SAC de CAIXABANK o SAC del ***EMPRESA.1) en respuesta a
una reclamación que no había presentado, dirigido a la atención de un tercero B.B.B.,
al que no conoce.

El contenido de dicha reclamación, de la documentación que la acompañaba, la
tramitación dada la misma y las referencias a dicha reclamación contenidas en el
informe de actuaciones previas de investigación, aparecen reflejados en los hechos
probados primero a octavo.

En síntesis, el reclamante 1 recibió una respuesta a una reclamación que no había
presentado en la que se revelaban datos dirigida a la atención de un tercero
(representante de otro cliente de CAIXABANK, siendo ambos desconocidos para él).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/59

Durante las actuaciones previas de investigación, se ha averiguado que dicho escrito
también fue enviado al representante del otro cliente de CAIXABANK, revelando datos
personales del reclamante 1.

SEGUNDO: Reclamación 2

Con fecha 16 de octubre de 2023 se interpuso reclamación ante la Agencia Española
de Protección de Datos por parte de C.C.C.(reclamante 2) con motivo de una posible
infracción imputable a CAIXABANK, S.A. en la que indica que CAIXABANK le ha
enviado documentación relativa a dos personas a las cuales no conoce.

En resumen, el reclamante 2, que había formulado una solicitud a CAIXABANK,
presentó 2 reclamaciones por la forma en la que dicha solicitud se estaba tramitando.
En contestación a una de dichas reclamaciones, CAIXABANK envió una contestación
adjuntando, por error, un escrito dirigido a otro cliente de CAIXABANK, revelando
datos personales de dicho cliente.

En fase de práctica de prueba, se ha averiguado que la contestación también fue
enviada a un tercero (cliente de CAIXABANK, desconocido por el reclamante 2), al que
se revelaron datos de carácter personal del reclamante 2.

Posteriormente, al continuar la tramitación de la solicitud presentada por el reclamante
2 a CAIXABANK, la gestora de su oficina le remitió, por error, un documento preparado
para firma que contenía los datos personales de un tercero (cliente de CAIXABANK
distinto de los anteriormente mencionados), revelando los datos de carácter personal
de dicho interesado.

TERCERO: Actuaciones previas de investigación

La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.

Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
extremos reflejados en el informe de actuaciones previas de investigación de 28 de
febrero de 2025.

CUARTO: Acuerdo de inicio de procedimiento sancionador:

Con fecha 16 de abril de 2025, la Presidencia de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/59

Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción:

- Del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD.

- Del artículo 25 del RGPD y, tipificada en el artículo 83.4 del RGPD.

QUINTO: Alegaciones al acuerdo de inicio:

Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que, en síntesis, manifestaba lo siguiente:

1. Contexto en el que se llevan a cabo los tratamientos de datos personales afectados
por las brechas de datos personales

La actividad del SAC de CAIXABANK está sujeta a una serie de exigencias legales
derivadas del sector bancario en el que opera. Dichas exigencias por una parte
condicionan su funcionamiento, ya que dicho servicio no puede funcionar
exclusivamente según criterios de CAIXABANK, y, por otra, implican la supervisión
directa de su funcionamiento por parte del Banco de España, persiguiendo como fin
último una mejora en su funcionamiento.
El funcionamiento del SAC de CAIXABANK se basa en procedimientos documentados,
de carácter preventivo y con un enfoque orientado a los riesgos propios de la actividad
que desarrollan los SAC del sector bancario. Por este motivo, la parte reclamada no
considera acertada la percepción de que pueda ser un entorno en el que por sistema
se vayan a cometer errores o incumplimientos. Según CAIXABANK, los supuestos
aislados en los que dichos errores se producen se deben a la propia naturaleza de la
actividad del SAC, claramente expuesta a posibles errores humanos.
Según CAIXABANK la actividad del SAC obedece a unos procedimientos
preestablecidos, de carácter altamente preventivo, que tienen en cuenta los riesgos
inherentes al conjunto de actividades que lleva a cabo el SAC.
A lo ya expuesto, CAIXABANKA añade que:
1. Anualmente el SAC debe elaborar un informe de sus actividades que se
presenta ante el Consejo de Administración. Dicho informe o un resumen del
mismo se integra en la memoria anual de CAIXABANK.
2. El SAC ha de ser objeto de revisión interna independiente, realizada por la
función de auditoría interna de CAIXABANK, que evalúa el buen funcionamiento
y organización de dicho servicio.
CAIXABAN concluye que la causa directa de las 2 brechas de carácter personal
examinadas en este expediente no es la forma en la que se ha configurado y
gestionado el funcionamiento del SAC, sino errores humanos de carácter puntual,
cometidos por personas adscritas al SAC, que no siguieron los procedimientos e
instrucciones proporcionados por CAIXABANK para el desarrollo de las actividades del
SAC.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/59

2. Artículo 5.1 f) del RGPD

1.CAIXABANK considera que la AEPD no valora adecuadamente las consecuencias
que las brechas de datos personales pudieran tener en los afectados, ni aporta
evidencias que acrediten daños y perjuicios a los mismos.
En su opinión, la sanción resulta desproporcionada, teniendo en cuenta los hechos, las
circunstancias que concurren y que no se habrían causado daños y perjuicios a los
interesados.
2. La parte reclamada afirma que existían medidas adecuadas para mitigar el riesgo
de brechas de datos personales en el funcionamiento del servicio de atención al
cliente del ***EMPRESA.1 (SAC). Señala que, si se produjeron brechas de datos
personales, fue como consecuencia de errores humanos, al no haber seguido, las
personas encargadas de gestionar las reclamaciones, las instrucciones
proporcionadas por CAIXABANK.
En su opinión, no procede la declaración de infracción por una infracción del principio
de integridad y confidencialidad (artículo 5.1 f) del RGPD, motivado por la falta de
medidas técnicas y organizativas para garantizar la seguridad de los datos personales,
dado que las brechas de datos personales se han debido a errores humanos.

3. Artículo 25 del RGPD

1.CAIXABANK señala que deben adoptarse medidas en la etapa de diseño de las
operaciones de tratamiento y también durante el propio tratamiento. Destaca que los
tratamientos deben adecuarse a los riesgos cambiantes en el marco de un proceso de
mejora continua.
En opinión de la parte reclamada, no se valora adecuadamente su actuación, que
consideran diligente, tanto antes como después de las 2 brechas de datos personales,
que motivan el acuerdo de inicio del procedimiento sancionador.
2. Indica que la información proporcionada por CAIXABANK en respuesta a los
distintos requerimientos de la AEPD refleja, según la entidad bancaria, que las
medidas adoptadas de manera previa a las 2 brechas de datos personales ya eran
eficaces para mitigar el riesgo de que se produjeran brechas de datos personales, sin
perjuicio de posibles errores humanos.
3. La parte reclamada considera que en esta segunda infracción la AEPD no identifica
de manera precisa qué infracción se ha cometido, dado que el artículo 25 del RGPD
incluye dos obligaciones o principios diferentes. Entiende que la AEPD se refiere al
artículo 25.1 del RGPD.
4. Asimismo, afirma que no se ha vulnerado la protección de datos por diseño regulada
en el artículo 25.1 del RGPD, dado que se ha tenido en cuenta durante todo el ciclo de
vida de los tratamientos de datos realizados por el SAC de CAIXABANK.

4. Falta de proporcionalidad

En opinión de la parte reclamada, existe una clara falta de proporcionalidad en las
sanciones propuestas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/59

5. Existencia de un concurso medial

CAIXABANK afirma que existe un concurso medial entre las dos infracciones
propuestas.
La parte reclamada señala que se han obviado algunos de los principios y garantías
que deben estar presentes en los procedimientos sancionadores y solicita el archivo
de las actuaciones, por no haberse cometido infracción alguna por su parte.
En caso de no proceder al archivo, que se imponga una única sanción por
incumplimiento del artículo 5.1 f) del RGPD, que absorbería la presunta infracción del
artículo 25.1 del RGPD, dada la existencia de un concurso medial, reduciendo el
importe de la multa.
Finalmente, en caso de no proceder a imponer una única sanción, que se proceda a
reducir significativamente la cuantía de las multas.
SEXTO: Periodo de práctica de prueba:

Con fecha 26 de noviembre de 2025, el instructor del procedimiento acordó abrir un
periodo de práctica de prueba en el que se practicaron las siguientes:

Práctica de prueba I:

Se comunica la apertura de un periodo de práctica de prueba, se requiere a
CAIXABANK que remita información y documentación, tal y como refleja el documento
de 26 de noviembre de 2025, que obra en el expediente. Con fecha 12 de diciembre
de 2025 CAIXABANK presentó un escrito, elaborado en contestación a la práctica de
prueba, acompañado de diversa documentación.

Entre la documentación remitida figura un documento, denominado (Documento 5-
DETALLE BRECHAS), que contiene la información sobre la brecha de datos
personales objeto de la reclamación 2, así como (...) brechas de datos análogas que
se produjeron en 2023, que figura como anexo a la propuesta de resolución.

Práctica de prueba II:

Examinada la documentación remitida por la parte reclamada, la AEPD con fecha 17
de diciembre de 2025 se remitió un nuevo escrito de práctica de prueba, que figura en
el expediente. Con fecha 23 de diciembre de 2025 CAIXABANK presentó un escrito,
elaborado con contestación de práctica de prueba II, acompañado de diversa
documentación.

SÉPTIMO: Relación de documentos que obran en el procedimiento:

Se acompaña como anexo relación de documentos obrantes en el procedimiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/59

HECHOS PROBADOS

ÍNDICE DE HECHOS PROBADOS:

A los efectos de facilitar la lectura de los hechos probados consignados en la
propuesta de resolución indicaremos que:

 Del hecho probado primero al octavo, hacen referencia a los tratamientos de
datos personales y circunstancias vinculadas a la reclamación 1.
 Del hecho probado noveno al hecho probado decimotercero, hacen referencia
a los tratamientos de datos personales y circunstancias vinculadas a la
reclamación 2.
 Hechos probados decimocuarto y decimoquinto, hacen referencia a la posible
recurrencia de brechas de datos personales análogas a las vinculadas a la
reclamación 1 y reclamación 2 y al análisis de la tabla con información relativa
a (…) brechas de datos personales de 2023, aportada por CAIXABANK.
 Hecho probado decimosexto, con información relativa a la brecha de datos
personales (…) (***REFERENCIA.1).
 Hecho probado decimoséptimo, con información relativa a la brecha de datos
personales (…) (***REFERENCIA.2).
 Hecho probado decimoctavo, con información relativa a la brecha de datos
personales (…) (***REFERENCIA.3)
 Hecho probado decimonoveno, sobre la formación impartida en 2024 al
personal del SAC de CAIXABANK en materia de protección de datos
personales.
 Del hecho probado vigésimo al vigésimo segundo, contienen información
relativa a la organización del SAC del ***EMPRESA.1, incluyendo referencias a
(…).
 Del hecho probado vigésimo tercero al vigésimo noveno, con información
relativa a las características del funcionamiento del SAC del ***EMPRESA.1,
(…).
 Los hechos probados trigésimo y trigésimo primero, contienen información
relativa a auditorías del SAC del ***EMPRESA.1.
 Los hechos probados trigésimo segundo y trigésimo tercero, documentos con
información sobre el funcionamiento del SAC.
 Del hecho probado trigésimo cuarto al trigésimo sexto, sobre instrucciones para
la gestión de reclamaciones en el SAC.
 Hecho probado trigésimo séptimo relativo al ejercicio del derecho de acceso en
CAIXABANK, si la solicitud de ejercicio de derechos se produce a través del
SAC.

PRIMERO:

El ***FECHA.1 (…) el SAC de CAIXABANK envió a A.A.A. (reclamante 1) desde la
dirección de correo electrónico (***EMAIL.1) un correo electrónico con el título
“***TÍTULO.1” por el que adjuntaban respuesta a la reclamación con número de
referencia ***REFERENCIA.4.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/59

El correo electrónico incluía dos adjuntos denominados ***ADJUNTO.1 y
***ADJUNTO.2.

El documento adjunto ***ADJUNTO.1 es un escrito con membrete de CAIXABANK
fechado el ***FECHA.2 dirigido a la atención de B.B.B. (…) figura el número de
referencia ***REFERENCIA.5, que no se corresponde con el número que figura en el
título del documento pdf, ***REFERENCIA.4.

(…) da respuesta a la disconformidad sobre el tipo de interés aplicado en el contrato
de tarjeta de crédito con pago aplazado y en el mismo figuran el nombre y apellidos
completos del reclamante 1 así como su DNI.

El documento adjunto ***ADJUNTO.2 es un escrito con membrete de CAIXABANK
fechado el ***FECHA.1 dirigido al reclamante 1.

Da respuesta a una reclamación con el número de referencia ***REFERENCIA.4, en
esta ocasión sí existe correspondencia entre el número de referencia de la
reclamación y el número del título del documento pdf.

El escrito inadmite a trámite la reclamación, al haberse dado respuesta a las
pretensiones planteadas con fecha ***FECHA.2. Ambos escritos concluyen indicando
que, en caso de disconformidad con la decisión, puede plantearse reclamación ante el
Servicio de Reclamaciones del Banco de España.

SEGUNDO:

El ***FECHA.1 a las (…) el reclamante envió un correo electrónico de respuesta al
SAC de CAIXABANK (***EMAIL.1) con el siguiente texto:

“Buenos días,

No tengo ni idea de quién es el tal B.B.B., ni tengo constancia de haber
presentado ninguna reclamación en relación con el tipo de interés de mi tarjeta
de crédito. (…)
Me temo que me deben una explicación.

A.A.A..”

Ese mismo día el reclamante 1 envió un nuevo correo electrónico al SAC de
CAIXABANK (***EMAIL.1) a las (…) con el siguiente texto:

“Buenos días,

Exijo de forma inmediata que me envíen copia de la reclamación con número
***REFERENCIA.4, que según Uds., yo he planteado en ese Departamento y
quiero saber quién es el tal B.B.B. al que hacen uds. referencia, enviando mis
datos a su atención.

A.A.A.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/59

El 6 de julio de 2023, a las (…) el reclamante 1 envió un nuevo correo electrónico al
SAC de CAIXABANK (***EMAIL.1) con el siguiente texto:

“Buenos días,

Ampliación solicitud de información por su parte.

