PS-00143-2025

1/59  Expediente N.º: EXP202312854 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CAIXABANK, S.A. (en adelante, CAIXABANK). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 4 de marzo de 2026 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202312854 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES Contenido PRIMERO: Reclamación 1......................................................................................... 3 SEGUNDO: Reclamación 2........................................................................................ 3 TERCERO: Actuaciones previas de investigación...................................................... 4 CUARTO: Acuerdo de inicio de procedimiento sancionador:...................................... 4 QUINTO: Alegaciones al acuerdo de inicio:................................................................ 5 1. Contexto en el que se llevan a cabo los tratamientos de datos personales afectados por las brechas de datos personales...................................................... 5 2. Artículo 5.1

1. f)del RGPD...................................................................................... 5 3. Artículo 25 del RGPD.......................................................................................... 6 4. Falta de proporcionalidad................................................................................... 6 5. Existencia de un concurso medial....................................................................... 6 SEXTO: Periodo de práctica de prueba:..................................................................... 7 SÉPTIMO: Relación de documentos que obran en el procedimiento:........................7 HECHOS PROBADOS.................................................................................................. 7 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/59 ÍNDICE DE HECHOS PROBADOS:........................................................................... 7 PRIMERO:................................................................................................................. 8 SEGUNDO:................................................................................................................ 9 TERCERO:............................................................................................................... 10 CUARTO:................................................................................................................. 11 QUINTO:.................................................................................................................. 12 SEXTO:.................................................................................................................... 13 SÉPTIMO:................................................................................................................ 14 OCTAVO:.................................................................................................................. 15 NOVENO:................................................................................................................. 16 DÉCIMO:.................................................................................................................. 18 UNDÉCIMO:............................................................................................................. 20 DUODÉCIMO:.......................................................................................................... 21 DECIMOTERCERO:................................................................................................ 23 DECIMOCUARTO:................................................................................................... 23 DECIMOQUINTO:.................................................................................................... 25 DECIMOSEXTO:...................................................................................................... 26 DECIMOSÉPTIMO:.................................................................................................. 27 DECIMOCTAVO:...................................................................................................... 27 DECIMONOVENO:.................................................................................................. 28 VIGÉSIMO:.............................................................................................................. 28 VIGÉSIMO PRIMERO:............................................................................................. 29 VIGÉSIMO SEGUNDO:............................................................................................ 31 VIGÉSIMO TERCERO:............................................................................................ 33 VIGÉSIMO CUARTO:............................................................................................... 34 VIGÉSIMO QUINTO:................................................................................................ 36 VIGÉSIMO SEXTO:.................................................................................................. 37 VIGÉSIMO SÉPTIMO:.............................................................................................. 39 VIGÉSIMO OCTAVO:............................................................................................... 40 VIGÉSIMO NOVENO:.............................................................................................. 40 TRIGÉSIMO:............................................................................................................ 42 TRIGÉSIMO PRIMERO:........................................................................................... 43 TRIGÉSIMO SEGUNDO:......................................................................................... 45 TRIGÉSIMO TERCERO:.......................................................................................... 45 TRIGÉSIMO CUARTO:............................................................................................ 47 TRIGÉSIMO QUINTO:............................................................................................. 49 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/59 TRIGÉSIMO SEXTO:............................................................................................... 50 TRIGÉSIMO SÉPTIMO:........................................................................................... 52 FUNDAMENTOS DE DERECHO................................................................................. 53 I Competencia.......................................................................................................... 53 II Cuestiones previas................................................................................................ 53 III Contestación a las alegaciones formuladas al acuerdo de inicio.......................... 54 1.ALEGACIONES RELATIVAS AL CONTEXTO EN EL QUE SE LLEVAN A CABO LOS TRATAMIENTOS DE DATOS PERSONALES AFECTADOS POR LAS BRECHAS DE DATOS PERSONALES................................................................ 54 2. ARTÍCULOS 25 y 5.1
2. f)del RGPD.................................................................... 56 3. PROPORCIONALIDAD:................................................................................... 78 IV Obligación incumplida. Protección de datos desde el diseño y por defecto.........79 V Tipificación de la infracción del artículo 25 del RGPD y calificación a efectos de prescripción.............................................................................................................. 80 VI Propuesta de sanción.......................................................................................... 81 Obligación incumplida del artículo 25 del RGPD:.................................................. 82 VII Medidas correctivas............................................................................................ 86 PRIMERO: Reclamación 1 Con fecha 19 de julio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante, AEPD) por parte de A.A.A. (reclamante 1) por una posible infracción imputable a CAIXABANK, S.A. con NIF A08663619 (en adelante, CAIXABANK, la entidad bancaria o parte reclamada). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: La parte reclamante manifiesta que el ***FECHA.1 recibió por correo electrónico una comunicación del Servicio de Atención al Cliente de CAIXABANK (en adelante, indistintamente SAC, SAC de CAIXABANK o SAC del ***EMPRESA.1) en respuesta a una reclamación que no había presentado, dirigido a la atención de un tercero B.B.B., al que no conoce. El contenido de dicha reclamación, de la documentación que la acompañaba, la tramitación dada la misma y las referencias a dicha reclamación contenidas en el informe de actuaciones previas de investigación, aparecen reflejados en los hechos probados primero a octavo. En síntesis, el reclamante 1 recibió una respuesta a una reclamación que no había presentado en la que se revelaban datos dirigida a la atención de un tercero (representante de otro cliente de CAIXABANK, siendo ambos desconocidos para él). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/59 Durante las actuaciones previas de investigación, se ha averiguado que dicho escrito también fue enviado al representante del otro cliente de CAIXABANK, revelando datos personales del reclamante 1. SEGUNDO: Reclamación 2 Con fecha 16 de octubre de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por parte de C.C.C.(reclamante 2) con motivo de una posible infracción imputable a CAIXABANK, S.A. en la que indica que CAIXABANK le ha enviado documentación relativa a dos personas a las cuales no conoce. El contenido de dicha reclamación, de la documentación que la acompañaba, la tramitación dada la misma y las referencias a dicha reclamación contenidas en el informe de actuaciones previas de investigación, aparecen reflejados en los hechos probados noveno a decimotercero. En resumen, el reclamante 2, que había formulado una solicitud a CAIXABANK, presentó 2 reclamaciones por la forma en la que dicha solicitud se estaba tramitando. En contestación a una de dichas reclamaciones, CAIXABANK envió una contestación adjuntando, por error, un escrito dirigido a otro cliente de CAIXABANK, revelando datos personales de dicho cliente. En fase de práctica de prueba, se ha averiguado que la contestación también fue enviada a un tercero (cliente de CAIXABANK, desconocido por el reclamante 2), al que se revelaron datos de carácter personal del reclamante 2. Posteriormente, al continuar la tramitación de la solicitud presentada por el reclamante 2 a CAIXABANK, la gestora de su oficina le remitió, por error, un documento preparado para firma que contenía los datos personales de un tercero (cliente de CAIXABANK distinto de los anteriormente mencionados), revelando los datos de carácter personal de dicho interesado. TERCERO: Actuaciones previas de investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los extremos reflejados en el informe de actuaciones previas de investigación de 28 de febrero de 2025. CUARTO: Acuerdo de inicio de procedimiento sancionador: Con fecha 16 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/59 Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción: - Del artículo 5.1.
