La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 400.000 euros a una entidad bancaria por el envío reiterado de información confidencial a destinatarios erróneos.
La resolución sienta un precedente clave: cuando una actividad masiva está expuesta previsiblemente a fallos, la falta de controles preventivos en su diseño vulnera la privacidad desde el diseño (artículo 25 del RGPD).
El límite de la excusa del "error humano puntual"
El caso (expediente EXP202312854) se inició tras varias reclamaciones contra el servicio de atención al cliente (SAC) de una entidad bancaria. En distintos incidentes, la entidad envió por error documentación con datos personales (nombres, DNI, datos financieros y respuestas a quejas ajenas) a clientes y terceros que no correspondían.
La entidad basó su defensa en que se trataba de "errores humanos puntuales" cometidos por personal que incumplió los procedimientos internos, subrayando además que su servicio está sometido a la estricta supervisión del Banco de España.
La AEPD rechazó este argumento. La autoridad de control determinó que si una actividad que procesa a diario un alto volumen de datos personales está "claramente expuesta a errores humanos" (como reconoció la propia entidad), esa previsibilidad no exime de responsabilidad, sino que activa la obligación de implementar medidas técnicas y organizativas desde el diseño para contener su impacto.
Derecho, Tecnología y Negocio
Este caso ilustra a la perfección el riesgo de no cruzar las capas de derecho, tecnología y operaciones de negocio:
- El cumplimiento sectorial no es cumplimiento RGPD: La entidad invocó sus auditorías internas y la supervisión del regulador bancario como prueba de diligencia. Sin embargo, dichos controles no evaluaban los riesgos para la privacidad ni integraban al Delegado de Protección de Datos (DPD).
Dos marcos normativos con finalidades distintas exigen controles distintos.
- El diseño tecnológico frente al volumen de negocio: Un proceso operativo masivo no puede depender exclusivamente de la infalibilidad humana.
Requiere diseño tecnológico, como verificaciones cruzadas automatizadas antes del envío de documentación sensible o límites estrictos en los datos accesibles por cada gestor.
- Detección organizativa: La AEPD reprochó a la entidad que la detección de estas brechas dependiera en gran medida de que el tercero afectado diera la voz de alarma.
Un sistema que no detecta sus propios fallos organizativos no puede cumplir con su obligación de notificar las brechas ni mitigar los daños inmateriales (que, como recuerda la AEPD citando la reciente sentencia del TJUE C-655/23, se producen por la mera pérdida de control del dato).
Asumir los errores operativos con datos personales como un "coste inevitable de negocio" es hoy un riesgo regulatorio inasumible.
Redactado por Carlota, a fecha 27 de octubre de 2026.