A partir de este momento, he puesto este asunto en manos de mi Abogada y me
reservo la posibilidad de ejercer cuantas acciones legales en derecho pudieran
corresponderme.

A.A.A.”

En el expediente figura un escrito de esa misma fecha (6 de julio de 2023) enviado por
el reclamante 1 al SAC de CAIXABANK en el que indica lo siguiente:

“Me refiero al mail recibido ayer, ***FECHA.1, en relación con una reclamación
interpuesta ante ese departamento donde aparece mi nombre, mis apellidos y mi
número de DNI, así como el nombre de B.B.B..

Quiero manifestar que yo no he interpuesto, ni en mi nombre propio ni a través
de una tercera persona, la reclamación a la que Uds. hacen referencia. Motivo
por el cual, exijo una explicación por parte de esa Entidad, del motivo por el cual
mis datos personales y particulares aparecen en la misma y que tratamiento han
dado a mis datos personales.

Documentación adjunta vía mail:

Copia DNI
Impreso Ejercicio del derecho de acceso (Agencia Española de Protección de
Datos)
Copia de los dos escritos remitidos por el Servicio cliente CaixaBank.

A.A.A..”

Asimismo, consta un ejercicio de derecho de acceso dirigido CAIXABANK de esa
misma fecha (6 de julio de 2023), formulario de ejercicio de derecho elaborado por la
AEPD, así como copia del anverso y del reverso del DNI del reclamante 1.

TERCERO:

El 7 de julio de 2023 (…) el SAC de CAIXABANK (***EMAIL.1) envió un nuevo correo
electrónico al reclamante 1 titulado ***TÍTULO.2 adjuntando respuesta a la
reclamación con número de referencia ***REFERENCIA.6. El correo electrónico
incluye un adjunto denominado “***REFERENCIA.6. pdf”

Dicho adjunto es un escrito con membrete de CAIXABANK fechado el 7 de julio de
2023 dirigido al reclamante 1 (en el texto figuran su nombre completo y los dos
apellidos del reclamante 1), firma el documento el Titular del Servicio de Atención al
Cliente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/59

 Hace referencia a la disconformidad en relación con las cartas de respuesta
recibidas sobre un contrato de tarjeta de crédito con pago aplazado.

 CAIXABANK le traslada disculpas y lamentan que la percepción del servicio no
haya cumplido con sus expectativas, así como cualquier molestia ocasionada.

 Concluye indicando la posibilidad de plantear reclamación ante el Servicio de
Reclamaciones del Banco de España.

CUARTO:

El reclamante 1 recibe un nuevo escrito del SAC de CAIXABANK fechado el 11 de julio
de 2023 al que se ha asignado el número de reclamación ***REFERENCIA.7 en el que
CAIXABANK (…).

Sobre dicho escrito figuran las siguientes anotaciones manuscritas realizadas por el
reclamante 1:

“NUEVA CONTESTACIÓN, SIGUEN SIN ACLARAR NADA.”

“NADA DICEN DEL USO DE MIS DATOS PERSONALES.”

QUINTO:

El 19 de julio de 2023 A.A.A. (reclamante 1) interpuso reclamación ante la AEPD por
una posible infracción imputable a CAIXABANK.

En el apartado de descripción de los hechos indica:
“El pasado día ***FECHA.1, recibo vía mail del Servicio de Atención al Cliente de
Caixabank, copia de una reclamación realizada el pasado día ***FECHA.2 y su
correspondiente resolución, de fecha ***FECHA.1. Así mismo, y según el mail,
se envía a la atención de B.B.B..
Quiero manifestar que ni he presentado la reclamación a la que hacen referencia
ni conozco a B.B.B., que al parecer, según he podido comprobar vía internet, se
trata de un Abogado Afincado en ***LOCALIDAD.1 con un bufete especializado
en reclamaciones bancarias.
Con fechas, 6 de julio, solicito a Caixabank que me envíen copia de la presunta
reclamación interpuesta por mí, y lo que es más importante, del uso ante
terceras de mis datos personales.
El 7 de julio, recibo contestación por escrito vía mail, donde no contestan a
ninguna de mis peticiones, en especial la segunda que es la que más me
preocupa y que en mi opinión, entra de lleno en sus competencias.”
Junto con la reclamación, el reclamante 1 aporta los documentos a los que se ha
hecho referencia en los hechos probados primero al cuarto.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/59

En contestación al traslado de la reclamación y solicitud de información a CAIXABANK
por parte de la AEPD, la parte reclamada elabora un escrito de fecha 10 de noviembre
de 2023 en el que:
CAIXABANK se remite a la respuesta reflejada en el escrito fechado el 11 de julio de
2023, que acompañan, cuyo contenido se ha reflejado en el hecho probado cuarto.
Indicando a continuación:
“Queremos señalar a esta Agencia que, ante la situación acontecida, el Servicio
de Atención al Cliente ha iniciado un proceso de revisión del sistema de envío de
las respuestas a las reclamaciones formuladas por nuestros clientes, para
prevenir y evitar el hecho que ocupa la presenta reclamación.” (subrayado de
CAIXABANK)
En cuanto al ejercicio del derecho de acceso por parte del reclamante 1, indican que
han comprobado que en dicha respuesta de fecha 11 de julio de 2023 del SAC no se
incluyó el derecho de acceso. Acompañan una contestación al ejercicio del derecho de
acceso con fecha 9 de noviembre de 2023 dirigida al reclamante 1.
SEXTO:

En relación con la reclamación 1, el informe de actuaciones previas de investigación
de 28 de febrero de 2025, partiendo de la información proporcionada por CAIXABANK
en contestación a distintos requerimientos de información, indica lo siguiente:
 El ***FECHA.2 se dieron de alta en el SAC de CAIXABANK dos reclamaciones
(la ***REFERENCIA.8, (…) por el reclamante 1 y la ***REFERENCIA.5,
planteada por un tercero), por error ambas reclamaciones se asociaron al
reclamante 1.
 El gestor encargado de dar de alta la segunda reclamación en los sistemas de
CAIXABANK (…)
 El error no fue detectado y el gestor concluye el alta (…)

El ***FECHA.1 el SAC de CAIXABANK envía al reclamante 1 la respuesta de la
reclamación ***REFERENCIA.5.

El informe de actuaciones previas de investigación, indica:
“La parte reclamada manifiesta sobre el origen de este incidente que el día
***FECHA.2 se dieron de alta las reclamaciones ***REFERENCIA.8, asociada a
la parte reclamante, y la reclamación ***REFERENCIA.5, a la que se le
asociaron por error sus datos de contacto. El motivo de esto es que en esta
segunda reclamación el gestor encargado de tramitar el caso introdujo
erróneamente los datos de contacto, asociando la reclamación a la parte
reclamada, (…). Según manifestaciones: “El gestor encargado del alta de la
reclamación en los sistemas de la Entidad, por error, vincula incorrectamente
esta nueva reclamación a la reclamación inmediatamente anterior (…)”.

El proceso de tramitación de la reclamación ***REFERENCIA.5 prosigue su
curso, mezclando por tanto datos de una reclamación con otra: “El gestor que
realiza el alta no se percata de este error y concluye el registro del alta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/59

añadiendo (…) los siguientes datos que pertenecen a la reclamación
***REFERENCIA.5: Datos del representante que aparece en la reclamación
***REFERENCIA.5: B.B.B.”

El SAC envía la respuesta de la reclamación ***REFERENCIA.5 el ***FECHA.1,
siendo dirigida a la parte reclamante al constar sus datos de contacto y
constando otros datos propios de la reclamación, como el nombre del
representante.”

SÉPTIMO:

CAIXABANK señala como causa de la brecha de datos personales un error humano
del gestor que tramita el alta y registro de la reclamación.

 En cuanto a la valoración del impacto de dicha brecha de datos personales la
parte reclamada afirma que “El único afectado por el incidente es una persona
llamada B.B.B..”

 CAIXABANK considera que la brecha de datos personales no supuso ninguna
afectación al reclamante 1.

En este sentido, se reproduce parcialmente el informe de actuaciones previas de
investigación:

“La valoración que realiza la parte reclamada sobre el incidente es la siguiente:
el origen del incidente según manifiesta es: “Error humano del gestor que tramita
el alta y registro de la reclamación”. La valoración del impacto por la parte
reclamada es: “El único afectado por el incidente es una persona llamada
B.B.B..”. Adicionalmente, la parte reclamada manifiesta que este incidente no
supuso ninguna afectación a la parte reclamante: “desde el SAC se remitió una
respuesta en relación con una reclamación (la reclamación número
***REFERENCIA.9) que, si bien no realizó A.A.A., fue respondida en base a un
contrato de tarjeta de su titularidad, hecho que no supone afectación ninguna a
los datos de A.A.A..”

Asimismo, se reproduce el escrito de CAIXABANK de 2 de agosto de 2024, elaborado
en contestación a un requerimiento de información de la SGID, indicando que en la
brecha de datos personales vinculada a la reclamación 1 había un único afectado
(B.B.B.):

“1.4. Número total de afectados por cada incidente. Información respecto de
comunicación realizada al resto de afectados, de haberse efectuado (aportar
copia de la comunicación remitida y del procedimiento de remisión).

(…)

Durante las actuaciones previas de investigación, en contestación a un
requerimiento de información formulado por la Subdirección General de
Inspección de Datos (SGID), CAIXABANK en su escrito de 3 de febrero de 2024,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/59

páginas 13 y 14, ha aportado copia del escrito que envió a B.B.B. (representante
de otro cliente de CAIXABANK), revelando el nombre y apellidos del reclamante
y su DNI a dicha persona. El contenido de dicho escrito coincide con el escrito de
fecha ***FECHA.2, al que hace referencia el hecho probado primero.

No consta en el expediente que CAIXABANK haya comunicado al reclamante 1 dicha
circunstancia.

OCTAVO:

La brecha de datos personales fue detectada por CAIXABANK como consecuencia de
una nueva reclamación planteada ante la entidad bancaria por el reclamante 1 el
***FECHA.1.

En cuanto a las medidas adoptadas por la parte reclamada para la resolución del caso,
desde el SAC se dio respuesta al reclamante 1 con fechas 7 de julio (hecho probado
tercero) y 11 de julio (hecho probado cuarto).

Así se refleja en el informe de actuaciones previas de investigación:

“La detección se produce, tal como indica la parte reclamada, a raíz de la
presentación el ***FECHA.1 de una nueva reclamación la parte reclamante
(Detección: 05/07/2023 (…) A.A.A. remite reclamación al SAC indicando que ha
recibido una respuesta a una reclamación que no ha presentado y que va
dirigida a un tercero (B.B.B.).). No se señala ninguna acción proactiva de
detección del error.

Las medidas adoptadas para la resolución del caso, tal como manifiesta la parte
reclamada, fueron: “Desde el SAC se dio respuesta a A.A.A. el día 7 de julio y el
día 11 de julio, solicitándole disculpas por el error cometido en el proceso de
registro de la reclamación.”. No obstante, como se detallará en el punto 4.2 de
este informe, la parte reclamada ha adoptado medidas de carácter general sobre
este tipo de comunicaciones a clientes.
(…)

(…)

Por su parte, CAIXABANK en su escrito de 2 de agosto de 2024, elaborado en
contestación a un requerimiento de información de la SGID; en relación con las
acciones tomadas con objeto de minimizar los efectos adversos, destaca: “puesto que
en el escrito de respuesta aparecía el nombre y apellido de un tercero (B.B.B.), (…).
Habiéndose valorado la afectación a los derechos y libertades del tercero
(improbabilidad que entrañara un alto riesgo para sus derechos y libertades), no se
realiza comunicación al interesado.

NOVENO:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/59

El reclamante 2 recibe un escrito con membrete de CAIXABANK fechado el 6 de
octubre de 2023 dirigido a su nombre, con número de referencia de la reclamación
***REFERENCIA.10.

En la parte superior del escrito figuran el nombre y apellidos del reclamante 2 (C.C.C.)
así como su dirección de correo electrónico: ***EMAIL.2).

El escrito de CAIXABANK contesta a una reclamación relativa a la dilación y supuesta
falta de diligencia de la persona encargada de tramitar una ***SOLICITUD.1.

La parte reclamada se disculpa por las posibles molestias e indica que la gestora del
reclamante 2 le ha comunicado que contactó con el mismo para pedirle disculpas por
la demora experimentada y solicitarle la última documentación precisa para la
tramitación de su solicitud.

CAIXABANK señala que ha comprobado que el 5 de octubre de 2023 el reclamante 2
entregó los documentos exigidos por la gestora en la última comunicación enviada por
la misma y añaden que han dado instrucciones a la misma para que proceda a su
revisión a la mayor brevedad posible.

Informan que, una vez recibida la confirmación de que la documentación entregada
está completa, se procederá a formalizar su solicitud (…) y comenzará a correr el
plazo previsto en la normativa para emitir una resolución.

El escrito concluye indicando que, en caso de disconformidad con la decisión, se
puede plantear reclamación ante el Servicio de Reclamaciones del Banco de España.

Junto con dicho escrito, se remiten al reclamante 2 dos documentos:

El primero es un escrito con membrete de CAIXABANK fechado el 3 de octubre de
2023 vinculado a la reclamación con número de referencia ***REFERENCIA.11 (no
coincide con el número de referencia asignado al escrito anterior ***REFERENCIA.10
al que acompaña).

En la parte superior izquierda del escrito figura el nombre completo de un tercero
D.D.D. y la dirección de correo electrónico del mismo (***EMAIL.3).

El escrito contiene la respuesta a una queja o reclamación recibida por el SAC de
CAIXABANK el 2 de octubre de 2023 relativo a la disconformidad con los precios
aplicados en concepto de apertura descubierto e intereses de descubierto.

A continuación, se reproduce el apartado titulado “Resolución de la reclamación”:

“(…)”

Por tanto, el texto del escrito refleja una situación de descubierto relativa a otro cliente
(D.D.D.), indica el importe en concepto de apertura de descubierto e intereses de
descubierto aplicados por CAIXABANK a dicho cliente, así como los ocho primeros
dígitos y los cuatro últimos dígitos de la cuenta bancaria de dicho cliente (código de
CAIXABANK y cuatro últimas cifras de la cuenta bancaria del cliente).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/59

El segundo escrito adjunto es el ***DOCUMENTO.1 de CAIXABANK preparado para la
firma de otro cliente de CAIXABANK (E.E.E.).