3. f)del RGPD, tipificada en el artículo 83.5 del RGPD. - Del artículo 25 del RGPD y, tipificada en el artículo 83.4 del RGPD. QUINTO: Alegaciones al acuerdo de inicio: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1. Contexto en el que se llevan a cabo los tratamientos de datos personales afectados por las brechas de datos personales La actividad del SAC de CAIXABANK está sujeta a una serie de exigencias legales derivadas del sector bancario en el que opera. Dichas exigencias por una parte condicionan su funcionamiento, ya que dicho servicio no puede funcionar exclusivamente según criterios de CAIXABANK, y, por otra, implican la supervisión directa de su funcionamiento por parte del Banco de España, persiguiendo como fin último una mejora en su funcionamiento. El funcionamiento del SAC de CAIXABANK se basa en procedimientos documentados, de carácter preventivo y con un enfoque orientado a los riesgos propios de la actividad que desarrollan los SAC del sector bancario. Por este motivo, la parte reclamada no considera acertada la percepción de que pueda ser un entorno en el que por sistema se vayan a cometer errores o incumplimientos. Según CAIXABANK, los supuestos aislados en los que dichos errores se producen se deben a la propia naturaleza de la actividad del SAC, claramente expuesta a posibles errores humanos. Según CAIXABANK la actividad del SAC obedece a unos procedimientos preestablecidos, de carácter altamente preventivo, que tienen en cuenta los riesgos inherentes al conjunto de actividades que lleva a cabo el SAC. A lo ya expuesto, CAIXABANKA añade que: 1. Anualmente el SAC debe elaborar un informe de sus actividades que se presenta ante el Consejo de Administración. Dicho informe o un resumen del mismo se integra en la memoria anual de CAIXABANK. 2. El SAC ha de ser objeto de revisión interna independiente, realizada por la función de auditoría interna de CAIXABANK, que evalúa el buen funcionamiento y organización de dicho servicio. CAIXABAN concluye que la causa directa de las 2 brechas de carácter personal examinadas en este expediente no es la forma en la que se ha configurado y gestionado el funcionamiento del SAC, sino errores humanos de carácter puntual, cometidos por personas adscritas al SAC, que no siguieron los procedimientos e instrucciones proporcionados por CAIXABANK para el desarrollo de las actividades del SAC. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/59 2. Artículo 5.1
4. f)del RGPD 1.CAIXABANK considera que la AEPD no valora adecuadamente las consecuencias que las brechas de datos personales pudieran tener en los afectados, ni aporta evidencias que acrediten daños y perjuicios a los mismos. En su opinión, la sanción resulta desproporcionada, teniendo en cuenta los hechos, las circunstancias que concurren y que no se habrían causado daños y perjuicios a los interesados. 2. La parte reclamada afirma que existían medidas adecuadas para mitigar el riesgo de brechas de datos personales en el funcionamiento del servicio de atención al cliente del ***EMPRESA.1 (SAC). Señala que, si se produjeron brechas de datos personales, fue como consecuencia de errores humanos, al no haber seguido, las personas encargadas de gestionar las reclamaciones, las instrucciones proporcionadas por CAIXABANK. En su opinión, no procede la declaración de infracción por una infracción del principio de integridad y confidencialidad (artículo 5.1
5. f)del RGPD, motivado por la falta de medidas técnicas y organizativas para garantizar la seguridad de los datos personales, dado que las brechas de datos personales se han debido a errores humanos. 3. Artículo 25 del RGPD 1.CAIXABANK señala que deben adoptarse medidas en la etapa de diseño de las operaciones de tratamiento y también durante el propio tratamiento. Destaca que los tratamientos deben adecuarse a los riesgos cambiantes en el marco de un proceso de mejora continua. En opinión de la parte reclamada, no se valora adecuadamente su actuación, que consideran diligente, tanto antes como después de las 2 brechas de datos personales, que motivan el acuerdo de inicio del procedimiento sancionador. 2. Indica que la información proporcionada por CAIXABANK en respuesta a los distintos requerimientos de la AEPD refleja, según la entidad bancaria, que las medidas adoptadas de manera previa a las 2 brechas de datos personales ya eran eficaces para mitigar el riesgo de que se produjeran brechas de datos personales, sin perjuicio de posibles errores humanos. 3. La parte reclamada considera que en esta segunda infracción la AEPD no identifica de manera precisa qué infracción se ha cometido, dado que el artículo 25 del RGPD incluye dos obligaciones o principios diferentes. Entiende que la AEPD se refiere al artículo 25.1 del RGPD. 4. Asimismo, afirma que no se ha vulnerado la protección de datos por diseño regulada en el artículo 25.1 del RGPD, dado que se ha tenido en cuenta durante todo el ciclo de vida de los tratamientos de datos realizados por el SAC de CAIXABANK. 4. Falta de proporcionalidad En opinión de la parte reclamada, existe una clara falta de proporcionalidad en las sanciones propuestas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/59 5. Existencia de un concurso medial CAIXABANK afirma que existe un concurso medial entre las dos infracciones propuestas. La parte reclamada señala que se han obviado algunos de los principios y garantías que deben estar presentes en los procedimientos sancionadores y solicita el archivo de las actuaciones, por no haberse cometido infracción alguna por su parte. En caso de no proceder al archivo, que se imponga una única sanción por incumplimiento del artículo 5.1
