Noticias bancarias y jurídicas

La Agencia Española de Protección de Datos ha decidido abrir una investigación de oficio por un informe de la Oficina de Comunicación del Ministerio del Interior con nombres de periodistas y observaciones sobre su supuesta ideología. La AEPD analizará la naturaleza y alcance del tratamiento de esos datos personales, su utilización y la base jurídica que lo amparaba. Recuerda que la ideología es una categoría especialmente protegida por el artículo 9.1 del RGPD, que prohíbe su tratamiento salvo que concurran causas que levanten esa prohibición. La apertura de actuaciones no implica que se haya producido una infracción.

La Audiencia Provincial de Las Palmas confirmó la condena a Wizink Bank por comunicar a la CIRBE una deuda superior a 11.000 euros cuya existencia y exigibilidad estaban afectadas por procedimientos judiciales previos. La entidad deberá indemnizar con 9.000 euros a la clienta por vulneración de su derecho al honor. La CIRBE no es un fichero de morosos, pero los datos incorrectos pueden afectar la reputación económica y el acceso a financiación. La clienta había obtenido resoluciones favorables en los procedimientos sobre nulidad de dos tarjetas revolving, pese a lo cual Wizink comunicó la deuda.

La AEPD ha estimado la reclamación de una ciudadana contra su exabogada. La letrada no contestó a la petición de supresión de datos del artículo 17 RGPD que recibió en agosto. La abogada alegó estar de vacaciones y que el expediente estaba destruido. La autoridad recuerda que el responsable debe responder expresamente, incluso para denegar motivadamente o comunicar que no hay datos.

La Agencia Española de Protección de Datos ha sancionado con 4.000 euros a Bodense Estructuras y Calderería S.L. por instalar cámaras que grababan imagen y sonido en zonas de paso, almacén y despacho de dirección. La empresa usó el sonido para justificar un despido disciplinario por conducta vejatoria. La AEPD considera que fue una medida desproporcionada, pues existían medios menos invasivos como testigos. Los carteles informativos no bastan para legitimar la grabación de conversaciones privadas.

Varios exámenes de un taller de empleo gestionado por el Ayuntamiento de Canals (Valencia), con DNI, nombre y calificaciones de tres alumnos, aparecieron abandonados junto a contenedores en la vía pública. Tras la denuncia vecinal, la AEPD abrió el expediente EXP202408290 y apreció una vulneración del principio de integridad y confidencialidad del artículo 5.1.f del RGPD. La Agencia declaró la infracción pero no impuso multa económica, al ser una Administración local sometida al artículo 77 de la LOPDGDD.

Un vecino de Salamanca vio cómo sus datos personales (nombre, apellidos, DNI y correo) aparecían en una web que se hacía pasar por la de pago de multas de la ORA, usada para estafar a otros ciudadanos. La Policía no pudo identificar al titular del sitio, pero la AEPD, tras consultar a la operadora de telefonía y al registrador del dominio, identificó al responsable. La Agencia concluyó que no había base jurídica que legitimara el tratamiento de esos datos y le impuso una sanción de 2.000 euros por vulnerar el artículo 6.1 del RGPD.

El 24 de agosto de 2026, OpenAI anunció la llegada de ChatGPT Anuncios a 31 mercados europeos, España incluida. La publicidad se muestra en las versiones Free y Go; Plus, Pro, Business y Enterprise permanecen sin anuncios. OpenAI declara que las conversaciones son privadas frente a los anunciantes, que se puede desactivar la personalización, borrar datos de anuncios y acceder a una vía sin publicidad de pago. El artículo advierte que una conversación puede revelar datos sensibles (salud, religión, orientación sexual, vulnerabilidad económica) y que las garantías de producto no equivalen a una auditoría de conformidad RGPD.

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 1.000 euros (500 por cada infracción) a una mancomunidad de propietarios por difundir a través de grupos de WhatsApp un documento médico que identificaba a una vecina con sensibilidad química. La AEPD rechaza que el carácter informal del chat excluya la responsabilidad en protección de datos y considera que comunicar un dato de salud a determinadas personas no autoriza a compartirlo con el resto del grupo. Se vulneraron los artículos 5.1.f) y 9 del Reglamento General de Protección de Datos (RGPD), al acceder terceros no autorizados a información médica especialmente sensible.