En este caso no figura número de referencia de la reclamación, al ser un impreso que
ha de firmar el cliente al que se envía.

El documento indica por duplicado el nombre y apellidos del cliente de CAIXABANK
(E.E.E.), su NIF, la localidad (***LOCALIDAD.2), la fecha de firma (***FECHA.3) y la
oficina ((...)).

En el documento refleja que el ***DOCUMENTO.1 consiste en un conjunto de medidas
de protección de deudores hipotecarios sin recursos.

A continuación, se reproducen tres apartados que figuran en dicho Código:

“(…)”

DÉCIMO:

El 16 de octubre de 2023 C.C.C. (reclamante 2) interpuso reclamación ante la AEPD
por una posible infracción imputable a CAIXABANK.

En el apartado de descripción de los hechos indica:
“He entregado documentación propia que han perdido y me han enviado
documentación privada de otro cliente que no se quien con nombre, apellidos,
(…) y email explicando que este Sr. debía dinero y que le perdonan las
comisiones. También me enviaron el documento (…) completado a nombre de
otra persona. Respecto a mi documentación la han perdido, la han reclamado
varias veces, han provocado que se caduque y tenga que volver a pagar para
obtenerla. Ningún tipo de custodia de la información y ninguna privacidad... No
tengo porque saber información de otros clientes y que pierdan la mía.
Descontrol absoluto.”

Ese mismo día a las (…) CAIXABANK comunicó por correo electrónico la brecha de
datos personales a varios empleados, entre ellos F.F.F. (…).

(…)
UNDÉCIMO:

En el escrito de CAIXABANK de fecha 13 de febrero de 2024, elaborado en
contestación al traslado de la reclamación y solicitud de información por parte de la
AEPD, la parte reclamada indica, entre otros aspectos, lo siguiente:
1. No se ha perdido ninguna documentación del reclamante 2. Su solicitud ha
sido tramitada y aceptada.
2. El reclamante 2 inició los trámites para la solicitud (…) ***DOCUMENTO.1.
Para su tramitación el reclamante 2 debía aportar una serie de documentos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/59

El reclamante 2 planteó dos reclamaciones al SAC de CAIXABANK:
1. Por su disconformidad y mal estar con los tiempos y el modo de
proceder respecto de la tramitación de su solicitud por la gestora.
2. Solicitando respuesta a la reclamación anterior, así como petición
de devolución de los importes del servicio aplicados por los conceptos de
impagados y descubierto.

El SAC de CAIXABANK dio respuesta a la primera reclamación, pero por un
error humano puntual en el SAC de CAIXABANK, se le envió al reclamante 2
una respuesta que correspondía a otro cliente.
Asimismo, la gestora solicitó al reclamante 2 la firma de un documento
informativo respecto a la adhesión por parte del CAIXABANK al
***DOCUMENTO.1, debido a un error, le remitió dicho documento informativo
cumplimentado a nombre de un tercero. En el momento en el que la gestora
detectó el error, contactó con el reclamante, pidió disculpas y le aportó el
documento cumplimentado con sus datos.
Aportan como documentación anexa los siguientes documentos:
 Documento de (…) a nombre del reclamante 2 de fecha ***FECHA.4 sin firmar.
 Escrito de respuesta a la reclamación del Reclamante 2 de fecha 6 de octubre
de 2023, cuyo contenido coincide con el reflejado en el hecho probado noveno.
 Escrito con el membrete de CAIXABANK de fecha 6 de octubre de 2023
redactado (…) en contestación a una reclamación planteada por el reclamante
2 solicitando respuesta a una reclamación anterior y la devolución de los
importes del servicio aplicados por los conceptos de impagados y descubierto.

El informe de actuaciones previas de investigación señala el origen de la brecha de
datos personales:

“La parte reclamada manifiesta lo siguiente sobre el origen de este incidente: el
día 2 de octubre se da de alta la reclamación ***REFERENCIA.10 interpuesta
por la parte reclamante. El día 4 de octubre se da respuesta a esa reclamación
adjuntando la respuesta correspondiente a otra reclamación, la
***REFERENCIA.11. Según manifestaciones: “se remite al correo electrónico
***EMAIL.2 adjuntando, por error (…) del gestor especializado encargado de
resolver la reclamación y enviar la oportuna respuesta, la respuesta
correspondiente a la reclamación ***REFERENCIA.11 (reclamación efectuada
por D.D.D.).”

Por otra parte, se produjo también el envío de otro documento dirigido al tercero
E.E.E., la parte reclamada manifiesta: “En el marco de la gestión de la solicitud
((…) ***DOCUMENTO.1) y al efecto de poder proseguir con su tramitación, la
gestora (de la oficina CaixaBank) asignada al asunto solicitó al reclamante que
firmase un documento informativo respecto a la adhesión por parte de
CaixaBank al ***DOCUMENTO.1. Debido a una confusión por parte de la
gestora, ésta le remitió al reclamante (C.C.C.) dicho documento informativo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/59

cumplimentado a nombre de un tercero (E.E.E.) en lugar de aportarle el
documento cumplimentado a su nombre”.

CAIXABANK señala como causa de la brecha de datos personales el error humano del
gestor especializado encargado de resolver la reclamación y enviar la correspondiente
respuesta, tal y como refleja el informe de actuaciones previas de investigación:

DUODÉCIMO:

En contestación a un requerimiento de información de la SGID, CAIXABANK indicó
que el único afectado por la brecha de datos personales vinculada a la reclamación 2
era D.D.D..

El informe de actuaciones previas de investigación reproduce la contestación aportada
por CAIXABANK, en contestación al requerimiento de información por parte de la
SGID sobre la existencia de un único afectado por la brecha de datos personales y
refleja la contradicción existente entre dicha información y el hecho de que el
reclamante 2 haya recibido también el ***DOCUMENTO.1 a nombre de un tercero
(E.E.E.).

En primer lugar, se reproduce parcialmente el escrito de CAIXABANK de 2 de agosto
de 2024:

(…)”

Asimismo, se reproduce parcialmente el informe de actuaciones previas de
investigación:

“(…) La valoración del impacto por la parte reclamada es: “El único afectado por
el incidente es un cliente de CaixaBank, D.D.D.”. Dichas manifestaciones
entrarían en contradicción con la recepción del documento de buenas prácticas
a nombre de otra tercera persona.” (el subrayado es nuestro).

En un requerimiento posterior de 2 de septiembre de 2024 se formula un nuevo
requerimiento de información por parte de la SGID con el fin de aclarar los hechos:
“5.- Información sobre las reclamaciones ***REFERENCIA.10 y
***REFERENCIA.12 dirigidas a C.C.C.y la relación existente entre las diferentes
reclamaciones de esta incidencia. Relación que guarden con el documento
“***DOCUMENTO.1”, dirigido a E.E.E. y remitido erróneamente al reclamante.
Comunicaciones que se hayan mantenido con esta persona sobre este suceso.
Indicar fechas.”
El escrito de CAIXABANK de 7 de octubre de 2024, elaborado en contestación a dicho
requerimiento de información, indica:
“(…)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/59

Por tanto, a pesar de la contestación de CAIXABANK en su escrito de 2 de agosto de
2024, en el caso de la brecha de datos personales que ha dado lugar a la reclamación
2 no hubo un solo afectado por la brecha de datos personales (D.D.D.). Dicha brecha
de datos personales también afectó a (E.E.E.), cuyos datos de carácter personal
figuraban en el ***DOCUMENTO.1 preparado para firma que fue enviado por error al
reclamante 2.
DECIMOTERCERO:

En cuanto a la detección de la brecha de datos personales, el informe de actuaciones
previas de investigación señala que CAIXABANK detectó dicha brecha como
consecuencia del aviso por parte del reclamante el 4 de octubre de 2023:

“La detección se produce, tal como indica la parte reclamada, a raíz del aviso
por la propia parte reclamante (Detección: 04/10/2023 (…) C.C.C., remite correo
desde su dirección de correo electrónico ***EMAIL.2 indicando que ha recibido
una respuesta que no le corresponde). No se señala ninguna acción proactiva
de detección del error.”

En relación con las medidas adoptadas para la resolución del caso, el informe de
actuaciones previas de investigación señala que (…):

“Las medidas adoptadas para la resolución del caso, tal como manifiesta la parte
reclamada, fueron orientadas a la eliminación de la documentación de otros
clientes enviada por error: “(…)”.

DECIMOCUARTO:

En respuesta a un requerimiento de información de la SGID, CAIXABANK ha señalado
no tener constancia de ningún caso análogo al que ha dado lugar a la reclamación 1.

Se ha acreditado la existencia de brechas de datos personales análogas a la de la
reclamación 2 en 2022, 2023 y 2024: envío de respuesta a una reclamación
presentada ante el SAC a un destinatario incorrecto.

En la siguiente tabla se reflejan los datos aportados en los escritos de CAIXABANK,
respecto a esta cuestión, durante las actuaciones previas de investigación

Brechas de datos Reclamaciones
Año
personales análogas gestionadas por el SAC
2022 (…) (…)
2023 (…) (…)
2024 (…) (…)

El informe de actuaciones previas de investigación destaca el volumen creciente de
brechas de datos personales, mayor en proporción que el volumen creciente de
reclamaciones tramitadas:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/59

- Año 2022: 1 caso por cada (…) reclamaciones.
- Año 2023: 1 caso por cada (…) reclamaciones.
- Año 2024: 1 caso por cada (…) reclamaciones

Se reproduce la parte del informe de actuaciones previas de investigación en el que se
hace referencia a dicha recurrencia:

“(…)”

CAIXABANK señaló que las brechas de datos personales análogas a la que dio lugar
a la reclamación 2 (envío de respuesta a una reclamación presentada ante el SAC a
un destinatario incorrecto) fueron detectadas por una de estas tres vías:

(…)

Así se refleja en el escrito de CAIXABANK de 7 de octubre, elaborado en contestación
a un requerimiento de información de la SGID:

“(…).

DECIMOQUINTO:

Incorporar a los hechos probados el contenido de la tabla relativa a la brecha de datos
personales que dio lugar a la reclamación 2 (envío de respuesta a una reclamación
presentada ante el SAC a un destinatario incorrecto) y otras (...) brechas de datos
análogas que se produjeron en el año 2023, que figura como documento anexo a la
propuesta de resolución.

En la misma se refleja información relativa a los siguientes aspectos:

 Fecha en la que se produjo la brecha de datos personales.

 Datos personales revelados

 Identificación del afectado.

 Causa de la brecha de datos personales.

 Cómo se detectó la brecha

 Fecha de comunicación al afectado (en su caso)

 Fecha de comunicación al DPO.

El examen de los datos contenidos en dicha tabla refleja lo siguiente:

En (…) casos las brechas de datos personales fueron detectadas por personal que
prestaba servicios a CAIXABANK:
 (…) detecciones por parte del gestor del SAC.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/59

 (…) detecciones por auditorías internas

En los (…) casos restantes las brechas de datos personales fueron detectadas por
personas ajenas a CAIXABANK:
 (…) detección por el Banco de España al recibir la documentación.
 (…) detección por la Agència Catalana Consum al recibir la documentación.
 (…) personas físicas que reciben documentación que contenía datos
personales de terceros.

DECIMOSEXTO:

La brecha de datos personales (…) (***REFERENCIA.1) se produjo porque el gestor
del SAC que preparó la respuesta se equivocó al adjuntar (…) los documentos anexos
al escrito.

En lugar de enviar la constitución del préstamo hipotecario, solicitada por una clienta
de CAIXABANK, adjuntó una carta de pago y cancelación de hipoteca, que gravaba la
vivienda de otras dos personas.

CAIXABANK detectó la brecha de datos personales el 17 de noviembre de 2023 al
recibir en (***EMAIL.1) un correo electrónico de H.H.H., abogado de J.J.J. (clienta de
CAIXABANK que recibió la documentación con datos personales de terceros).

Datos personales revelados:

En la escritura de carta de pago y cancelación de crédito figuran los siguientes datos
de carácter personal:

Los nombres y apellidos de L.L.L. y M.M.M., DNI, nacionalidad, estado civil,
profesiones, domicilio, IBAN (como adjunto figura una fotocopia de un cheque bancario
nominativo con el que se satisface el pago del crédito hipotecario).

En cuanto al representante de la entidad bancaria N.N.N., figuran su nombre y
apellidos y su DNI.

También figuran los nombres y apellidos de cuatro notarios, así como la dirección,
número de teléfono y número de fax de uno de ellos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/59

Por otra parte, cabe destacar que en la escritura notarial se indican tanto el importe
total como el desglose de la deuda (capital, intereses ordinarios, intereses de demora
del crédito hipotecario), así como abundante información sobre la vivienda hipotecada.

DECIMOSÉPTIMO:

La brecha de datos personales (…) (***REFERENCIA.2) se produjo porque el gestor
del SAC, al responder a la reclamación de un cliente (O.O.O.), por error, adjuntó un
contrato de préstamo correspondiente a otra clienta de CAIXABANK (P.P.P.).

El documento enviado por error es una solicitud de contrato de crédito y en el mismo
figuran los siguientes datos de carácter personal de P.P.P.:

Nombre y apellidos, DNI, nacionalidad, domicilio, estado civil, fecha de nacimiento,
teléfono, profesión, empresa en la que trabaja y firma manuscrita.

Asimismo, en dicho documento figuran los datos de un vehículo del que es propietaria
de P.P.P., la antigüedad en su empresa, el año de construcción de su vivienda y que
dicha vivienda se encuentra hipotecada, así como todas las condiciones relativas al
préstamo que le ha sido concedido.

DECIMOCTAVO:

La brecha de datos personales (…) (***REFERENCIA.3) se produjo porque al
responder a la reclamación de un cliente de CAIXABANK (Q.Q.Q.), el gestor del SAC
del ***EMPRESA.1, por error, adjuntó un documento con una respuesta que iba
dirigida a otro cliente (R.R.R.).

CAIXABANK detectó la brecha de datos personales al recibir un correo de Q.Q.Q. el
28 de abril de 2023 en el que se indica:

“Me parece que estáis cruzando y cambiando direcciones de mail, esto no es
mío.

Saludos Q.Q.Q.”

