Noticias bancarias y jurídicas

La AEPD ha informado de que en julio de 2026 se recibieron 919 notificaciones de brechas de datos personales, la cifra mensual más alta del último año. Los hoteles y sus proveedores de software de reserva son los principales afectados. Los ciberdelincuentes aprovechan los datos robados para contactar con los clientes y reclamarles un nuevo pago de la reserva alegando supuestas incidencias. La Agencia recuerda las obligaciones del RGPD (artículos 33 y 34) sobre notificación de brechas y pide reforzar la autenticación, incluido el doble factor.

La Agencia Española de Protección de Datos ha sancionado a Más Sol Energía con dos multas de 5.000 euros. Una de ellas deriva de una llamada comercial a una persona inscrita en la lista Robinson, sin que la empresa acreditara una base legitimadora válida. La otra sanciona la obtención de datos personales a través de terceros sin informar al interesado sobre su origen ni sobre la base jurídica del tratamiento. La AEPD considera que comprar una base de datos a un proveedor no elimina la responsabilidad de la empresa que la utiliza para hacer una campaña. La compañía que trata los datos debe poder demostrar que el interesado consintió realmente y debe cumplir sus obligaciones de información, aunque los datos procedan de una compra.

La Agencia Española de Protección de Datos (AEPD) ha vuelto a recordar a la Tesorería General de la Seguridad Social (TGSS) que no puede dar por respondido el derecho de acceso a datos personales de un ciudadano limitándose a entregar expedientes o remitir al Registro de Actividades de Tratamiento. El organismo público alegaba que la petición debía tramitarse por la Ley 39/2015 de procedimiento administrativo, pero la AEPD aclara que si el ciudadano canaliza su solicitud expresamente como derecho de acceso del RGPD, el responsable del tratamiento está obligado a resolverla formalmente. La resolución cita dos sentencias del TJUE (asuntos C-487/21 y C-579/21) que refuerzan una interpretación intensiva del derecho de acceso en Europa.

La AEPD, en su resolución EXP202515647, ha recordado que el derecho de acceso del artículo 15 del RGPD incluye los registros de actividad, logs, metadatos e incluso las grabaciones de clases realizadas por Zoom, sin que la empresa pueda sustituirlos por descripciones genéricas. La Agencia rechaza que estos datos queden fuera del derecho por tratarse de información generada durante la relación laboral o por existir un pleito paralelo. Sigue las Directrices 01/2022 del Comité Europeo de Protección de Datos, que obligan a entregar los datos concretos tratados.

La Agencia Española de Protección de Datos (AEPD) convocó el 27 de julio de 2026 los 'Premios Protección de Datos Personales 2026', que incluyen seis categorías: investigación científica, comunicación, buenas prácticas de cumplimiento, formación y concienciación, labor del Delegado de Protección de Datos, protección de colectivos vulnerables frente a la violencia digital, e investigación jurídica. El plazo para presentar candidaturas finaliza el 15 de octubre de 2026 y los trabajos deben haberse difundido entre octubre de 2025 y octubre de 2026. En esta edición se priorizarán los trabajos que aborden tecnologías innovadoras o disruptivas y su relación con la protección de datos. La AEPD también ha convocado simultáneamente el Premio de Privacidad y Protección de Datos en Iberoamérica para el mismo ejercicio.

El 21 de julio de 2026, la Agencia Española de Protección de Datos publicó una nota técnica que analiza cómo los principios de exactitud y minimización del RGPD se proyectan sobre los tratamientos de datos que usan sistemas de inteligencia artificial. Se trata de uno de los primeros trabajos en el mundo que aborda esta cuestión de forma sistemática, con el objetivo de ofrecer criterios claros a responsables del tratamiento, encargados y delegados de protección de datos. El documento tiene especial relevancia para sectores como la banca, que usa IA para scoring crediticio, análisis de riesgo y detección de fraude.

La Agencia Española de Protección de Datos ha impuesto en julio de 2026 una sanción de 250.000 euros a una empresa cuyas medidas de seguridad resultaron insuficientes para prevenir un ataque de ransomware que comprometió datos personales de clientes o empleados. La resolución, recogida en el newsletter de Garrigues de julio de 2026, se enmarca en la línea de la AEPD de responsabilizar a las organizaciones no solo cuando ocurre el ataque, sino cuando sus sistemas carecían de las protecciones adecuadas con carácter previo. La misma publicación recoge que la AEPD registró en 2025 el mayor número de reclamaciones de su historia. El sector financiero acumula el mayor volumen de expedientes abiertos por uso de inteligencia artificial.