La Agencia Española de Protección de Datos (AEPD) advierte de que dispositivos conectados a Internet —televisores, robots aspiradores, altavoces, bombillas, alarmas o timbres— pueden captar y almacenar voces, imágenes e información personal sin que el usuario sea consciente, incluidos datos de familiares e invitados. Estos aparatos no siempre distinguen quién es su titular y pueden seguir recopilando información aunque no se interactúe con ellos, lo que permite elaborar perfiles detallados de hábitos y comportamientos. Además, una configuración insegura puede convertirlos en puerta de entrada para ciberdelincuentes y exponer los datos tratados por terceros en caso de brecha de seguridad. La AEPD ofrece seis recomendaciones para un uso más seguro, como limitar la información facilitada, elegir fabricantes con garantías de privacidad y revisar las finalidades del consentimiento.

La AEPD ha resuelto el expediente EXP202514784 contra DIGI y concluye que las operadoras de telefonía no pueden rechazar de forma genérica el derecho de acceso de un usuario al registro de llamadas entrantes, alegando secreto de las comunicaciones o protección de terceros. La Agencia recuerda que la Ley 25/2007 no establece ninguna limitación específica al derecho de acceso sobre esos registros, aunque sí exige ponderar caso por caso qué datos pueden facilitarse al titular y cuáles deben restringirse para proteger a terceros. La resolución surgió tras la reclamación de un cliente al que DIGI denegó la petición de conocer fecha, hora, duración y número llamante de las llamadas que había recibido.

La AEPD ha informado de que en julio de 2026 se recibieron 919 notificaciones de brechas de datos personales, la cifra mensual más alta del último año. Los hoteles y sus proveedores de software de reserva son los principales afectados. Los ciberdelincuentes aprovechan los datos robados para contactar con los clientes y reclamarles un nuevo pago de la reserva alegando supuestas incidencias. La Agencia recuerda las obligaciones del RGPD (artículos 33 y 34) sobre notificación de brechas y pide reforzar la autenticación, incluido el doble factor.

La Agencia Española de Protección de Datos ha sancionado a Más Sol Energía con dos multas de 5.000 euros. Una de ellas deriva de una llamada comercial a una persona inscrita en la lista Robinson, sin que la empresa acreditara una base legitimadora válida. La otra sanciona la obtención de datos personales a través de terceros sin informar al interesado sobre su origen ni sobre la base jurídica del tratamiento. La AEPD considera que comprar una base de datos a un proveedor no elimina la responsabilidad de la empresa que la utiliza para hacer una campaña. La compañía que trata los datos debe poder demostrar que el interesado consintió realmente y debe cumplir sus obligaciones de información, aunque los datos procedan de una compra.

La Agencia Española de Protección de Datos (AEPD) ha vuelto a recordar a la Tesorería General de la Seguridad Social (TGSS) que no puede dar por respondido el derecho de acceso a datos personales de un ciudadano limitándose a entregar expedientes o remitir al Registro de Actividades de Tratamiento. El organismo público alegaba que la petición debía tramitarse por la Ley 39/2015 de procedimiento administrativo, pero la AEPD aclara que si el ciudadano canaliza su solicitud expresamente como derecho de acceso del RGPD, el responsable del tratamiento está obligado a resolverla formalmente. La resolución cita dos sentencias del TJUE (asuntos C-487/21 y C-579/21) que refuerzan una interpretación intensiva del derecho de acceso en Europa.

La AEPD, en su resolución EXP202515647, ha recordado que el derecho de acceso del artículo 15 del RGPD incluye los registros de actividad, logs, metadatos e incluso las grabaciones de clases realizadas por Zoom, sin que la empresa pueda sustituirlos por descripciones genéricas. La Agencia rechaza que estos datos queden fuera del derecho por tratarse de información generada durante la relación laboral o por existir un pleito paralelo. Sigue las Directrices 01/2022 del Comité Europeo de Protección de Datos, que obligan a entregar los datos concretos tratados.