En el documento enviado por error a Q.Q.Q. de fecha 11 de abril de 2023 figuran los
siguientes datos personales de R.R.R. nombre y apellidos, dirección, dirección de
correo electrónico, número de referencia de la reclamación presentada en
CAIXABANK, y el número de préstamo hipotecario sin asteriscar.

DECIMONOVENO:

Con fecha 26 de febrero de 2024 CAIXABANK impartió a personal (…) al SAC una
formación sobre brechas personales y sobre derechos que los interesados pueden
ejercer en materia de protección de datos de carácter personal.

Dicha formación trata las siguientes cuestiones:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/59

(…)

VIGÉSIMO:

(…)

Así se refleja en el informe de (…).

(…)

VIGÉSIMO PRIMERO:

(…)

VIGÉSIMO SEGUNDO:

(…)

VIGÉSIMO TERCERO:

(…)

VIGÉSIMO CUARTO:
(…)

El informe de actuaciones previas de investigación también destaca que los procesos
de alta, registro y respuesta a las reclamaciones planteadas al SAC de CAIXABANK
eran (…),

2. A la hora de dar de alta una reclamación y asignarla a un cliente en el SAC del
***EMPRESA.1:

(…)

Información disponible en el escrito de CAIXABANK de 2 de agosto de 2024.

VIGÉSIMO QUINTO:

(…)

Información disponible en el escrito de CAIXABANK de 2 de agosto de 2024.

VIGÉSIMO SEXTO:

Con posterioridad a los tratamientos de datos personales vinculados a las
reclamaciones 1 y 2, CAIXABANK, introdujo los siguientes cambios en su sistema de
gestión de reclamaciones:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/59

A continuación, se refleja la referencia a dichas medidas tal y como figuran en el
informe de actuaciones previas de investigación:
“
(…)

Esta información también figura en escritos de CAIXABANK de fechas 2 de agosto y 7
de octubre de 2024, elaborados en contestación a requerimientos de información de la
SGID.

(…)

VIGÉSIMO SÉPTIMO:

(…)

VIGÉSIMO OCTAVO:

(…)

VIGÉSIMO NOVENO:

(…)
TRIGÉSIMO:

1. CAIXABANK realizó el ***FECHA.5 y el ***FECHA.6 dos auditorías del SAC del
***EMPRESA.1, que ha aportado junto con su escrito de alegaciones al acuerdo de
inicio.
Examinado el contenido del informe de auditoría de ***FECHA.5 e comprueba que en
las conclusiones se indica
“(…)”
El apartado de conclusiones del informe de auditoría de ***FECHA.6 señala:
“(…)”
La perspectiva a partir de la cual se han realizado dichas auditorías es
fundamentalmente bancaria.
Los informes de auditoría contienen frecuentes referencias al Banco de España (BdE),
a la Guía del BdE, a la Orden ECO/734/2004 u Orden ECO. También se mencionan
otros supervisores (CNMV y Dirección General de Seguros y Fondos de Pensiones).
En los mismos no figuran las expresiones “protección de datos”, “interesado” o “brecha
de datos personales” en ninguna ocasión. Ninguna de las dos listas de distribución de
dichos informes de auditoría incluye al DPO de CAIXABANK.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/59

(…)

Escrito de CAIXABANK de 12 de diciembre de 2025, elaborado en práctica de prueba:

“(…)”

La parte reclamada ha aportado un certificado de fecha 11 de diciembre de 2025 de la
***PUESTO.1 en el que se indica:

(…)

TRIGÉSIMO PRIMERO:

(…)
TRIGÉSIMO SEGUNDO:

En respuesta a un requerimiento de información de la SGID, el 2 de agosto de 2024
CAIXABANK remitió a la AEPD las normas, políticas y procedimientos que regulan el
funcionamiento del SAC de CAIXABANK
Así se refleja en el escrito de alegaciones al acuerdo de inicio:
(…)

Los citados documentos son:
(…)
TRIGÉSIMO TERCERO:

(…)

TRIGÉSIMO CUARTO:

(…)

TRIGÉSIMO QUINTO:

(…)

TRIGÉSIMO SEXTO:

(…)

TRIGÉSIMO SÉPTIMO:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/59

(…)
FUNDAMENTOS DE DERECHO

I Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”.

El artículo 4.12) del RGPD, define «violación de la seguridad de los datos personales»
como: “toda violación de la seguridad que ocasione la destrucción, pérdida o
alteración accidental o ilícita de datos personales transmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos;”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/59

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que
CAIXABANK realiza, entre otros tratamientos: la recogida, registro, organización,
estructuración, conservación, modificación, extracción, consulta, utilización,
comunicación por transmisión de datos personales de personas físicas, por ejemplo:
nombre y apellidos, documento nacional de identidad (DNI), fecha de nacimiento,
correo electrónico, número de teléfono móvil, IBAN, etc.

CAIXABANK realiza esta actividad en su condición de responsable del tratamiento,
dado que es quien determina los fines y medios de tal actividad, en virtud del artículo
4.7 del RGPD.

III Contestación a las alegaciones formuladas al acuerdo de inicio

1.ALEGACIONES RELATIVAS AL CONTEXTO EN EL QUE SE LLEVAN A CABO LOS
TRATAMIENTOS DE DATOS PERSONALES AFECTADOS POR LAS BRECHAS DE
DATOS PERSONALES

CAIXABANK es una entidad bancaria, como tal, ha de cumplir las obligaciones
previstas en la normativa bancaria y su actividad está sometida a la supervisión del
Banco de España. Por tanto, ha de tener en cuenta los criterios fijados por dicho
supervisor y el contenido de la “Guía sobre los criterios de organización y
funcionamiento de los servicios de atención al cliente de las entidades supervisadas
por el Banco de España” de 19 de julio de 2021.
Sin embargo, la actividad diaria que desarrolla CAIXABANK no es simplemente una
actividad bancaria. La parte reclamada realiza a diario, en calidad de responsable del
tratamiento, un importante volumen de tratamientos de datos de carácter personal de
interesados (clientes u otras personas físicas cuyos datos personales son tratados por
la misma). En lo que a dichos tratamientos de datos personales se refiere,
CAIXABANK ha de respetar la normativa vigente en materia de protección de datos de
carácter personal.
Cabe recordar que la normativa en materia de protección de datos de carácter
personal es una normativa de carácter transversal, que han de respetar todos los
responsables del tratamiento con independencia de que se trate de entidades
bancarias, compañías de seguros, hospitales o empresas de paquetería, etc.
Dichas empresas habrán de cumplir las obligaciones derivadas de su normativa
sectorial, sin olvidar que, si llevan a cabo tratamientos de carácter personal y actúan
como responsables del tratamiento, han de garantizar, de forma paralela, el pleno
respeto de lo previsto en el RGPD y en la LOPDGDD.
La normativa en materia de protección de datos personales centra su atención en los
tratamientos de datos personales que se realizan persiguiendo, como fin último,
garantizar el pleno respeto de los derechos y libertades de los interesados.
Por tanto, conforme a la normativa en materia de protección de datos personales, el
interesado está situado en una posición central, siendo necesario analizar el posible
impacto que el tratamiento, que se va a llevar a cabo o que se está realizando, tiene
sobre los derechos y libertades de dicho interesado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/59

La normativa bancaria atiende a sus propias finalidades, específicas del ámbito
bancario, no coincidentes con las finalidades propias de la normativa en materia de
protección de datos de carácter personal. Por tanto, el hecho de que una entidad
bancaria, como CAIXABANK, cumpla y respete la normativa bancaria, no supone
necesariamente o de forma automática que cumpla con lo dispuesto en el RGPD ni en
la LOPDGDD.
La actuación del Banco de España como supervisor está encaminada a verificar el
cumplimiento por parte de CAIXABANK de la normativa bancaria, no de la normativa
en materia de protección de datos de carácter personal, ámbito en el que es
competente la AEPD.
Partiendo de la normativa contemplada en el RGPD y en la LOPDGDD, si una
actividad, que implica el tratamiento diario de un importante volumen de datos de
carácter personal, como es el caso del SAC del ***EMPRESA.1 al tramitar
reclamaciones, está “expuesta claramente a errores humanos”, tal y como indica en
sus alegaciones CAIXABANK, errores con claras implicaciones en materia de
protección de datos, que afectan a los derechos y libertades de los interesados. Dicha
circunstancia no es algo inevitable o que pueda ser considerado aceptable como punto
de partida, sino que resulta necesario hacer algo al respecto. Esos errores humanos,
si llegan a producirse, van a ocasionar un impacto negativo, afectando a los derechos
y libertades de los interesados, que es lo que la normativa vigente en materia de
protección de datos personales trata de evitar.
Por otra parte, el hecho de que el SAC de CAIXABANK elabore anualmente un
informe sobre sus actividades destinado al Consejo de Administración de
CAIXABANK, supone una forma de informar a dicho Consejo sobre el funcionamiento
del SAC, si bien, en principio, no acredita el cumplimiento de la normativa en materia
de protección de datos de carácter personal.
En cuanto a las auditorías internas, junto con su escrito de alegaciones al acuerdo de
inicio CAIXABANK, ha aportado dos informes de auditoría relativos al SAC (…).
En fase de práctica de prueba se solicitó el informe de auditoría relativo al SAC
correspondiente al año 2025. (…).

Con carácter previo a dar respuesta al resto de alegaciones formuladas por
CAIXABANK, ha de señalarse que, en el presente caso, vistas las alegaciones al
acuerdo de inicio formuladas por CAIXABANK, y revisada la documentación obrante
en el expediente tras la fase de práctica de prueba, se comprueba que, en este caso
particular, la ausencia de una serie de medidas de protección de datos desde el diseño
y, ocasionalmente, por defecto, ha supuesto que no se aplicara de forma efectiva el
principio de confidencialidad.

La carencia de medidas del artículo 25 del RGPD también ha afectado a la aplicación
de otros principios contemplados en el artículo 5 del RGPD, como son, el principio de
minimización de datos personales (artículo 5. 1 c) y el principio de exactitud (artículo
5.1 d).
Por tanto, en el caso particular examinado, es el precepto contemplado en el artículo
25 del RGPD el que encaja plenamente en la conducta típica por su especialidad,
proponiéndose el archivo del artículo 5. 1 f) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/59

En consecuencia, se da respuesta de forma conjunta a las alegaciones relativas al
artículo 25 y al 5.1 f)

2. ARTÍCULOS 25 y 5.1 f) del RGPD

1.Contestación a las alegaciones relativas a la supuesta falta de concreción del
acuerdo de inicio al imputar una vulneración del artículo 25 del RGPD:

En cuanto a la alegación de CAIXABANK relativa a que, en el acuerdo de inicio, la
presunta infracción del artículo 25 del RGPD no tiene la suficiente concreción para que
se considere que cumple con los requisitos mínimos contemplados en el artículo 64.2
de la LAPCAP, cabe señalar que el apartado 2 letra b) de dicho artículo indica:
“b) Los hechos que motivan la incoación del procedimiento, su posible
calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que
resulte de la instrucción.” (el subrayado es nuestro).
Es decir, cuando se dicta el acuerdo de inicio, la calificación y la determinación de las
posibles sanciones que pudieran corresponder se realizará conforme a la información
disponible en ese momento.
En este expediente, se ha abierto un periodo de práctica de prueba, en el que se han
formulado dos solicitudes de información a la parte reclamada. Las versiones de
algunos documentos enviados por CAIXBANK a la AEPD durante las actuaciones
previas de investigación se correspondían con versiones posteriores al momento en el
que se produjeron los hechos, siendo necesario solicitar una nueva versión de los
mismos.
Asimismo, CAIXABANK en su escrito de alegaciones señala:
“(57) La falta de claridad aludida en el punto anterior se pone en evidencia
cuando la AEPD identifica como obligación incumplida, la “protección de datos
desde el diseño y por defecto”, refiriéndose en su conjunto a una presunta
infracción del artículo 25 del RGPD; estamos ante 2 obligaciones bien
diferencias por el legislador, aunque estas se regulen en un mismo artículo, a
pesar de ello, teniendo en cuenta los fundamentos en que se sustenta el
acuerdo de inicio, de ellos se deduce que la AEPD se está refiriendo
exclusivamente a la protección de datos desde el diseño, es decir, al apartado 1
del citado artículo 25.”
En primer lugar, tal y como se indica en el escrito de alegaciones al acuerdo de inicio,
el RGPD ha regulado en un mismo artículo la protección de datos desde el diseño y la
protección de datos por defecto.
Las Directrices 4/2019 del Comité Europeo de Protección de Datos (en adelante,
CEPD) relativas al artículo 25 Protección de datos desde el diseño y por defecto
versión 2.0, adoptadas el 20 de octubre de 2020, analizan en unas mismas directrices
la protección de datos desde el diseño y la protección de datos por defecto, utilizando
la abreviatura “PDDD” para hacer referencia a la obligación de protección de datos
desde el diseño y por defecto.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/59