6. f)del RGPD, que absorbería la presunta infracción del artículo 25.1 del RGPD, dada la existencia de un concurso medial, reduciendo el importe de la multa. Finalmente, en caso de no proceder a imponer una única sanción, que se proceda a reducir significativamente la cuantía de las multas. SEXTO: Periodo de práctica de prueba: Con fecha 26 de noviembre de 2025, el instructor del procedimiento acordó abrir un periodo de práctica de prueba en el que se practicaron las siguientes: Práctica de prueba I: Se comunica la apertura de un periodo de práctica de prueba, se requiere a CAIXABANK que remita información y documentación, tal y como refleja el documento de 26 de noviembre de 2025, que obra en el expediente. Con fecha 12 de diciembre de 2025 CAIXABANK presentó un escrito, elaborado en contestación a la práctica de prueba, acompañado de diversa documentación. Entre la documentación remitida figura un documento, denominado (Documento 5DETALLE BRECHAS), que contiene la información sobre la brecha de datos personales objeto de la reclamación 2, así como (...) brechas de datos análogas que se produjeron en 2023, que figura como anexo a la propuesta de resolución. Práctica de prueba II: Examinada la documentación remitida por la parte reclamada, la AEPD con fecha 17 de diciembre de 2025 se remitió un nuevo escrito de práctica de prueba, que figura en el expediente. Con fecha 23 de diciembre de 2025 CAIXABANK presentó un escrito, elaborado con contestación de práctica de prueba II, acompañado de diversa documentación. SÉPTIMO: Relación de documentos que obran en el procedimiento: Se acompaña como anexo relación de documentos obrantes en el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/59 HECHOS PROBADOS ÍNDICE DE HECHOS PROBADOS: A los efectos de facilitar la lectura de los hechos probados consignados en la propuesta de resolución indicaremos que:              Del hecho probado primero al octavo, hacen referencia a los tratamientos de datos personales y circunstancias vinculadas a la reclamación 1. Del hecho probado noveno al hecho probado decimotercero, hacen referencia a los tratamientos de datos personales y circunstancias vinculadas a la reclamación 2. Hechos probados decimocuarto y decimoquinto, hacen referencia a la posible recurrencia de brechas de datos personales análogas a las vinculadas a la reclamación 1 y reclamación 2 y al análisis de la tabla con información relativa a (…) brechas de datos personales de 2023, aportada por CAIXABANK. Hecho probado decimosexto, con información relativa a la brecha de datos personales (…) (***REFERENCIA.1). Hecho probado decimoséptimo, con información relativa a la brecha de datos personales (…) (***REFERENCIA.2). Hecho probado decimoctavo, con información relativa a la brecha de datos personales (…) (***REFERENCIA.3) Hecho probado decimonoveno, sobre la formación impartida en 2024 al personal del SAC de CAIXABANK en materia de protección de datos personales. Del hecho probado vigésimo al vigésimo segundo, contienen información relativa a la organización del SAC del ***EMPRESA.1, incluyendo referencias a (…). Del hecho probado vigésimo tercero al vigésimo noveno, con información relativa a las características del funcionamiento del SAC del ***EMPRESA.1, (…). Los hechos probados trigésimo y trigésimo primero, contienen información relativa a auditorías del SAC del ***EMPRESA.1. Los hechos probados trigésimo segundo y trigésimo tercero, documentos con información sobre el funcionamiento del SAC. Del hecho probado trigésimo cuarto al trigésimo sexto, sobre instrucciones para la gestión de reclamaciones en el SAC. Hecho probado trigésimo séptimo relativo al ejercicio del derecho de acceso en CAIXABANK, si la solicitud de ejercicio de derechos se produce a través del SAC. PRIMERO: El ***FECHA.1 (…) el SAC de CAIXABANK envió a A.A.A. (reclamante 1) desde la dirección de correo electrónico (***EMAIL.1) un correo electrónico con el título “***TÍTULO.1” por el que adjuntaban respuesta a la reclamación con número de referencia ***REFERENCIA.4. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/59 El correo electrónico ***ADJUNTO.2. incluía dos adjuntos denominados ***ADJUNTO.1 y El documento adjunto ***ADJUNTO.1 es un escrito con membrete de CAIXABANK fechado el ***FECHA.2 dirigido a la atención de B.B.B. (…) figura el número de referencia ***REFERENCIA.5, que no se corresponde con el número que figura en el título del documento pdf, ***REFERENCIA.4. (…) da respuesta a la disconformidad sobre el tipo de interés aplicado en el contrato de tarjeta de crédito con pago aplazado y en el mismo figuran el nombre y apellidos completos del reclamante 1 así como su DNI. El documento adjunto ***ADJUNTO.2 es un escrito con membrete de CAIXABANK fechado el ***FECHA.1 dirigido al reclamante 1. Da respuesta a una reclamación con el número de referencia ***REFERENCIA.4, en esta ocasión sí existe correspondencia entre el número de referencia de la reclamación y el número del título del documento pdf. El escrito inadmite a trámite la reclamación, al haberse dado respuesta a las pretensiones planteadas con fecha ***FECHA.2. Ambos escritos concluyen indicando que, en caso de disconformidad con la decisión, puede plantearse reclamación ante el Servicio de Reclamaciones del Banco de España. SEGUNDO: El ***FECHA.1 a las (…) el reclamante envió un correo electrónico de respuesta al SAC de CAIXABANK (***EMAIL.1) con el siguiente texto: “Buenos días, No tengo ni idea de quién es el tal B.B.B., ni tengo constancia de haber presentado ninguna reclamación en relación con el tipo de interés de mi tarjeta de crédito. (…) Me temo que me deben una explicación. A.A.A..” Ese mismo día el reclamante 1 envió un nuevo correo electrónico al SAC de CAIXABANK (***EMAIL.1) a las (…) con el siguiente texto: “Buenos días, Exijo de forma inmediata que me envíen copia de la reclamación con número ***REFERENCIA.4, que según Uds., yo he planteado en ese Departamento y quiero saber quién es el tal B.B.B. al que hacen uds. referencia, enviando mis datos a su atención. A.A.A.