La Agencia Española de Protección de Datos (AEPD) convocó el 27 de julio de 2026 los 'Premios Protección de Datos Personales 2026', que incluyen seis categorías: investigación científica, comunicación, buenas prácticas de cumplimiento, formación y concienciación, labor del Delegado de Protección de Datos, protección de colectivos vulnerables frente a la violencia digital, e investigación jurídica. El plazo para presentar candidaturas finaliza el 15 de octubre de 2026 y los trabajos deben haberse difundido entre octubre de 2025 y octubre de 2026. En esta edición se priorizarán los trabajos que aborden tecnologías innovadoras o disruptivas y su relación con la protección de datos. La AEPD también ha convocado simultáneamente el Premio de Privacidad y Protección de Datos en Iberoamérica para el mismo ejercicio.

El 21 de julio de 2026, la Agencia Española de Protección de Datos publicó una nota técnica que analiza cómo los principios de exactitud y minimización del RGPD se proyectan sobre los tratamientos de datos que usan sistemas de inteligencia artificial. Se trata de uno de los primeros trabajos en el mundo que aborda esta cuestión de forma sistemática, con el objetivo de ofrecer criterios claros a responsables del tratamiento, encargados y delegados de protección de datos. El documento tiene especial relevancia para sectores como la banca, que usa IA para scoring crediticio, análisis de riesgo y detección de fraude.

La Agencia Española de Protección de Datos ha impuesto en julio de 2026 una sanción de 250.000 euros a una empresa cuyas medidas de seguridad resultaron insuficientes para prevenir un ataque de ransomware que comprometió datos personales de clientes o empleados. La resolución, recogida en el newsletter de Garrigues de julio de 2026, se enmarca en la línea de la AEPD de responsabilizar a las organizaciones no solo cuando ocurre el ataque, sino cuando sus sistemas carecían de las protecciones adecuadas con carácter previo. La misma publicación recoge que la AEPD registró en 2025 el mayor número de reclamaciones de su historia. El sector financiero acumula el mayor volumen de expedientes abiertos por uso de inteligencia artificial.

El 14 de julio de 2026, la AEPD publicó un conjunto de recomendaciones para reforzar el cumplimiento del RGPD en la Administración General del Estado, fruto del trabajo conjunto con más de 70 delegados de protección de datos de diferentes ministerios y organismos. Las recomendaciones insisten en que el delegado de protección de datos debe participar desde las fases iniciales de cualquier proyecto tecnológico o normativo, garantizando independencia funcional. El documento también aborda los retos específicos de la inteligencia artificial en el sector público, con orientaciones sobre minimización y evaluación de impacto.

La Agencia Española de Protección de Datos ha sancionado a CaixaBank con 400.000 euros (500.000 iniciales, reducidos por pago voluntario) por incumplir el principio de privacidad desde el diseño del artículo 25 del RGPD. Dos clientes recibieron por error documentación confidencial de terceros —incluyendo situación financiera y DNI— como respuesta a sus propias reclamaciones ante el Servicio de Atención al Cliente. La AEPD acreditó que había brechas similares en años anteriores y que el 60% de ellas fue detectado por personas ajenas al banco, como otros clientes o el propio Banco de España. El banco alegó 'errores humanos puntuales', pero la AEPD rechazó esa defensa y obligó además a presentar en nueve meses un plan de mejora del SAC.

La Agencia Española de Protección de Datos ha multado a CaixaBank con 500.000 euros por diseñar su Servicio de Atención al Cliente de forma que permitía enviar datos personales de un cliente a destinatarios equivocados. En uno de los casos, un cliente recibió por error información financiera y el DNI de un tercero. En otro, un cliente obtuvo documentación privada de dos personas distintas tras tramitar sus propias reclamaciones. La sanción se reduce a 400.000 euros si la entidad paga voluntariamente, y obliga a CaixaBank a presentar un plan de mejora en nueve meses.