Dichas Directrices señalan que “La protección de datos desde el diseño y la protección
de datos por defecto son dos conceptos complementarios, que se refuerzan
mutuamente. Los interesados se beneficiarán más de la protección de datos por
defecto si se aplica conjuntamente con la protección de datos desde el diseño, y
viceversa.” (el subrayado es nuestro).
La relación existente entre la protección de datos desde el diseño y la protección de
datos por defecto (PDpD) también se refleja en el contenido de las Guías de la AEPD
(Guía de Privacidad desde el Diseño versión de octubre 2019 y Guía de la AEPD de
Protección de Datos por Defecto versión de octubre 2020).
La protección de datos por defecto (PDpD) implica la necesidad de determinar los
datos mínimos necesarios para cada operación de tratamiento, independientemente
de los datos personales que se encuentren disponibles.
En este sentido, las Directrices 4/2019 del CEPD señalan:
“2.2.2.2 «la extensión de su tratamiento»
51. Las operaciones de tratamiento aplicadas a datos personales se limitarán a
lo estrictamente necesario. Muchas operaciones de tratamiento pueden
contribuir a una finalidad de tratamiento. Sin embargo, el hecho de que
determinados datos personales sean necesarios para una determinada finalidad
no implica que se puedan aplicar todo tipo de operaciones de tratamiento a
dichos datos ni con cualquier frecuencia.” (el subrayado es nuestro).
(…) es una medida de minimización de datos, que puede encuadrarse en el artículo
25.1, en tanto medida destinada a garantizar uno de los principios del artículo 5 del
RGPD, y que claramente se encuadra en el artículo 25.2 del RGPD, motivo por el cual
se utilizó en el acuerdo de inicio la expresión “protección de datos desde el diseño y
por defecto”.
CAIXABANK indica en su escrito de alegaciones:
“(59) Entendemos que la presunta infracción del artículo 25.1 se refiere al hecho
de no haber adoptado medidas para aplicar el principio recogido en el artículo
5.1.f del RGPD («integridad y confidencialidad»), cuya potencial infracción ya ha
sido imputada a CaixaBank, puesto que es el único incumplimiento de principios
que se aborda en el acuerdo de inicio, por lo que la Agencia estaría imponiendo
2 sanciones diferentes por 1 mismo hecho, tal y como argumentaremos más
adelante.”
Las Directrices 4/2019 del CEPD, indican:
“61. Para hacer efectiva la PDDD [protección de datos desde el diseño y por
defecto], los responsables del tratamiento han de aplicar los principios de
transparencia, licitud, lealtad, limitación de la finalidad, minimización de datos,
exactitud, limitación del plazo de conservación, integridad y confidencialidad, y
responsabilidad proactiva.”
Examinados los hechos vinculados a este expediente, a partir de la información
disponible tras la fase de práctica de prueba, no cabe entender que la infracción del
artículo 25 del RGPD únicamente haya afectado al principio de confidencialidad
(artículo 5.1 f del RGPD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/59

También se ha visto afectado el principio de minimización regulado en el artículo 5. 1
c) del RGPD, tal y como se ha indicado anteriormente.
Asimismo, se ha visto afectado el principio de exactitud (artículo 5.1 d) del RGPD). Los
hechos examinados muestran que en el sistema de CAIXABANK figuraba como
representante del reclamante 1 un representante legal que realmente era el
representante de otro cliente diferente. Además, se ha vinculado en el sistema de
CAIXABANK el DNI del reclamante 1 (…) con una reclamación que realmente no
había presentado.
En conclusión, no cabe afirmar que se haya vulnerado el artículo 25 del RGPD
exclusivamente al no haber garantizado adecuadamente lo dispuesto en el artículo 5.1
f) del RGPD, dado que asimismo se han visto afectados otros principios contemplados
en el artículo 5 del RGPD.
En cuanto a la expresión “la mera adición por un responsable del tratamiento de
nuevos documentos relativos a las medidas a implementar respecto de un tratamiento,
en relación con los inicialmente elaborados, no es privacidad desde el diseño”, a la
que hace referencia el escrito de alegaciones al acuerdo de inicio, se considera que la
misma ha sido malinterpretada por la parte reclamada. No obstante, se ha sintetizado
el contenido de dicho fundamento de derecho, eliminando dicho párrafo.
Al objeto de aclarar la posible malinterpretación que refleja el escrito de alegaciones al
acuerdo de inicio, cabe destacar que:
Las Directrices 4/2019 del CEPD, señalan:
“(…) Los responsables del tratamiento aplicarán la PDDD [protección de datos
desde el diseño y por defecto] antes del tratamiento, y también de forma
continuada en el momento del tratamiento, revisando regularmente la efectividad
de las medidas y garantías elegidas. La PDDD también se aplica a los sistemas
ya existentes que tratan datos personales”
Es decir, la protección de datos desde el diseño ha de aplicarse antes de realizar el
tratamiento y de forma continuada mientras dicho tratamiento se produce. Revisando
de forma regular la efectividad de las medidas y garantías elegidas.
La expresión, que la parte reclamada ha considerado contradictoria, refleja uno de los
principios fundacionales desde la privacidad desde el diseño, que prevé que la
privacidad ha de ser incorporada en la fase de diseño.
La Guía de la AEPD de Privacidad desde el Diseño destaca:
“3. Privacidad incorporada en la fase de diseño
La privacidad debe formar parte integral e indisoluble de los sistemas,
aplicaciones, productos y servicios, así como de las prácticas de negocio y
procesos de la organización. No es una capa adicional o módulo que se añade a
algo preexistente, sino que debe estar integrada en el conjunto de requisitos no
funcionales desde el mismo momento en el que se concibe y diseña” (el
subrayado es nuestro).
Esa es la idea a la que hace referencia el párrafo mencionado por CAIXABANK en su
escrito de alegaciones al acuerdo de inicio.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/59

2. Aspectos relevantes relativos al funcionamiento del SAC del ***EMPRESA.1 en el
momento en el que se produjeron las brechas de datos personales
examinadas en este expediente.

Los hechos examinados están vinculados tratamientos de datos de carácter personal
realizados en el SAC (al que se denominará de forma indistinta SAC, SAC de
CAIXABANK o SAC del ***EMPRESA.1). La información disponible en el expediente
refleja las siguientes características del funcionamiento del SAC del ***EMPRESA.1:
(…)
Al objeto de mostrar algunos problemas de diseño vinculados a los tratamientos de
datos personales, que realizaba el SAC del ***EMPRESA.1, se van a examinar dos
ejemplos (las brechas de datos personales que han dado lugar a las reclamaciones 1 y
2).
3. Ejemplo 1: Análisis de los tratamientos de datos personales vinculados a la
reclamación 1 (información procedente del escrito de CAIXABANK de 2 de
agosto de 2024, elaborado en contestación a un requerimiento de información
de la SGID):

El 08/06/2023 a las (…) se da de alta y se registra en el SAC la reclamación
***REFERENCIA.8 presentada por A.A.A.

El 08/06/2023 a las (…) (20 min más tarde) se da de alta y se registra la reclamación
***REFERENCIA.5, objeto de la brecha de datos personales

El gestor del SAC encargado del alta, por error, (…).

 El 05/07/2024 a las (…) el SAC envió la respuesta correspondiente a la reclamación
***REFERENCIA.13 a la dirección de correo electrónico de A.A.A..

La respuesta contiene explicaciones referidas al producto que tenía contratado el
reclamante 1 (contrato de tarjeta de crédito). En el escrito aparecía el nombre del
representante (…) : B.B.B..

(…)

En relación con la reclamación 1, también cabe destacar que el ejercicio de derecho
de acceso por el reclamante 1 en su escrito de 6 de julio de 2023 pasó totalmente
inadvertido (hecho probados segundo y quinto). A pesar de indicarse en otro escrito de
la misma fecha que se ejercitaba el derecho de acceso, de ejercitarse en un impreso
elaborado por la AEPD y de aportar el interesado fotocopia del anverso y reverso de
su DNI.

La solicitud de ejercicio del derecho fue detectada con motivo del traslado de la
reclamación por parte de la AEPD y atendida el 9 de noviembre de 2023.

El ejercicio del derecho se planteaba con varias peticiones simultáneas. Era un escrito
con varias pretensiones, una de ellas el ejercicio de un derecho.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/59

Esta circunstancia refleja otra carencia vinculada al ámbito del artículo 25 del RGPD.
Cabe adoptar medidas con el fin de garantizar que las solicitudes de ejercicio de
derechos no pasen inadvertidas, como ha sucedido en este caso, y que puedan ser
atendidas en plazo, circunstancia que contribuirá a garantizar un adecuado
cumplimiento normativo por parte del responsable del tratamiento.

(…)

4. Ejemplo 2: Análisis de los tratamientos de datos personales vinculados a la
reclamación 2 (información procedente de los escritos de CAIXABANK de 2
de agosto y 3 de febrero de 2025, elaborados en contestación a un
requerimiento de información de la SGID y de la comunicación de la brecha al
DPO de CAIXABANK de fecha 16 de octubre de 2023):

El 02/10/2023 a las (…) se produce el alta y registro de la reclamación
***REFERENCIA.10, (…) por C.C.C.(reclamante 2) desde su dirección de correo
electrónico ***EMAIL.2).

Dicha reclamación tiene por objeto diversas cuestiones relativas a la solicitud realizada
por el reclamante 2 a CAIXABANK (…) ***DOCUMENTO.1 (…) (***DOCUMENTO.1).

El 02/10/2023 el SAC de CAIXABANK recibe un escrito de D.D.D. al que se asigna el
número ***REFERENCIA.14. Por error, se identifica el caso a nombre del reclamante
2.

El 04/10/2023 a las (…) la respuesta a la reclamación ***REFERENCIA.10, se remite
al correo electrónico ***EMAIL.2. Por error (…)

Dicho escrito también se envía a D.D.D..

El 04/10/2023 a las (…) el reclamante 2 envía un mensaje a CAIXABANK desde su
dirección de correo electrónico indicando que ha recibido una respuesta que no le
corresponde (ese nuevo escrito se registra en el sistema con el número
***REFERENCIA.15).
(…)
(…), la gestora de la oficina CAIXABANK solicitó al reclamante 2 que firmase el
***DOCUMENTO.1. Debido a una confusión, envió al reclamante dicho documento
preparado para la firma de un tercero (E.E.E.).
La información completa sobre los hechos vinculados a esta reclamación se ha
obtenido tras la fase de práctica de prueba. Como puede observarse, concurren tres
errores por parte de distintas personas que prestan servicios para CAIXABANK.
Tal y como se ha indicado anteriormente, (…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/59

En este caso, dos personas diferentes adjuntan documentación errónea con datos
personales de dos clientes de CAIXABANK D.D.D. y E.E.E..
(…)
(…) se introdujeron las siguientes medidas en el SAC de CAIXABANK:
 (…)

5. Incumplimiento del artículo 25 del RGPD:

CAIXABANK en el escrito de alegaciones al acuerdo de inicio afirma que “la gestión
de las reclamaciones es indisoluble del tratamiento de datos de carácter personal”.
Asimismo, señala que “las actividades del SAC, que en buena parte dependen de que
las personas que prestan el citado servicio no cometan errores”, siendo numerosas las
referencias en dicho escrito de alegaciones al riesgo asociado a posibles errores
humanos por parte del personal que trabaja en el SAC
(…)

6. Este expediente no se reduce al examen de dos brechas de datos personales:

Este expediente sancionador no se reduce a examinar dos brechas de datos
personales en las que se han comunicado y se ha producido el acceso no autorizado
por parte de terceros a:
- 4 nombre y apellidos
- 1 número de DNI
- 1 dirección de correo electrónico
- Algunas cifras relativas a una situación de descubierto.
La situación analizada es bastante más compleja.
A raíz de los tratamientos de datos personales vinculados a las reclamaciones 1 y 2,
se han realizado por parte de la SIGD unas actuaciones previas de investigación, en
las que se han formulado varios requerimientos de información a la parte reclamada.
Asimismo, durante la tramitación de este expediente sancionador, se ha abierto un
periodo de práctica de prueba, en el que se han remitido dos escritos a CAIXABANK.
Además de las dos brechas de datos personales vinculadas a las reclamaciones 1 y 2
(hechos probados primero a decimotercero), ha quedado acreditado que se produjeron
varias brechas de datos personales análogas a la reclamación 2 (hechos probados
decimocuarto a decimoctavo): consistente en enviar la respuesta a una reclamación
presentada ante el SAC a un destinatario incorrecto, revelando datos de carácter
personal de terceros.
Según datos aportados por CAIXABANK, en contestación a requerimientos de
información de la SGID, la recurrencia de dicho tipo de brechas sería la siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/59

Brechas de datos Reclamaciones
Año
personales análogas gestionadas por el SAC
2022 (…) (…)
2023 (…) (…)
2024 (…) (…)

Tal y como destaca el informe de actuaciones previas de investigación, el volumen de
brechas de datos personales es creciente, mayor en proporción que el volumen
creciente de reclamaciones tramitadas en los años 2023 y 2024:

- Año 2022: 1 caso por cada (…) reclamaciones.
- Año 2023: 1 caso por cada (…) reclamaciones.
- Año 2024: 1 caso por cada (…) reclamaciones

7. Problemas por parte de CAIXABANK a la hora de detectar brechas de carácter
personal, con las consecuencias que dicha falta de detección implica:

Asimismo, tal y como señala el informe de actuaciones previas de investigación (hecho
probado decimocuarto):

“Por otra parte, como señala la parte reclamada uno de los mecanismos de
detección de estos eventos fue la propia comunicación de las personas
afectadas, por lo que no podría descartarse un volumen mayor en ese contexto.”

En fase de práctica de prueba se solicitó a CAIXABANK información sobre las (…)
brechas de datos personales, análogas a la brecha de datos personales que ha dado
lugar a la reclamación 2, que se produjeron en 2023.

Entre la información solicitada, figuraban:

 La fecha en la que se produjo la brecha de datos personales.

 La fecha de comunicación de la brecha de datos personales al DPD de
CAIXABANK.

Examinados los datos correspondientes a esta muestra de (…) brechas de datos
personales (hecho probado decimoquinto), que incluye la brecha de datos personales
que ha dado lugar a la reclamación 2, así como otros (…) casos en los que CAIXBANK
también envió la respuesta a una reclamación presentada ante el SAC a un
destinatario incorrecto, revelando datos de carácter personal de interesados, se
observa lo siguiente:
En (…) casos las brechas de datos personales fueron detectadas por personal que
prestaba servicios a CAIXABANK:
 (…) detecciones por parte del gestor del SAC.
 (…) detecciones por auditorías internas

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/59

En los (…) casos restantes, las brechas de datos personales fueron detectadas por
personas ajenas a CAIXABANK:
 (…) detección por el Banco de España al recibir la documentación.
 (…) detección por la Agència Catalana Consum al recibir la documentación.
 (…) personas físicas que reciben documentación que contenía datos
personales de terceros.