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/59 El 6 de julio de 2023, a las (…) el reclamante 1 envió un nuevo correo electrónico al SAC de CAIXABANK (***EMAIL.1) con el siguiente texto: “Buenos días, Ampliación solicitud de información por su parte. A partir de este momento, he puesto este asunto en manos de mi Abogada y me reservo la posibilidad de ejercer cuantas acciones legales en derecho pudieran corresponderme. A.A.A.” En el expediente figura un escrito de esa misma fecha (6 de julio de 2023) enviado por el reclamante 1 al SAC de CAIXABANK en el que indica lo siguiente: “Me refiero al mail recibido ayer, ***FECHA.1, en relación con una reclamación interpuesta ante ese departamento donde aparece mi nombre, mis apellidos y mi número de DNI, así como el nombre de B.B.B.. Quiero manifestar que yo no he interpuesto, ni en mi nombre propio ni a través de una tercera persona, la reclamación a la que Uds. hacen referencia. Motivo por el cual, exijo una explicación por parte de esa Entidad, del motivo por el cual mis datos personales y particulares aparecen en la misma y que tratamiento han dado a mis datos personales. Documentación adjunta vía mail: Copia DNI Impreso Ejercicio del derecho de acceso (Agencia Española de Protección de Datos) Copia de los dos escritos remitidos por el Servicio cliente CaixaBank. A.A.A..” Asimismo, consta un ejercicio de derecho de acceso dirigido CAIXABANK de esa misma fecha (6 de julio de 2023), formulario de ejercicio de derecho elaborado por la AEPD, así como copia del anverso y del reverso del DNI del reclamante 1. TERCERO: El 7 de julio de 2023 (…) el SAC de CAIXABANK (***EMAIL.1) envió un nuevo correo electrónico al reclamante 1 titulado ***TÍTULO.2 adjuntando respuesta a la reclamación con número de referencia ***REFERENCIA.6. El correo electrónico incluye un adjunto denominado “***REFERENCIA.6. pdf” Dicho adjunto es un escrito con membrete de CAIXABANK fechado el 7 de julio de 2023 dirigido al reclamante 1 (en el texto figuran su nombre completo y los dos apellidos del reclamante 1), firma el documento el Titular del Servicio de Atención al Cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/59  Hace referencia a la disconformidad en relación con las cartas de respuesta recibidas sobre un contrato de tarjeta de crédito con pago aplazado.  CAIXABANK le traslada disculpas y lamentan que la percepción del servicio no haya cumplido con sus expectativas, así como cualquier molestia ocasionada.  Concluye indicando la posibilidad de plantear reclamación ante el Servicio de Reclamaciones del Banco de España. CUARTO: El reclamante 1 recibe un nuevo escrito del SAC de CAIXABANK fechado el 11 de julio de 2023 al que se ha asignado el número de reclamación ***REFERENCIA.7 en el que CAIXABANK (…). Sobre dicho escrito figuran las siguientes anotaciones manuscritas realizadas por el reclamante 1: “NUEVA CONTESTACIÓN, SIGUEN SIN ACLARAR NADA.” “NADA DICEN DEL USO DE MIS DATOS PERSONALES.” QUINTO: El 19 de julio de 2023 A.A.A. (reclamante 1) interpuso reclamación ante la AEPD por una posible infracción imputable a CAIXABANK. En el apartado de descripción de los hechos indica: “El pasado día ***FECHA.1, recibo vía mail del Servicio de Atención al Cliente de Caixabank, copia de una reclamación realizada el pasado día ***FECHA.2 y su correspondiente resolución, de fecha ***FECHA.1. Así mismo, y según el mail, se envía a la atención de B.B.B.. Quiero manifestar que ni he presentado la reclamación a la que hacen referencia ni conozco a B.B.B., que al parecer, según he podido comprobar vía internet, se trata de un Abogado Afincado en ***LOCALIDAD.1 con un bufete especializado en reclamaciones bancarias. Con fechas, 6 de julio, solicito a Caixabank que me envíen copia de la presunta reclamación interpuesta por mí, y lo que es más importante, del uso ante terceras de mis datos personales. El 7 de julio, recibo contestación por escrito vía mail, donde no contestan a ninguna de mis peticiones, en especial la segunda que es la que más me preocupa y que en mi opinión, entra de lleno en sus competencias.” Junto con la reclamación, el reclamante 1 aporta los documentos a los que se ha hecho referencia en los hechos probados primero al cuarto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/59 En contestación al traslado de la reclamación y solicitud de información a CAIXABANK por parte de la AEPD, la parte reclamada elabora un escrito de fecha 10 de noviembre de 2023 en el que: CAIXABANK se remite a la respuesta reflejada en el escrito fechado el 11 de julio de 2023, que acompañan, cuyo contenido se ha reflejado en el hecho probado cuarto. Indicando a continuación: “Queremos señalar a esta Agencia que, ante la situación acontecida, el Servicio de Atención al Cliente ha iniciado un proceso de revisión del sistema de envío de las respuestas a las reclamaciones formuladas por nuestros clientes, para prevenir y evitar el hecho que ocupa la presenta reclamación.” (subrayado de CAIXABANK) En cuanto al ejercicio del derecho de acceso por parte del reclamante 1, indican que han comprobado que en dicha respuesta de fecha 11 de julio de 2023 del SAC no se incluyó el derecho de acceso. Acompañan una contestación al ejercicio del derecho de acceso con fecha 9 de noviembre de 2023 dirigida al reclamante 1. SEXTO: En relación con la reclamación 1, el informe de actuaciones previas de investigación de 28 de febrero de 2025, partiendo de la información proporcionada por CAIXABANK en contestación a distintos requerimientos de información, indica lo siguiente:    El ***FECHA.2 se dieron de alta en el SAC de CAIXABANK dos reclamaciones (la ***REFERENCIA.8, (…) por el reclamante 1 y la ***REFERENCIA.5, planteada por un tercero), por error ambas reclamaciones se asociaron al reclamante 1. El gestor encargado de dar de alta la segunda reclamación en los sistemas de CAIXABANK (…) El error no fue