A pesar del conocimiento por parte de la entidad de la existencia de una suplantación de identidad, se permitió la contratación de productos utilizando el sistema de doble factor de autenticación vía teléfono móvil, siendo este el dispositivo que había sido sustraído a la reclamante.— Agencia Española de Protección de Datos (AEPD)
Los hechos
La Agencia Española de Protección de Datos multó a BBVA con 1.640.000 euros en octubre de 2023 por uno de los casos más graves de falta de seguridad documental en la banca española. Una clienta que estaba ingresada en una residencia de Barcelona para recibir tratamiento oncológico fue víctima de un robo: le sustrajeron el bolso con el móvil, el DNI y la tarjeta de crédito. Aunque la clienta avisó al banco inmediatamente para bloquear la tarjeta, BBVA permitió durante meses que terceros utilizaran sus datos para contratar préstamos, nuevas tarjetas, una línea de financiación con Carrefour e incluso transferencias internacionales a países latinoamericanos. El resultado: la clienta acabó en el fichero de morosos ASNEF con deudas que no eran suyas.
Lo que quedó acreditado
Una clienta de BBVA, ingresada en una residencia de Barcelona por tratamiento oncológico, fue víctima de robo de bolso (móvil, DNI, tarjeta de crédito). Comunicó el robo al banco y solicitó el bloqueo inmediato de su tarjeta. A pesar del aviso, durante los meses siguientes, terceros utilizaron el sistema de doble factor de autenticación vía el móvil robado para contratar: nuevas tarjetas de crédito, préstamos, línea de financiación Carrefour, apertura de cuentas, y realizaron transferencias internacionales a países latinoamericanos. BBVA siguió aceptando estas operaciones. La clienta acabó incluida en ASNEF como morosa por las deudas contraídas por los suplantadores, sin haber recibido ninguna comunicación de bloqueo.
Por qué condenó el tribunal
La AEPD sancionó por tres infracciones distintas: (1) Art. 25.1 RGPD — privacidad desde el diseño: BBVA presentó como prueba de sus medidas de seguridad un documento de "Prevención del Fraude y la Estafa" fechado en 2015, anterior al RGPD y sin adaptación desde entonces, con "enfoque eminentemente empresarial", no orientado a proteger los datos del usuario. (2) Art. 32 RGPD — seguridad del tratamiento: el sistema de doble factor de autenticación vía SMS al móvil robado no era una medida adecuada cuando el banco sabía que ese móvil había sido sustraído. (3) Art. 6 RGPD — legitimación: contratación de productos sin consentimiento real del titular. La AEPD consideró que existía un fallo sistémico, no puntual, en los procesos de seguridad del banco.
✅ ¿Por qué importa esto para tu caso con BBVA?
Si BBVA ha permitido que terceros operen con tu cuenta, contraten productos o realicen transferencias a tu nombre después de que hayas comunicado al banco una situación de riesgo (robo de documentación, phishing, aviso de operaciones sospechosas), esta resolución establece que el banco es responsable. La comunicación de la incidencia al banco crea una obligación reforzada de vigilancia que BBVA no puede ignorar. La multa de 1,64 millones acredita además que los documentos de seguridad de BBVA anteriores al RGPD eran inadecuados — un argumento directo para cualquier cliente que haya sufrido suplantación desde 2018.
Datos de la resolución
| Órgano | Agencia Española de Protección de Datos (AEPD) |
| Referencia | PS/00677/2022 |
| Fecha | 20/10/2023 |
| Entidad | BBVA |
| Condena | 1.640.000,00 € |
| Materia | Datos personales |
| Artículos | Art. 6 RGPD (legitimación), Art. 25 RGPD (privacidad desde el diseño), Art. 32 RGPD (seguridad del tratamiento) |
Lo que más nos preguntan
La Agencia Española de Protección de Datos multó a BBVA con 1.640.000 euros en octubre de 2023 por uno de los casos más graves de falta de seguridad documental en la banca española. Una clienta que estaba ingresada en una residencia de Barcelona para recibir tratamiento oncológico fue víctima de un robo: le sustrajeron el bolso con el móvil, el DNI y la tarjeta de crédito. Aunque la clienta avisó al banco inmediatamente para bloquear la tarjeta, BBVA permitió durante meses que terceros utilizaran sus datos para contratar préstamos, nuevas tarjetas, una línea de financiación con Carrefour e inc…
La AEPD sancionó por tres infracciones distintas: (1) Art. 25.1 RGPD — privacidad desde el diseño: BBVA presentó como prueba de sus medidas de seguridad un documento de "Prevención del Fraude y la Estafa" fechado en 2015, anterior al RGPD y sin adaptación desde entonces, con "enfoque eminentemente empresarial", no orientado a proteger los datos del usuario. (2) Art. 32 RGPD — seguridad del tratamiento: el sistema de doble factor de autenticación vía SMS al móvil robado no era una medida adecuada cuando el banco sabía que ese móvil había sido sustraído. (3) Art. 6 RGPD — legitimación: contratac…
Si BBVA ha permitido que terceros operen con tu cuenta, contraten productos o realicen transferencias a tu nombre después de que hayas comunicado al banco una situación de riesgo (robo de documentación, phishing, aviso de operaciones sospechosas), esta resolución establece que el banco es responsable. La comunicación de la incidencia al banco crea una obligación reforzada de vigilancia que BBVA no puede ignorar. La multa de 1,64 millones acredita además que los documentos de seguridad de BBVA anteriores al RGPD eran inadecuados — un argumento directo para cualquier cliente que haya sufrido suplantación desde 2018.
¿Esta resolución aplica a tu caso con BBVA?
Cuéntanos qué te ha pasado. Analizamos tu caso y te decimos si tienes fundamento para reclamar.