La detección de brechas personales por personas ajenas a CAIXABANK supone un
(...)% del total.
CAIXABANK detectó las brechas de datos personales por sus propios medios en un
(...)% de los casos. Obsérvese que la detección de dichas brechas de datos
personales por parte de personal que presta servicios para CAIXABANK no alcanza el
(…)% de los casos.
Como puede observarse, la detección de este tipo de brechas personales por parte de
CAIXABANK depende en gran medida, de que el tercero que reciba la documentación
incorrecta, que incluye datos personales de otros interesados, se ponga en contacto
con CAIXABANK y le indique que ha recibido una documentación errónea, que no le
corresponde. No siendo posible determinar la cifra precisa de brechas de datos de
carácter personal que se han producido realmente en el SAC del ***EMPRESA.1.
A lo ya expuesto, cabe añadir que el examen de los datos aportados por CAIXABANK
refleja otra circunstancia (hecho probado decimoquinto). El problema a la hora de
detectar que se han producido brechas de datos personales se traduce en dilaciones,
a veces incluso de meses, a la hora de comunicar la existencia de dichas brechas de
datos personales al DPO de CAIXABANK (…).
Analizada la información facilitada por la parte reclamada, (…)
Durante ese dilatado periodo de tiempo, las brechas personales afectadas han pasado
desapercibidas para la parte reclamada con las consecuencias que ello supone: ni el
DPO (…) son conscientes de la existencia de dichas brechas de datos personales,
nadie ha valorado si dichas brechas de datos personales entrañan o no un alto riesgo
para los derechos y libertades de las personas físicas cuyos datos se han visto
afectados, tampoco se han adoptado medidas por parte de la entidad bancaria, dado
que desconoce la existencia las mismas.
Se ha producido una pérdida de control por parte de los interesados de sus datos de
carácter personal, que ha pasado inadvertida a la entidad bancaria donde se ha
producido.

8. En ocasiones se observan problemas a la hora de identificar los datos personales
afectados por las brechas de datos personales:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/59

En cuanto a los datos afectados, el Documento 5 DETALLE BRECHA (hecho probado
decimoquinto), aportado en fase de práctica de pruebas por CAIBANK, en
contestación al escrito de 26 de noviembre de 2025, incluye una columna relativa a los
datos personales revelados en esas (…) brechas de datos personales.
En dicha columna figuran, entre otros: nombres y apellidos, DNI, sexo, estado civil,
fecha de nacimiento, domicilio, dirección de correo electrónico, número de teléfono,
profesión. Revelándose, en ocasiones, datos financieros, por ejemplo: número de
contrato de préstamo, número de contrato de seguro, número de contrato tarjeta,
número de aval, condiciones en las que se concede el préstamo, actualización de
condiciones de la tarjeta de crédito, etc o los ingresos anuales del interesado.
Por otra parte, al examinar algunas de estas brechas de datos personales,
contrastando la información facilitada por CAIXABANK con la documentación aportada
por dicha entidad bancaria, se ha observado que, en ocasiones, no se reflejan todos
los datos personales que se han visto afectados por la brecha de datos personales.
Por ejemplo, en relación con la brecha de datos personales (…) identificada por
CAIXABANK con la referencia (***REFERENCIA.1), en el Documento 5 DETALLE
BRECHA, aportado por CAIBANK se indica que se vieron afectados los siguientes
datos de carácter personal:
“(…).”
En esta brecha de datos personales se reveló a un tercero una escritura de carta de
pago y cancelación de crédito en la que figuran los siguientes datos de carácter
personal:

En cuanto al representante de la entidad bancaria N.N.N., figuran su nombre y
apellidos y su DNI.

También figuran los nombres y apellidos de cuatro notarios, así como la dirección,
número de teléfono y número de fax de uno de ellos

Por tanto, en el Documento 5 no figuran todos los datos personales afectados por la
brecha de datos personales, no se mencionan (nacionalidad, estado civil, profesiones,
IBAN, dirección y datos de contacto de un notario).
Entre los datos personales omitidos, resulta especialmente relevante el número de
cuenta bancaria (IBAN), que figura en una fotocopia cheque bancario nominativo y que
no se encuentra asteriscado.
Lo mismo sucede con la brecha de datos personales (…), identificada por
CAIXABANK con la referencia (***REFERENCIA.1), hecho probado decimoséptimo. El
Documento 5 DETALLE BRECHA, aportado por CAIBANK, indica que se vieron
afectados los siguientes datos de carácter personal:
“(…).”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/59

En este caso, el documento enviado por error era una solicitud de contrato de crédito.
En el mismo figuran los siguientes datos de carácter personal de P.P.P.:

Nombre y apellidos, DNI, nacionalidad, domicilio, estado civil, fecha de nacimiento,
teléfono, profesión, empresa en la que trabaja y firma manuscrita.

Una vez más no se indican todos los datos personales afectados, con omisiones
significativas como la firma manuscrita de la interesada.
La situación descrita también se ha producido en relación con la reclamación 2.
El escrito de alegaciones al acuerdo de inicio elaborado por CAIXABANK analiza los
datos personales que se han visto afectados por la brecha de datos personales:
(…)
Si se examina el ***DOCUMENTO.1 (…), preparado para la firma (hecho probado
noveno), el mismo indica por duplicado el nombre y apellidos del cliente de
CAIXABANK (E.E.E.), su NIF, la localidad (***LOCALIDAD.2) y la oficina ((...)).

Resulta de suma importancia identificar todos los datos personales afectados por la
brecha de datos personales, tanto para que CAIXABANK pueda valorar de forma
adecuada si la brecha entraña un alto riesgo para los derechos y libertades e las
personas físicas cuyos datos personales se vieron afectados por la misma como para
prevenir riesgos posteriores (fraudes, suplantaciones de identidad, etc).
9. En ocasiones se observan problemas a la hora de detectar a las personas físicas
(interesados) afectadas por las brechas de datos personales:

A continuación, se analiza dicha situación en relación con las reclamaciones 1 y 2:
Reclamación 1:
En el requerimiento de información de la SGID de 20 de junio de 2024, entre la
información solicitada a CAIXABANK relativa a la brecha de datos personales, que dio
lugar a la reclamación 1, se solicita:
“1.4. Número total de afectados por cada incidente. Información respecto de la
comunicación realizada al resto de afectados, de haberse efectuado (aportar
copia de la comunicación remitida y del procedimiento de remisión).”
Tal y como refleja el hecho probado séptimo, CAIXABANK consideró que el único
afectado por la brecha de dato personales era B.B.B..
Sin embargo, tras un nuevo requerimiento de información de la SGID, CAIXABANK
envió copia del escrito enviado a B.B.B., en el que se revelaban datos personales del
reclamante 1 a B.B.B., representante de otro cliente de CAIXABANK.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/59

Por tanto, el reclamante1 (A.A.A.) también era afectado por la brecha de datos
personales, a pesar de no figurar como tal en el escrito de CAIXABANK de 2 de
agosto de 2024 al que anteriormente se ha hecho referencia.
Reclamación 2:
En el requerimiento de información de la SGID de 20 de junio de 2024, entre la
información solicitada a CAIXABANK en relación con la brecha de datos personales,
que dio lugar a la reclamación 2, figura:
“1.4. Número total de afectados por cada incidente. Información respecto de la
comunicación realizada al resto de afectados, de haberse efectuado (aportar
copia de la comunicación remitida y del procedimiento de remisión).”
Tal y como refleja el hecho probado duodécimo, CAIXABANK respondió a dicho
requerimiento indicando que el único afectado por la brecha de datos personales era
D.D.D..
El referido hecho probado, refleja que el informe de actuaciones previas de
investigación pone de manifiesto la contradicción entre dicha afirmación y la recepción
por parte del reclamante 2 de un ***DOCUMENTO.1 con datos personales de un
tercero (E.E.E.).
A pesar de lo indicado por CAIXABANK en su escrito de 2 de agosto de 2024, tanto
D.D.D. como E.E.E. fueron terceros afectados por la brecha de datos personales.
En fase de práctica de prueba, se solicitó a CAIXABANK en relación con la brecha de
datos personales, que dio lugar a la reclamación 2, que aportara documento que
acreditase la comunicación de la brecha de datos personales al DPD de CAIXABANK.
El hecho probado décimo, reproduce el correo electrónico de 16 de octubre de 2023,
aportado por CAIXABANK, que muestra que el reclamante 2 también fue un
interesado afectado por la brecha de datos personales.
En el apartado anterior se ha destacado la importancia de identificar los datos
personales afectados por las brechas de datos personales. Si bien aún tiene más
importancia que el responsable del tratamiento identifique de forma correcta a todos y
cada uno de los interesados afectados por dichas brechas.
La identificación correcta de los afectados por una brecha de datos personales resulta
crítica para que el responsable el tratamiento pueda garantizar de forma efectiva una
adecuada protección de sus datos de carácter personal.
Si dicho responsable no identifica a una persona física como afectado por la brecha de
datos personales cuando lo es:
 No va a valorar si la brecha entraña o no un alto riesgo para los derechos y
libertades del interesado. Ni si procede comunicarla al interesado conforme a lo
dispuesto en el artículo 34 del RGPD.
 No adoptará medidas para que no vuelva a producirse esta situación.
 No paliará los eventuales daños que se hayan producido como consecuencia
de la materialización del riesgo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/59

10. Aplicación de medidas de protección de datos personales de datos personales
desde el diseño o por defecto con el fin de corregir las situaciones descritas
en los apartados 7, 8 y 9:

La situación descrita en los apartados anteriores refleja otros ámbitos en los que se
aprecian carencias en cuanto a la aplicación de medidas contempladas en el artículo
25 del RGPD.
Resulta aconsejable que CAIXABANK revise su sistema y adopte medidas concebidas
con el fin de aplicar de forma efectiva el principio de confidencialidad, a fin de mejorar
su capacidad de detección de brechas de datos personales, identificar a todos los
interesados afectados por las mismas e identificar todos los datos personales
revelados.

11. Formación sobre brechas de datos personales:

CAIXABANK ha aportado documentación relativa a dos sesiones formativas impartidas
con fechas 26 de febrero y 4 de junio de 2024 a personal (…) al SAC, siendo ambas
posteriores a los tratamientos de datos personales que dieron lugar a las
reclamaciones 1 y 2.
Dichas acciones formativas, cuyo contenido se resume en el hecho probado
decimonoveno, son posteriores a varias de las brechas de datos personales
examinadas en este expediente.
(…)

12. Contestación relativa a la ausencia de daños y perjuicios a los interesados:

El escrito de alegaciones al acuerdo de inicio contiene numerosas referencias relativas
a que no se han acreditado los daños y perjuicios por parte de los afectados por las
brechas de datos personales. Incluso la parte reclamada llega a afirmar que a los
interesados afectados por las brechas de datos personales no se les han causado
daños ni perjuicios.
En primer lugar, el hecho de que CAIXABANK afirme no tener constancia de la
existencia de daños y perjuicios no significa que dichos daños y perjuicios no existan o
no se hayan producido. Además, al no tener la parte reclamada un sistema efectivo a
la hora de detectar las brechas no puede saber si hay daños y perjuicios, si no sabe
que se están produciendo dichas brechas (en la mayor parte de los casos se ha
enterado de la existencia de las brechas a través de las personas que recibieron
escritos dirigidos a terceros).
Téngase en cuenta que, tras la valoración de la brecha de datos personales por la
parte reclamada, se consideró que las brechas asociadas a la reclamación 1 y 2, así
como las otras (...) brechas, análogas a la de la reclamación 2 detectadas por
CAIXABANK en 2023, (…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/59

En segundo lugar, resulta necesario aclarar que los daños y perjuicios civiles no son
los totalmente coincidentes con los contemplados en el RGPD:
De acuerdo con los considerandos 75 y 85 del RGPD:
(75) Los riesgos para los derechos y libertades de las personas físicas, de
gravedad y probabilidad variables, pueden deberse al tratamiento de datos que
pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en
particular en los casos en los que el tratamiento pueda dar lugar a problemas
de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño
para la reputación, pérdida de confidencialidad de datos sujetos al secreto
profesional, reversión no autorizada de la seudonimización o cualquier otro
perjuicio económico o social significativo; en los casos en los que se prive a los
interesados de sus derechos y libertades o se les impida ejercer el control
sobre sus datos personales; en los casos en los que los datos personales
tratados revelen el origen étnico o racial, las opiniones políticas, la religión o
creencias filosóficas, la militancia en sindicatos y el tratamiento de datos
genéticos, datos relativos a la salud o datos sobre la vida sexual, o las
condenas e infracciones penales o medidas de seguridad conexas; en los
casos en los que se evalúen aspectos personales, en particular el análisis o la
predicción de aspectos referidos al rendimiento en el trabajo, situación
económica, salud, preferencias o intereses personales, fiabilidad o
comportamiento, situación o movimientos, con el fin de crear o utilizar perfiles
personales; en los casos en los que se traten datos personales de personas
vulnerables, en particular niños; o en los casos en los que el tratamiento
implique una gran cantidad de datos personales y afectea un gran número de
interesados.
“(85) Si no se toman a tiempo medidas adecuadas, las violaciones de la
seguridad de los datos personales pueden entrañar daños y perjuicios físicos,
materiales o inmateriales para las personas físicas, como pérdida de control
sobre sus datos personales o restricción de sus derechos, discriminación,
usurpación de identidad, pérdidas financieras, reversión no autorizada de la
seudonimización, daño para la reputación, pérdida de confidencialidad de datos
sujetos al secreto profesional, o cualquier otro perjuicio económico o social
significativo para la persona física en cuestión. Por consiguiente, tan pronto
como el responsable del tratamiento tenga conocimiento de que se ha producido
una violación de la seguridad de los datos personales, el responsable debe, sin
dilación indebida y, de ser posible, a más tardar 72 horas después de que haya
tenido constancia de ella, notificar la violación de la seguridad de los datos
personales a la autoridad de control competente, a menos que el responsable
pueda demostrar, atendiendo al principio de responsabilidad proactiva, la
improbabilidad de que la violación de la seguridad de los datos personales
entrañe un riesgo para los derechos y las libertades de las personas físicas. Si
dicha notificación no es posible en el plazo de 72 horas, debe acompañarse de
una indicación de los motivos de la dilación, pudiendo facilitarse información por
fases sin más dilación indebida.” (el subrayado es nuestro).
El Tribunal de Justicia de la Unión Europea (TJUE) en su sentencia de 4 de
septiembre de 2025, en el asunto C-655/23, destaca un concepto amplio de daños y
perjuicios para los interesados en protección de datos personales y ha determinado
que la mera pérdida de control sobre los propios datos personales por los interesados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/59