detectado y el gestor concluye el alta (…) El ***FECHA.1 el SAC de CAIXABANK envía al reclamante 1 la respuesta de la reclamación ***REFERENCIA.5. El informe de actuaciones previas de investigación, indica: “La parte reclamada manifiesta sobre el origen de este incidente que el día ***FECHA.2 se dieron de alta las reclamaciones ***REFERENCIA.8, asociada a la parte reclamante, y la reclamación ***REFERENCIA.5, a la que se le asociaron por error sus datos de contacto. El motivo de esto es que en esta segunda reclamación el gestor encargado de tramitar el caso introdujo erróneamente los datos de contacto, asociando la reclamación a la parte reclamada, (…). Según manifestaciones: “El gestor encargado del alta de la reclamación en los sistemas de la Entidad, por error, vincula incorrectamente esta nueva reclamación a la reclamación inmediatamente anterior (…)”. El proceso de tramitación de la reclamación ***REFERENCIA.5 prosigue su curso, mezclando por tanto datos de una reclamación con otra: “El gestor que realiza el alta no se percata de este error y concluye el registro del alta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/59 añadiendo (…) los siguientes datos que pertenecen a la reclamación ***REFERENCIA.5: Datos del representante que aparece en la reclamación ***REFERENCIA.5: B.B.B.” El SAC envía la respuesta de la reclamación ***REFERENCIA.5 el ***FECHA.1, siendo dirigida a la parte reclamante al constar sus datos de contacto y constando otros datos propios de la reclamación, como el nombre del representante.” SÉPTIMO: CAIXABANK señala como causa de la brecha de datos personales un error humano del gestor que tramita el alta y registro de la reclamación.  En cuanto a la valoración del impacto de dicha brecha de datos personales la parte reclamada afirma que “El único afectado por el incidente es una persona llamada B.B.B..”  CAIXABANK considera que la brecha de datos personales no supuso ninguna afectación al reclamante 1. En este sentido, se reproduce parcialmente el informe de actuaciones previas de investigación: “La valoración que realiza la parte reclamada sobre el incidente es la siguiente: el origen del incidente según manifiesta es: “Error humano del gestor que tramita el alta y registro de la reclamación”. La valoración del impacto por la parte reclamada es: “El único afectado por el incidente es una persona llamada B.B.B..”. Adicionalmente, la parte reclamada manifiesta que este incidente no supuso ninguna afectación a la parte reclamante: “desde el SAC se remitió una respuesta en relación con una reclamación (la reclamación número ***REFERENCIA.9) que, si bien no realizó A.A.A., fue respondida en base a un contrato de tarjeta de su titularidad, hecho que no supone afectación ninguna a los datos de A.A.A..” Asimismo, se reproduce el escrito de CAIXABANK de 2 de agosto de 2024, elaborado en contestación a un requerimiento de información de la SGID, indicando que en la brecha de datos personales vinculada a la reclamación 1 había un único afectado (B.B.B.): “1.4. Número total de afectados por cada incidente. Información respecto de comunicación realizada al resto de afectados, de haberse efectuado (aportar copia de la comunicación remitida y del procedimiento de remisión). (…) Durante las actuaciones previas de investigación, en contestación a un requerimiento de información formulado por la Subdirección General de Inspección de Datos (SGID), CAIXABANK en su escrito de 3 de febrero de 2024, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/59 páginas 13 y 14, ha aportado copia del escrito que envió a B.B.B. (representante de otro cliente de CAIXABANK), revelando el nombre y apellidos del reclamante y su DNI a dicha persona. El contenido de dicho escrito coincide con el escrito de fecha ***FECHA.2, al que hace referencia el hecho probado primero. No consta en el expediente que CAIXABANK haya comunicado al reclamante 1 dicha circunstancia. OCTAVO: La brecha de datos personales fue detectada por CAIXABANK como consecuencia de una nueva reclamación planteada ante la entidad bancaria por el reclamante 1 el ***FECHA.1. En cuanto a las medidas adoptadas por la parte reclamada para la resolución del caso, desde el SAC se dio respuesta al reclamante 1 con fechas 7 de julio (hecho probado tercero) y 11 de julio (hecho probado cuarto). Así se refleja en el informe de actuaciones previas de investigación: “La detección se produce, tal como indica la parte reclamada, a raíz de la presentación el ***FECHA.1 de una nueva reclamación la parte reclamante (Detección: 05/07/2023 (…) A.A.A. remite reclamación al SAC indicando que ha recibido una respuesta a una reclamación que no ha presentado y que va dirigida a un tercero (B.B.B.).). No se señala ninguna acción proactiva de detección del error. Las medidas adoptadas para la resolución del caso, tal como manifiesta la parte reclamada, fueron: “Desde el SAC se dio respuesta a A.A.A. el día 7 de julio y el día 11 de julio, solicitándole disculpas por el error cometido en el proceso de registro de la reclamación.”