El 14 de julio de 2026, la AEPD publicó un conjunto de recomendaciones para reforzar el cumplimiento del RGPD en la Administración General del Estado, fruto del trabajo conjunto con más de 70 delegados de protección de datos de diferentes ministerios y organismos. Las recomendaciones insisten en que el delegado de protección de datos debe participar desde las fases iniciales de cualquier proyecto tecnológico o normativo, garantizando independencia funcional. El documento también aborda los retos específicos de la inteligencia artificial en el sector público, con orientaciones sobre minimización y evaluación de impacto.

La Agencia Española de Protección de Datos ha sancionado a CaixaBank con 400.000 euros (500.000 iniciales, reducidos por pago voluntario) por incumplir el principio de privacidad desde el diseño del artículo 25 del RGPD. Dos clientes recibieron por error documentación confidencial de terceros —incluyendo situación financiera y DNI— como respuesta a sus propias reclamaciones ante el Servicio de Atención al Cliente. La AEPD acreditó que había brechas similares en años anteriores y que el 60% de ellas fue detectado por personas ajenas al banco, como otros clientes o el propio Banco de España. El banco alegó 'errores humanos puntuales', pero la AEPD rechazó esa defensa y obligó además a presentar en nueve meses un plan de mejora del SAC.

La Agencia Española de Protección de Datos ha multado a CaixaBank con 500.000 euros por diseñar su Servicio de Atención al Cliente de forma que permitía enviar datos personales de un cliente a destinatarios equivocados. En uno de los casos, un cliente recibió por error información financiera y el DNI de un tercero. En otro, un cliente obtuvo documentación privada de dos personas distintas tras tramitar sus propias reclamaciones. La sanción se reduce a 400.000 euros si la entidad paga voluntariamente, y obliga a CaixaBank a presentar un plan de mejora en nueve meses.

La AEPD sancionó a Openbank, banco digital de Banco Santander, con 2,5 millones de euros por infringir los artículos 25 y 32 del RGPD, al exigir a sus clientes el envío de documentación financiera sensible (requerida por la normativa de prevención de blanqueo de capitales) únicamente por correo electrónico, sin cifrar. Un cliente solicitó expresamente un canal más seguro —como su área personal en la web— pero el banco se negó. La AEPD concluyó que el email no es un medio adecuado para transmitir datos tan sensibles como el origen de los ingresos bancarios. La reclamación fue trasladada desde la autoridad de protección de datos de Baviera, al tener Openbank su sede en España.

La AEPD ha sancionado a Unicaja con 400.000 euros (reducidos de 500.000 por pago voluntario y reconocimiento de responsabilidad) por graves deficiencias en el control de acceso a su sistema de videovigilancia. Once empleados de la empresa de seguridad contratada accedían a las grabaciones de cerca de 9.000 cámaras de oficinas y cajeros automáticos usando un único usuario y contraseña compartidos. Esta práctica impedía identificar quién consultaba las imágenes en cada momento, vulnerando el artículo 32 del RGPD. El banco intentó atribuir la responsabilidad a la empresa subcontratada, pero la AEPD recordó que la externalización no exime al responsable del tratamiento.

La Agencia Española de Protección de Datos ha impuesto una multa de 5 millones de euros a CaixaBank por una grave brecha de seguridad que permitió que los clientes del banco pudieran ver datos sobre transferencias realizadas por otros clientes con los que no tenían ninguna relación. El fallo sanciona el incumplimiento de las medidas técnicas y organizativas exigidas por el RGPD para garantizar la confidencialidad de los datos financieros. CaixaBank acumula así una larga lista de expedientes sancionadores por parte de la AEPD en los últimos años. La multa refleja la tolerancia cero del regulador con las entidades que no protegen adecuadamente la información de sus clientes.

La AEPD impuso en el período recogido por el newsletter de Garrigues de abril de 2026 una sanción de 500.000 euros a una entidad bancaria por la pérdida de documentación de un cliente, infracciones distintas a las del caso CaixaBank de junio. El newsletter también recoge que la AEPD sancionó a una entidad de préstamos online por exigir a los clientes una foto con el DNI en la mano para tramitar la cancelación de un préstamo. Estas resoluciones apuntan a un patrón de reforzada exigencia del regulador sobre los procedimientos de gestión documental y verificación de identidad en el sector financiero.

La AEPD ha impuesto una sanción de 890.000 euros a una entidad bancaria española por operar un sistema de inteligencia artificial que denegaba préstamos de forma completamente automatizada, sin que los empleados de la sucursal pudieran modificar la decisión del algoritmo. La infracción vulnera el artículo 22 del RGPD, que prohíbe que las personas queden sujetas a decisiones basadas únicamente en tratamiento automatizado cuando estas produzcan efectos jurídicos significativos. La AEPD también sancionó la ausencia de una Evaluación de Impacto específica para el sistema. Esta resolución es la sanción más elevada de las impuestas hasta marzo de 2026 en los 147 expedientes abiertos por la agencia contra el uso de IA.