como consecuencia de una infracción del RGPD, aun cuando no se haya producido
concretamente un uso indebido de los datos en cuestión, puede bastar para causar
"daños y perjuicios inmateriales":
"59 En segundo lugar, como ha señalado la Comisión Europea en sus
observaciones escritas, unas situaciones, como las que se invocan en el litigio
principal, relativas a un «daño para la reputación» como consecuencia de una
violación de la seguridad de los datos personales o a una «pérdida de control»
sobre tales datos, figuran expresamente entre los ejemplos de posibles daños y
perjuicios que se relacionan en los considerandos 75 y 85 del RGPD.
"60 En particular, el Tribunal de Justicia ha subrayado que de la lista ilustrativa
de los «daños» o los «perjuicios» que pueden sufrir los interesados que figura en
el considerando 85, primera frase, del RGPD se desprende que el legislador de
la Unión quiso incluir en estos dos conceptos, en particular, la mera «pérdida de
control» sobre los propios datos personales de esos interesados como
consecuencia de una infracción de dicho Reglamento, aun cuando no se haya
producido concretamente un uso indebido de los datos en cuestión. Tal pérdida
de control puede bastar para causar «daños y perjuicios inmateriales», en el
sentido del artículo 82, apartado 1, de dicho Reglamento, siempre que ese
interesado demuestre que ha sufrido efectivamente tales daños y perjuicios, por
mínimos que sean, sin que ese concepto de «daños y perjuicios inmateriales»
requiera la demostración de la existencia de consecuencias negativas tangibles
adicionales (véase, en este sentido, la sentencia de 4 de octubre de 2024,
Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, apartados 145, 150 y 156 y
jurisprudencia citada)". (el subrayado es nuestro)
En cualquier caso, tampoco se comparte la afirmación de CAIXABANK relativa a que
no se ha ocasionado ningún daño o perjuicio a los interesados afectados por las
brechas de datos personales.
Tal y como se ha indicado en los apartados anteriores, existe un problema relativo a la
detección de brechas de carácter personal análogas a la que ha dado lugar a la
reclamación 2 en CAIXABANK (envió la respuesta a una reclamación presentada ante
el SAC a un destinatario incorrecto, revelando datos de carácter personal de
interesados).
Al depender CAIXABANK en gran medida de que el cliente, que ha recibido la
documentación enviada por error, con datos personales de un tercero, se ponga en
contacto con la parte reclamada y le advierta del error cometido, se puede producir un
prolongado lapso de tiempo entre la fecha en la que se produce la brecha de datos
personales y la misma es comunicada el DPO de CAIXABANK.
Durante ese periodo de tiempo, en ocasiones de meses, el interesado ha perdido el
control de sus datos de carácter personal y dicha circunstancia ha pasado totalmente
inadvertida para el responsable del tratamiento.
Además, durante dicho periodo de tiempo en él no se ha detectado la brecha de datos
personales y el interesado espera una contestación de CAIXABANK sobre un producto
bancario que no va a llegar (ya que se ha enviado por error a un tercero), se pueden
estar generando intereses, puede haber prescrito alguna acción, etc, ocasionando
perjuicios a dicho interesado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/59

Además, si analizamos los datos personales revelados a terceros afectados por las
(…) brechas de datos personales (Documento 5 DETALLE BRECHA) observamos
casos en los que entre los datos revelados figura información y datos bancarios del
interesado (por ejemplo: brecha (…) con referencia (***REFERENCIA.1), que incluye
un IBAN sin asteriscar, o la brecha (…) (***REFERENCIA.2) en la que se revela un
importante volumen de datos personales de todo tipo relativos a la interesada (nombre
y apellidos, DNI, nacionalidad, domicilio, estado civil, fecha de nacimiento, teléfono,
profesión, empresa en la que trabaja, firma manuscrita, datos de un vehículo del que
es propietaria, la antigüedad en su empresa, el año de construcción de su vivienda y
que dicha vivienda se encuentra hipotecada, así como todas las condiciones relativas
al préstamo que le ha sido concedido).

En otros casos, además de datos de carácter personal, se ha revelado que la situación
económica que estaba atravesando el interesado afectado por la brecha de datos
personales en ese momento era apurada, circunstancia que puede ser considerada
daño reputacional.
Por ejemplo, en la reclamación 2 se indica:
“He entregado documentación propia que han perdido y me han enviado
documentación privada de otro cliente que no se quien con nombre, apellidos,
(…) y email explicando que este Sr. debía dinero y que le perdonan las
comisiones. También me enviaron el documento de buenas prácticas bancarias
completado a nombre de otra persona.” (el subrayado es nuestro).
El cliente que debía dinero y al que CAIXABANK perdonó comisiones es D.D.D..
(…)

En relación con los posibles daños y perjuicios ocasionados, merece especial atención
el caso del reclamante 1.
A.A.A. desde el mismo momento en el que recibió un escrito dirigido a la atención de
B.B.B. pidió explicaciones a CAIXABANK manifestando su inquietud sobre tratamiento
personal realizado por CAIXABANK y que sus datos de carácter personal hubieran
sido revelados a B.B.B., desconocido para él (hechos probados cuarto y quinto).

Al remitir a la AEPD, junto con su reclamación, los escritos posteriores enviados por
CAIXABANK de fechas 7 y 11 de julio de 2023 el reclamante 1 incluye las siguientes
anotaciones manuscritas (hecho probado cuarto):
“NUEVA CONTESTACIÓN, SIGUEN SIN ACLARAR NADA.”

“NADA DICEN DEL USO DE MIS DATOS PERSONALES.”

A pesar de que el interesado había solicitado a CAIXABANK de forma reiterada
explicaciones sobre lo sucedido y se había interesado expresamente por el tratamiento
por parte de CAIXABANK de sus datos de carácter personal, no hay constancia de
que CAIXABANK le haya comunicado que el escrito con sus datos personales que
recibió, dirigido a la atención de B.B.B., también fue enviado a dicha persona (hecho
probado séptimo).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/59

Esta circunstancia supone una clara pérdida de control por parte del interesado de sus
datos de carácter personal.
Cuando se produce una brecha de datos personales, CAIXABANK, como responsable
del tratamiento, valora si la brecha entraña o no un alto riesgo para los derechos y
libertades de los interesados afectados por la misma, con el fin de determinar si les ha
de comunicar o no que se ha producido una brecha de datos personales en
cumplimiento del artículo 34 del RGPD.
Sin embargo, si el propio interesado interpela de forma directa a CAIXABANK y le pide
información sobre la forma en la que dicha entidad bancaria ha tratado sus datos de
carácter personal, la parte reclamada habrá de facilitarle la información que solicita. En
ese segundo supuesto, nos encontramos en un escenario distinto, ya que el titular de
los datos personales solicita al responsable que le informe sobre el tratamiento que ha
dado a sus datos de carácter personal que ha realizado.
En el sistema de CAIXABANK figuraba como representante del reclamante 1 una
persona que no lo era, a la que CAIXABANK había dirigido un escrito a su atención
con datos personales del reclamante 1.
El escrito dirigido a la atención de B.B.B. está fechado el ***FECHA.2 y la detección
de la brecha de datos personales se produjo el ***FECHA.1 (momento en el que el
reclamante 1 se pone en contacto con el SAC de CAIXABANK y comunica que ha
recibido una contestación a una reclamación que no ha presentado, dirigida a la
atención de un tercero).
Resulta necesario ser conscientes del enorme poder que CAIXABANK había dado a
B.B.B. sobre el reclamante. Esta persona era considerada por el responsable del
tratamiento representante legal del reclamante 1, a pesar de no serlo en realidad.
Por todos los motivos expuestos, no cabe considerar que, a los interesados afectados
por las brechas de datos personales a las que hace referencia este expediente, no se
les haya ocasionado ningún daño o perjuicio.
13. Referencia a la Sentencia del Tribunal Supremo 543/2022 de la Sala de lo
Contencioso-Administrativo de 15 de febrero de 2022, relativa a la obligación
de medios y no de resultados

Por una parte, la forma en la que se llevaron a cabo los tratamientos de datos
examinados por parte de personal del SAC produjo un resultado, ya que se han
revelaron datos de carácter personal de numerosos interesados a terceros.
Además, también se ha evidenciado, tanto en los apartados anteriores como en los
hechos probados, las carencias existentes desde el punto de vista de diseño. Es decir,
en el momento en el que dichos tratamientos de datos personales se realizaron no
habían sido aplicadas una serie de medidas técnicas y organizativas apropiadas,
concebidas para aplicar de forma efectiva los principios de protección de datos.
Dichas medidas se fueron implantando de forma paulatina con posterioridad.

3. PROPORCIONALIDAD:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/59

Examinadas las alegaciones formuladas por CAIXABANK se ha considerado que cabe
aplicar, en este caso, algunas circunstancias atenuantes, reduciendo el importe de la
multa administrativa correspondiente a la infracción del artículo 25 del RGPD.
El artículo 83.4 del RGPD dispone:
“4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo
o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo
del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía.”
El volumen de negocio de la parte reclamada asciende a 1.310.563.000 euros en el
año 2023 y el 2% del mismo son 26.211.260 euros.

Conforme a lo anterior, la sanción a imponer habrá de estar forzosamente entre 0 y
26.211.260 euros.

En esta propuesta de resolución se imputa a CAIXABANK una infracción del artículo
25 del RGPD. Dada la gravedad de los hechos reflejados tanto en los antecedentes,
hechos probados y fundamentos de derecho, no cabe considerar que una multa
administrativa de 500.000 euros resulte desproporcionada.
En respuesta al resto de alegaciones que cuestionan la graduación de las multas
conforme a lo dispuesto en el artículo 83.2 del RGPD, cabe señalar lo siguiente:
En cuanto al artículo 83.2 a) del RGPD, tal y como se ha expuesto de manera
reiterada, los hechos examinados en este expediente son graves y evidencian
infracción del artículo 25 del RGPD.
En el acuerdo de inicio de 16 de abril de 2025 el contenido del artículo 83.2 a) del
RGPD ha sido tenido en cuenta como circunstancia para la determinación del nivel de
gravedad de la infracción, pero no como factor de graduación en calidad de agravante.
En relación con el artículo 83. 2 b) RGPD (intencionalidad o negligencia en la
infracción), no se aprecia intencionalidad por parte de CAIXABANK si bien sí cabe
apreciar una negligencia grave, tal y como se expone en el fundamento de derecho VI.
En cuanto al artículo 83.2 c) RGPD (cualquier medida tomada por el responsable o
encargado del tratamiento para paliar los daños y perjuicios sufridos por los
interesados)
Se considera aplicable dicha circunstancia atenuante, reduciéndose la cuantía de la
multa.
En relación con el artículo 83.2 d) del RGPD (grado de responsabilidad del
responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas
que hayan aplicado en virtud de los artículos 25 y 32), se ha aplicado dicha
circunstancia atenuante.
En relación con la circunstancia agravante del artículo 76. 2 b) de la LOPDGDD
(vinculación de la actividad del infractor con la realización de tratamientos de datos
personales), el fundamento de derecho VI señala los motivos por los que se considera
aplicable en este caso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/59

IV Obligación incumplida. Protección de datos desde el diseño y por defecto

El artículo 25 del RGPD establece lo siguiente:

"1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la
naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de
diversa probabilidad y gravedad que entraña el tratamiento para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará, tanto
en el momento de determinar los medios de tratamiento como en el momento
del propio tratamiento, medidas técnicas y organizativas apropiadas, como la
seudonimización, concebidas para aplicar de forma efectiva los principios de
protección de datos, como la minimización de datos, e integrar las garantías
necesarias en el tratamiento, a fin de cumplir los requisitos del presente
Reglamento y proteger los derechos de los interesados.

2. El responsable del tratamiento aplicará las medidas técnicas y organizativas
apropiadas con miras a garantizar que, por defecto, solo sean objeto de
tratamiento los datos personales que sean necesarios para cada uno de los fines
específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos
personales recogidos, a la extensión de su tratamiento, a su plazo de
conservación y a su accesibilidad. Tales medidas garantizarán en particular que,
por defecto, los datos personales no sean accesibles, sin la intervención de la
persona, a un número indeterminado de personas físicas.

3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al
artículo 42 como elemento que acredite el cumplimiento de las obligaciones
establecidas en los apartados 1 y 2 del presente artículo."

La protección de datos desde el diseño, regulada en el artículo 25 del RGPD, deviene
de las obligaciones impuestas a todo responsable del tratamiento en los artículos 5.2 y
24 del RGPD y está destinada a garantizar la gestión del cumplimiento normativo del
RGPD.

Debe ser considerada por el responsable del tratamiento desde los estadios más
iniciales de planificación de un tratamiento de datos personales.

Implica, un diseño completo, en conjunto, del tratamiento de datos personales y de sus
riesgos en los derechos y libertades de los interesados. No es una capa adicional o
módulo que se añade a algo preexistente, sino que debe estar integrada en el conjunto
de requisitos no funcionales desde el mismo momento en el que se concibe y diseña.

No supone que no se tengan en consideración ni la actividad ni los intereses del
responsable del tratamiento, si bien al hacerlo ha de partirse de un enfoque orientado
a prevenir los riesgos en los derechos y libertades de los interesados. Por tanto,
partiendo de un enfoque centrado en las personas físicas, cuyos datos personales se
están tratando.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/59

En relación con la vulneración del artículo 25.1 del RGPD, además de lo ya expuesto
en este fundamento de derecho, cabe remitirse al contenido de los hechos probados y
del fundamento de derecho III, apartado 2.

Por otra, se aprecia una infracción del artículo 25 del RGPD, también en lo que a su
apartado segundo se refiere, dado que CAIXABANK trataba más datos personales de
los necesarios ((…)).
Por tanto, se considera que los hechos conocidos son constitutivos de una infracción
de procedimiento, imputable a CAIXABANK, por vulneración del artículo 25 del RGPD.

V Tipificación de la infracción del artículo 25 del RGPD y calificación a efectos de
prescripción

El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43;”

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los
apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las
que resulten contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece
lo siguiente:

"En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679
se consideran graves y prescribirán a los dos años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y,
en particular, las siguientes:
(…)
d) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para aplicar de forma efectiva los principios de protección de
datos desde el diseño, así como la no integración de las garantías necesarias en
el tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE)
2016/679.
e) La falta de adopción de las medidas técnicas y organizativas apropiadas para
garantizar que, por defecto, solo se tratarán los datos personales necesarios
para cada uno de los fines específicos del tratamiento, conforme a lo exigido por
el artículo 25.2 del Reglamento (UE) 2016/679. "

VI Propuesta de sanción

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/59

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una
multa administrativa y su cuantía en cada caso individual se tendrá debidamente
en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en
qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de
graduación establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/59

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado”.