. No obstante, como se detallará en el punto 4.2 de este informe, la parte reclamada ha adoptado medidas de carácter general sobre este tipo de comunicaciones a clientes. (…) (…) Por su parte, CAIXABANK en su escrito de 2 de agosto de 2024, elaborado en contestación a un requerimiento de información de la SGID; en relación con las acciones tomadas con objeto de minimizar los efectos adversos, destaca: “puesto que en el escrito de respuesta aparecía el nombre y apellido de un tercero (B.B.B.), (…). Habiéndose valorado la afectación a los derechos y libertades del tercero (improbabilidad que entrañara un alto riesgo para sus derechos y libertades), no se realiza comunicación al interesado. NOVENO: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/59 El reclamante 2 recibe un escrito con membrete de CAIXABANK fechado el 6 de octubre de 2023 dirigido a su nombre, con número de referencia de la reclamación ***REFERENCIA.10. En la parte superior del escrito figuran el nombre y apellidos del reclamante 2 (C.C.C.) así como su dirección de correo electrónico: ***EMAIL.2). El escrito de CAIXABANK contesta a una reclamación relativa a la dilación y supuesta falta de diligencia de la persona encargada de tramitar una ***SOLICITUD.1. La parte reclamada se disculpa por las posibles molestias e indica que la gestora del reclamante 2 le ha comunicado que contactó con el mismo para pedirle disculpas por la demora experimentada y solicitarle la última documentación precisa para la tramitación de su solicitud. CAIXABANK señala que ha comprobado que el 5 de octubre de 2023 el reclamante 2 entregó los documentos exigidos por la gestora en la última comunicación enviada por la misma y añaden que han dado instrucciones a la misma para que proceda a su revisión a la mayor brevedad posible. Informan que, una vez recibida la confirmación de que la documentación entregada está completa, se procederá a formalizar su solicitud (…) y comenzará a correr el plazo previsto en la normativa para emitir una resolución. El escrito concluye indicando que, en caso de disconformidad con la decisión, se puede plantear reclamación ante el Servicio de Reclamaciones del Banco de España. Junto con dicho escrito, se remiten al reclamante 2 dos documentos: El primero es un escrito con membrete de CAIXABANK fechado el 3 de octubre de 2023 vinculado a la reclamación con número de referencia ***REFERENCIA.11 (no coincide con el número de referencia asignado al escrito anterior ***REFERENCIA.10 al que acompaña). En la parte superior izquierda del escrito figura el nombre completo de un tercero D.D.D. y la dirección de correo electrónico del mismo (***EMAIL.3). El escrito contiene la respuesta a una queja o reclamación recibida por el SAC de CAIXABANK el 2 de octubre de 2023 relativo a la disconformidad con los precios aplicados en concepto de apertura descubierto e intereses de descubierto. A continuación, se reproduce el apartado titulado “Resolución de la reclamación”: “(…)” Por tanto, el texto del escrito refleja una situación de descubierto relativa a otro cliente (D.D.D.), indica el importe en concepto de apertura de descubierto e intereses de descubierto aplicados por CAIXABANK a dicho cliente, así como los ocho primeros dígitos y los cuatro últimos dígitos de la cuenta bancaria de dicho cliente (código de CAIXABANK y cuatro últimas cifras de la cuenta bancaria del cliente). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/59 El segundo escrito adjunto es el ***DOCUMENTO.1 de CAIXABANK preparado para la firma de otro cliente de CAIXABANK (E.E.E.). En este caso no figura número de referencia de la reclamación, al ser un impreso que ha de firmar el cliente al que se envía. El documento indica por duplicado el nombre y apellidos del cliente de CAIXABANK (E.E.E.), su NIF, la localidad (***LOCALIDAD.2), la fecha de firma (***FECHA.3) y la oficina ((...)). En el documento refleja que el ***DOCUMENTO.1 consiste en un conjunto de medidas de protección de deudores hipotecarios sin recursos. A continuación, se reproducen tres apartados que figuran en dicho Código: “(…)” DÉCIMO: El 16 de octubre de 2023 C.C.C. (reclamante 2) interpuso reclamación ante la AEPD por una posible infracción imputable a CAIXABANK. En el apartado de descripción de los hechos indica: “He entregado documentación propia que han perdido y me han enviado documentación privada de otro cliente que no se quien con nombre, apellidos, (…) y email explicando que este Sr. debía dinero y que le perdonan las comisiones. También me enviaron el documento (…) completado a nombre de otra persona. Respecto a mi documentación la han perdido, la han reclamado varias veces, han provocado que se caduque y tenga que volver a pagar para obtenerla. Ningún tipo de custodia de la información y ninguna privacidad... No tengo porque saber información de otros clientes y que pierdan la mía. Descontrol absoluto.” Ese mismo día a las (…) CAIXABANK comunicó por correo electrónico la brecha de datos personales a varios empleados, entre ellos F.F.F. (…). (…) UNDÉCIMO: En el escrito de CAIXABANK de fecha 13 de febrero de 2024, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD, la parte reclamada indica, entre otros aspectos, lo siguiente: 1. No se ha perdido ninguna documentación del reclamante 2. Su solicitud ha sido tramitada y aceptada. 2. El reclamante 2 inició los trámites para la solicitud (…) ***DOCUMENTO.1. Para su tramitación el reclamante 2 debía aportar una serie de documentos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/59 El reclamante 2 planteó dos reclamaciones al SAC de CAIXABANK: 1. Por su disconformidad y mal estar con los tiempos y el modo de proceder respecto de la tramitación de su solicitud por la gestora. 2. Solicitando respuesta a la reclamación anterior, así como petición de devolución de los importes del servicio aplicados por los conceptos de impagados y descubierto. El SAC de CAIXABANK dio respuesta a la primera reclamación, pero por un error humano puntual en el SAC de CAIXABANK, se le envió al reclamante 2 una respuesta que correspondía a otro cliente. Asimismo, la gestora solicitó al reclamante 2 la firma de un documento informativo respecto a la adhesión por parte del CAIXABANK al ***DOCUMENTO.1, debido a un error, le remitió dicho documento informativo cumplimentado a nombre de un tercero. En el momento en el que la gestora detectó el error, contactó con el reclamante, pidió disculpas y le aportó el documento cumplimentado con sus datos. Aportan como documentación anexa los siguientes documentos:    Documento de (…) a nombre del reclamante 2 de fecha ***FECHA.4 sin firmar. Escrito de respuesta a la reclamación del Reclamante 2 de fecha 6 de octubre de 