En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de la correspondiente multa, además de la adopción de
medidas, si procede.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.

Para garantizar estos principios, se considera, con carácter previo, el volumen de
negocio de CAIXABANK 1.310.563.000 euros en el año 2023, tal y como refleja hecho
undécimo del acuerdo de inicio.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se
considera que procede graduar la sanción a imponer de acuerdo con las
circunstancias siguientes, contempladas en los preceptos antes citados.

Obligación incumplida del artículo 25 del RGPD:

Con carácter previo, se estima que concurren las circunstancias siguientes:

• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD):

CAIXABANK como responsable del tratamiento, ha de garantizar los principios
contemplados en el artículo 5 del RGPD. Los hechos examinados reflejan que no
estuvieron debidamente garantizados una serie de principios (confidencialidad,
exactitud, minimización).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/59

(…)

Reclamaciones
Año
gestionadas por el SAC
2022 (…)
2023 (…)
2024 (…)

Asimismo, ha de considerarse que el marco en el que se produjeron los
tratamientos de datos personales examinados (SAC del ***EMPRESA.1) tiene un
importante potencial de impacto sobre los derechos y libertades de numerosos
interesados.

A continuación, se hace referencia a como se vieron afectados varios principios
del artículo 5 del RGPD:

En lo que al principio de confidencialidad se refiere, no nos encontramos ante dos
casos aislados, sino al menos ante:

(…) brechas de datos personales en 2022.
(…) brechas de datos personales en 2023
(…) brechas de datos personales en 2024.
Las mismas afectaron a numerosos interesados, revelando datos de carácter
personal.
En cuanto al principio de minimización, (…).

En relación con el principio de exactitud, la falta de medidas de diseño del
artículo 25 del RGPD derivó en problemas de falta de exactitud de los datos
personales tratados.

El responsable del tratamiento ha adoptado medidas con carácter posterior con
el fin de solucionar algunos problemas relacionados con el artículo 25 del RGPD,
si bien quedan aún cuestiones pendientes de resolver.

• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD):

Si bien no cabe apreciar una intencionalidad en lo que a la infracción del artículo
25 del RGPD se refiere, si cabe apreciar una negligencia grave.

En el momento en el que se produjeron los tratamientos de datos personales
examinados, se daban un conjunto de circunstancias relacionadas con la forma
en la que estaba organizaba el SAC y se realizaban tratamientos de carácter
personal dentro del mismo que facilitaban que pudieran producirse errores por
parte del personal que tramitaba dichas reclamaciones.

(…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/59

Asimismo, cabe apreciar una negligencia grave por parte de CAIXABANK al no
haber abordado adecuadamente, desde el punto de vista del artículo 25 del
RGPD, los problemas vinculados a la detección de brechas personales como las
examinadas. Resultando llamativo:
 El elevado grado de dependencia, a la hora de detectar las brechas, con
respecto a la intervención de terceros (que han recibido documentación
incorrecta que contienen datos personales de interesados y se lo
comunican a CAIXABANK).
 Los dilatados periodos de tiempo que transcurren desde que se producen
las brechas de datos personales y las mismas son comunicadas del DPO
de CAIXABANK (periodos que, en ocasiones, de varios meses).

 Las categorías de los datos de carácter personal afectados por la infracción
(artículo 83.2, letra g), del RGPD):

La documentación aportada por CAIXABANK durante las actuaciones previas de
investigación y de en fase de práctica de prueba refleja que numerosos datos de
carácter personal se vieron afectados.
Uno de los datos que resultó afectado con mayor frecuencia es el DNI.

Cabe destacar que el tratamiento del número del DNI/NIF/NIE constituye un
tratamiento sobre un dato personal de especial sensibilidad, pues permite la
identificación directa e inequívoca de una persona física. Tal y como establece el
Real Decreto 255/2025, de 1 de abril por el que se regula el Documento Nacional
de Identidad, el DNI es un identificador numérico personal de carácter general,
con valor suficiente para acreditar tanto la identidad como la nacionalidad del
titular, lo que lo convierte en un elemento de especial sensibilidad dentro del
ecosistema de datos personales. Además, su utilización indebida conlleva un
elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al
derecho al honor, riesgos expresamente contemplados en el considerando 75 del
RGPD. Por ello, una interpretación sistemática y finalista del RGPD —conforme
a los considerandos 51 y 75— permite considerar el número del DNI como un
dato particularmente sensible, atendiendo a su capacidad de provocar perjuicios
significativos en caso de uso no autorizado. En este sentido, a la hora de valorar
esta circunstancia, no solo debe hacerse referencia a los tipos de datos cubiertos
por los artículos 9 y 10 del RGPD, sino también a los datos fuera del ámbito de
aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas
al interesado, tal y como permite el precepto.

Tal y como se ha señalado, en ocasiones se han visto afectados tanto dados
personales como datos de carácter financiero, poniendo en conocimiento de
terceros la situación crediticia o circunstancias económicas relativas al
interesado.

Ocasionalmente han resultado afectados datos bancarios como el IBAN, número
de contrato de tarjeta, número de aval, número de contrato de préstamo, que han
sido dados a conocer a terceros junto al nombre y apellidos y otros datos
personales identificativos (nombre y apellidos) o de contacto (dirección de correo
electrónico), con los posibles riesgos para el interesado derivados de que dichos
datos personales se revelen de forma simultánea.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/59

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

• La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD):

La realización de actividades financieras, que es la actividad principal de
CAIXABANK, implica forzosamente operaciones de tratamiento de datos
personales de las personas físicas clientes (o potenciales clientes) de dicha
entidad bancaria, no únicamente respecto a la documentación remitida por estos
por los canales establecidos por la responsable sino para todo tipo de
actividades.

CAIXABANK destaca que “la gestión de las reclamaciones es indisoluble del
tratamiento de datos de carácter personal”. Efectivamente, la recepción, alta,
tramitación y envío de respuesta a las reclamaciones planteadas en el SAC de
CAIXABANK conlleva la realización de forma habitual y continuada de
tratamientos de carácter personal de un elevado número de interesados. Por
tanto, la infracción se produce en el marco de un tratamiento de datos
personales que habitualmente realiza el responsable en su negocio y que se
encuentra estrechamente vinculado a este.

Asimismo, cabe destacar CAIXABANK cuenta con un DPO y su equipo, que
pueden asesorarle de cara al cumplimiento de la normativa en materia de
protección de datos de carácter personal. Asimismo, dispone de abundantes
medios humanos y materiales y pleno conocimiento de las obligaciones
contempladas, tanto en el RGPD como en la LOPDGDD.

Además, se consideran los siguientes factores de graduación en calidad de
atenuantes según el artículo 83.2 del RGPD:

• Cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados (artículo 83.2, letra
c), del RGPD):

(…)
 Grado de responsabilidad del responsable del tratamiento, habida cuenta de las
medidas técnicas u organizativas que hayan aplicado en virtud de los artículos
25 y 32 RGPD (artículo 83.2, letra d), del RGPD):

Tal y como refleja el hecho probado decimonoveno, con carácter previo a recibir
el primer requerimiento de información por parte de la SGID, la parte reclamada
había llevado a cabo en 2024 unas acciones formativas destinadas al personal
del SAC en las que se ha impartido formación sobre distintas cuestiones
relativas a la protección de datos personales y, en particular, sobre brechas de
datos de carácter personal.

 Cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción” (artículo 83.2.k) del RGPD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

53/59

La valoración del comportamiento de CAIXABANK, en este caso, exige
considerar las acciones llevadas a cabo por dicha entidad dirigidas al
cumplimiento de lo establecido en el RGPD y LOPDGDD, en consideración al
principio de mejora continua.

Sin obviar que esa mejora continua es una obligación exigible a los responsables
del tratamiento, se estima oportuno considerar la actitud mostrada por
CAIXABANK que, a lo largo de las actuaciones, ha informado de la implantación
a lo largo de 2024 de diversas medidas destinadas al cumplimiento de la
normativa de protección de datos.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se
considera que el balance de las circunstancias contempladas en el artículo 83.2 del
RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 25 del RGPD, permite fijar una sanción de multa
administrativa de 500.000,00 euros.

VII Medidas correctivas

De confirmarse en resolución la infracción, podría acordarse imponer al responsable la
adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada
en este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD,
según el cual cada autoridad de control podrá “ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

Se establece cuál es la infracción cometida y los hechos que dan lugar a la
vulneración de la normativa de protección de datos, de lo que se infiere con claridad
cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos,
mecanismos o instrumentos concretos para implementarlas corresponda a la parte
sancionada, pues es el responsable del tratamiento quien conoce plenamente su
organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de
riesgos, cómo cumplir con el RGPD y la LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, en la resolución que se
adopte se podrá requerir a CAIXABANK para que, adopte las siguientes medidas:

En el plazo máximo de 6 meses, a contar desde la fecha de ejecutividad de la
resolución finalizadora de este procedimiento:

- Acredite la adopción de medidas por parte de CAIXABANK destinadas de
manera específica a mejorar la detección de brechas de datos personales que
se produzcan en dicha entidad, así como su capacidad de identificación de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

54/59

todas las personas afectadas por dichas brechas y de los datos personales
revelados en las mismas.

En el plazo máximo de 9 meses, a contar desde la fecha de ejecutividad de la
resolución finalizadora de este procedimiento:

- Acredite haber realizado una revisión del funcionamiento del SAC, elaborando
un informe que incluya otras medidas encaminadas a garantizar el pleno
cumplimiento de lo previsto en el artículo 25 del RGPD, apartados 1 y 2,
remitiendo su contenido al órgano competente para la aprobación de dichas
medidas.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que ni el reconocimiento de las infracciones cometidas ni, en
su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.

A la vista de lo expuesto se procede a emitir la siguiente

PROPUESTA DE RESOLUCIÓN

Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
CAIXABANK, S.A., con NIF A08663619, por una infracción del artículo 25 del RGPD,
tipificada en el artículo 83.4 del RGPD con una multa de 500.000,00 euros (quinientos
mil euros).

Que por la Presidencia de la Agencia Española de Protección de Datos se archive el
procedimiento sancionador iniciado a CAIXABANK, S.A., con NIF A08663619, por la
presunta infracción del artículo 5.1 f) del RGPD, tipificada en el artículo 83.5 del
RGPD.

Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a
CAIXABANK, S.A., con NIF A08663619, que en virtud del artículo 58.2.d) del RGPD,
acredite haber procedido al cumplimiento de las siguientes medidas:

1. En el plazo máximo de 6 meses, a contar desde la fecha de ejecutividad de la
resolución finalizadora de este procedimiento, adopte las medidas siguientes:

- Acredite la adopción de medidas por parte de CAIXABANK
destinadas de manera específica a mejorar la detección de brechas de
datos personales que se produzcan en dicha entidad, así como su

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

55/59

capacidad de identificación de todas las personas afectadas por dichas
brechas y de los datos personales revelados en las mismas.

2.En el plazo máximo de 9 meses, a contar desde la fecha de ejecutividad de la
resolución finalizadora de este procedimiento, adopte las medidas siguientes:

- Acredite haber realizado una revisión del funcionamiento del SAC,
elaborando un informe que incluya otras medidas encaminadas a
garantizar el pleno cumplimiento de lo previsto en el artículo 25 del RGPD,
apartados 1 y 2, remitiendo su contenido al órgano competente para la
aprobación de dichas medidas.

Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 400.000,00 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.

A estos efectos, en caso de acogerse a esta reducción, deberá remitir a la
Subdirección General de Inspección de datos comunicación expresa del desistimiento
o renuncia a cualquier acción o recurso en vía administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.

En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.

926-250625
(…)
INSTRUCTOR/A

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

56/59

ANEXO
Índice del expediente EXP202312854

(…)
>>

SEGUNDO: En fecha 19 de marzo de 2026, CAIXABANK ha procedido al pago de la
sanción en la cuantía de 400.000,00 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.

TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción del artículo 25 del RGPD, y se propuso que, por la
Presidencia, se impusiera al responsable la adopción de medidas adecuadas para
ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo
58.2 d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”.

En concreto, en lo que respecta, únicamente, a las medidas destinadas de manera
específica a mejorar la detección de brechas de datos personales que se produzcan
en dicha entidad, así como su capacidad de identificación de todas las personas
afectadas por dichas brechas y de los datos personales revelados en las mismas, se
significa que habiéndose recibido escrito mediante el que CAIXABANK informa que ha
adoptado las medidas necesarias al respecto, por parte de esta Agencia se acusa
recibo del mismo, sin que esta declaración suponga ningún pronunciamiento sobre la
regularidad o licitud de las medidas adoptadas.

Se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio
de responsabilidad proactiva cuando señala que “El responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de
demostrarlo”. Este principio hace referencia a la obligación que recae en el
responsable del tratamiento no solo de diseñar, implementar y observar las medidas
jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea
acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el
ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además
capaz de demostrarlo.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

57/59

autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 400.000,00 euros y
su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de
las medidas correspondientes.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

58/59

Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, CAIXABANK, en fecha 19 de marzo de 2026, procedió a realizar el
pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado
3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de la infracción y CONFIRMAR la sanción
determinada en la parte dispositiva de la propuesta de resolución transcrita en la
presente resolución.

La cuantía de la sanción de multa administrativa que figura en dicha parte dispositiva
de la propuesta de resolución es de 500.000,00 euros.

Tras haber procedido CAIXABANK, S.A. al pago voluntario, aunque sin
reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP,
a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de
400.000,00 euros.

La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR el archivo de la infracción del artículo 5.1 f) del RGPD,
tipificada en el artículo 83.5 del RGPD.

TERCERO: DECLARAR la terminación del procedimiento EXP202312854, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

CUARTO: ORDENAR a CAIXABANK, S.A. para que en el plazo de 9 meses desde
que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de
las siguientes medidas:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

59/59

QUINTO: NOTIFICAR la presente resolución a CAIXABANK, S.A.

SEXTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, la presente resolución será firme en vía administrativa y
plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución haya sido
notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

1331-101025

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

Müşteri Hizmetlerinde Tasarım Yoluyla Veri Koruma

Türkçe özet

Hukuki mesele

Sonuç

Karar metni