2023, cuyo contenido coincide con el reflejado en el hecho probado noveno. Escrito con el membrete de CAIXABANK de fecha 6 de octubre de 2023 redactado (…) en contestación a una reclamación planteada por el reclamante 2 solicitando respuesta a una reclamación anterior y la devolución de los importes del servicio aplicados por los conceptos de impagados y descubierto. El informe de actuaciones previas de investigación señala el origen de la brecha de datos personales: “La parte reclamada manifiesta lo siguiente sobre el origen de este incidente: el día 2 de octubre se da de alta la reclamación ***REFERENCIA.10 interpuesta por la parte reclamante. El día 4 de octubre se da respuesta a esa reclamación adjuntando la respuesta correspondiente a otra reclamación, la ***REFERENCIA.11. Según manifestaciones: “se remite al correo electrónico ***EMAIL.2 adjuntando, por error (…) del gestor especializado encargado de resolver la reclamación y enviar la oportuna respuesta, la respuesta correspondiente a la reclamación ***REFERENCIA.11 (reclamación efectuada por D.D.D.).” Por otra parte, se produjo también el envío de otro documento dirigido al tercero E.E.E., la parte reclamada manifiesta: “En el marco de la gestión de la solicitud ((…) ***DOCUMENTO.1) y al efecto de poder proseguir con su tramitación, la gestora (de la oficina CaixaBank) asignada al asunto solicitó al reclamante que firmase un documento informativo respecto a la adhesión por parte de CaixaBank al ***DOCUMENTO.1. Debido a una confusión por parte de la gestora, ésta le remitió al reclamante (C.C.C.) dicho documento informativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/59 cumplimentado a nombre de un tercero (E.E.E.) en lugar de aportarle el documento cumplimentado a su nombre”. CAIXABANK señala como causa de la brecha de datos personales el error humano del gestor especializado encargado de resolver la reclamación y enviar la correspondiente respuesta, tal y como refleja el informe de actuaciones previas de investigación: DUODÉCIMO: En contestación a un requerimiento de información de la SGID, CAIXABANK indicó que el único afectado por la brecha de datos personales vinculada a la reclamación 2 era D.D.D.. El informe de actuaciones previas de investigación reproduce la contestación aportada por CAIXABANK, en contestación al requerimiento de información por parte de la SGID sobre la existencia de un único afectado por la brecha de datos personales y refleja la contradicción existente entre dicha información y el hecho de que el reclamante 2 haya recibido también el ***DOCUMENTO.1 a nombre de un tercero (E.E.E.). En primer lugar, se reproduce parcialmente el escrito de CAIXABANK de 2 de agosto de 2024: “1.4. Número total de afectados por cada incidente. Información respecto de comunicación realizada al resto de afectados, de haberse efectuado (aportar copia de la comunicación remitida y del procedimiento de remisión). (…)” Asimismo, se reproduce parcialmente el informe de actuaciones previas de investigación: “(…) La valoración del impacto por la parte reclamada es: “El único afectado por el incidente es un cliente de CaixaBank, D.D.D.”. Dichas manifestaciones entrarían en contradicción con la recepción del documento de buenas prácticas a nombre de otra tercera persona.” (el subrayado es nuestro). En un requerimiento posterior de 2 de septiembre de 2024 se formula un nuevo requerimiento de información por parte de la SGID con el fin de aclarar los hechos: “5.Información sobre las reclamaciones ***REFERENCIA.10 y ***REFERENCIA.12 dirigidas a C.C.C.y la relación existente entre las diferentes reclamaciones de esta incidencia. Relación que guarden con el documento “***DOCUMENTO.1”, dirigido a E.E.E. y remitido erróneamente al reclamante. Comunicaciones que se hayan mantenido con esta persona sobre este suceso. Indicar fechas.” El escrito de CAIXABANK de 7 de octubre de 2024, elaborado en contestación a dicho requerimiento de información, indica: “(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/59 Por tanto, a pesar de la contestación de CAIXABANK en su escrito de 2 de agosto de 2024, en el caso de la brecha de datos personales que ha dado lugar a la reclamación 2 no hubo un solo afectado por la brecha de datos personales (D.D.D.). Dicha brecha de datos personales también afectó a (E.E.E.), cuyos datos de carácter personal figuraban en el ***DOCUMENTO.1 preparado para firma que fue enviado por error al reclamante 2. DECIMOTERCERO: En cuanto a la detección de la brecha de datos personales, el informe de actuaciones previas de investigación señala que CAIXABANK detectó dicha brecha como consecuencia del aviso por parte del reclamante el 4 de octubre de 2023: “La detección se produce, tal como indica la parte reclamada, a raíz del aviso por la propia parte reclamante (Detección: 04/10/2023 (…) C.C.C., remite correo desde su dirección de correo electrónico ***EMAIL.2 indicando que ha recibido una respuesta que no le corresponde). No se señala ninguna acción proactiva de detección del error.” En relación con las medidas adoptadas para la resolución del caso, el informe de actuaciones previas de investigación señala que (…): “Las medidas adoptadas para la resolución del caso, tal como manifiesta la parte reclamada, fueron orientadas a la eliminación de la documentación de otros clientes enviada por error: “(…)”. DECIMOCUARTO: En respuesta a un requerimiento de información de la SGID, CAIXABANK ha señalado no tener constancia de ningún caso análogo al que ha dado lugar a la reclamación 1. Se ha acreditado la existencia de brechas de datos personales análogas a la de la reclamación 2 en 2022, 2023 y 2024: envío de respuesta a una reclamación presentada ante el SAC a un destinatario incorrecto. En la siguiente tabla se reflejan los datos aportados en los escritos de CAIXABANK, respecto a esta cuestión, durante las actuaciones previas de investigación Año Brechas de datos personales análogas Reclamaciones gestionadas por el SAC 2022 2023 2024 (…) (…) (…) (…) (…) (…) El informe de actuaciones previas de investigación destaca el volumen creciente de brechas de datos personales, mayor en proporción que el volumen creciente de reclamaciones tramitadas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/59 - Año 2022: 1 caso por cada (…) reclamaciones. Año 2023: 1 caso por cada (…) reclamaciones. Año 2024: 1 caso por cada (…) reclamaciones Se reproduce la parte del informe de actuaciones previas de investigación en el que se hace referencia a dicha recurrencia: “(…)” CAIXABANK señaló que las brechas de datos personales análogas a la que dio lugar a la reclamación 2 (envío de respuesta a una reclamación presentada ante el SAC a un destinatario incorrecto) fueron detectadas por una de estas tres vías: (…) Así se refleja en el escrito de CAIXABANK de 7 de octubre, elaborado en contestación a un requerimiento de información de la SGID: “(…). DECIMOQUINTO: Incorporar a los hechos probados el contenido de la tabla relativa a la brecha de datos personales que dio lugar a la reclamación 2 (envío de respuesta a una reclamación presentada ante el SAC a un destinatario incorrecto) y otras (...) brechas de datos análogas que se produjeron en el año 2023, que figura como documento anexo a la propuesta de resolución. En la misma se refleja información relativa a los siguientes aspectos:  Fecha en la que se produjo la brecha de datos personales.  Datos personales revelados  Identificación del afectado.  Causa de la brecha de datos personales.  Cómo se detectó la brecha  Fecha de comunicación al afectado (en su caso)  Fecha de comunicación al DPO. El examen de los datos contenidos en dicha tabla refleja lo siguiente: En (…) casos las brechas de datos personales fueron detectadas por personal que prestaba servicios a CAIXABANK:  (…) detecciones por parte del gestor del SAC. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/59  (…) detecciones por auditorías internas En los (…) casos restantes las brechas de datos personales fueron detectadas por personas ajenas a CAIXABANK:    (…) detección por el Banco de España al recibir la documentación. (…) detección por la Agència Catalana Consum al recibir la documentación. (…) personas físicas que reciben documentación que contenía datos personales de terceros. La detección de brechas personales por personas ajenas a CAIXABANK supone un (...)% del total. CAIXABANK detectó las brechas de datos personales por sus propios medios en un (...)% de los casos. (…) DECIMOSEXTO: La brecha de datos personales (…) (***REFERENCIA.1) se produjo porque el gestor del SAC que preparó la respuesta se equivocó al adjuntar (…) los documentos anexos al escrito. En lugar de enviar la constitución del préstamo hipotecario, solicitada por una clienta de CAIXABANK, adjuntó una carta de pago y cancelación de hipoteca, que gravaba la vivienda de otras dos personas. CAIXABANK detectó la brecha de datos personales el 17 de noviembre de 2023 al recibir en (***EMAIL.1) un correo electrónico de H.H.H., abogado de J.J.J. (clienta de CAIXABANK que recibió la documentación con datos personales de terceros). Datos personales revelados: En la escritura de carta de pago y cancelación de crédito figuran los siguientes datos de carácter personal: Los nombres y apellidos de L.L.L. y M.M.M., DNI, nacionalidad, estado civil, profesiones, domicilio, IBAN (como adjunto figura una fotocopia de un cheque bancario nominativo con el que se satisface el pago del crédito hipotecario). En cuanto al representante de la entidad bancaria N.N.N., figuran su nombre y apellidos y su DNI. También figuran los nombres y apellidos de cuatro notarios, así como la dirección, número de teléfono y número de fax de uno de ellos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/59 Por otra parte, cabe destacar que en la escritura notarial se indican tanto el importe total como el desglose de la deuda (capital, intereses ordinarios, intereses de demora del crédito hipotecario), así como abundante información sobre la vivienda hipotecada. DECIMOSÉPTIMO: La brecha de datos personales (…) (***REFERENCIA.2) se produjo porque el gestor del SAC, al responder a la reclamación de un cliente (O.O.O.), por error, adjuntó un contrato de préstamo correspondiente a otra clienta de CAIXABANK (P.P.P.). El documento enviado por error es una solicitud de contrato de crédito y en el mismo figuran los siguientes datos de carácter personal de P.P.P.: Nombre y apellidos, DNI, nacionalidad, domicilio, estado civil, fecha de nacimiento, teléfono, profesión, empresa en la que trabaja y firma manuscrita. Asimismo, en dicho documento figuran los datos de un vehículo del que es propietaria de P.P.P., la antigüedad en su empresa, el año de construcción de su vivienda y que dicha vivienda se encuentra hipotecada, así como todas las condiciones relativas al préstamo que le ha sido concedido. DECIMOCTAVO: La brecha de datos personales (…) (***REFERENCIA.3) se produjo porque al responder a la reclamación de un cliente de CAIXABANK (Q.Q.Q.), el gestor del SAC del ***EMPRESA.1, por error, adjuntó un documento con una respuesta que iba dirigida a otro cliente (R.R.R.). CAIXABANK detectó la brecha de datos personales al recibir un correo de Q.Q.Q. el 28 de abril de 2023 en el que se indica: “Me parece que estáis cruzando y cambiando direcciones de mail, esto no es mío. Saludos Q.Q.Q.” En el documento enviado por error a Q.Q.Q. de fecha 11 de abril de 2023 figuran los siguientes datos personales de R.R.R. nombre y apellidos, dirección, dirección de correo electrónico, número de referencia de la reclamación presentada en CAIXABANK, y el número de préstamo hipotecario sin asteriscar. DECIMONOVENO: Con fecha 26 de febrero de 2024 CAIXABANK impartió a personal (…) al SAC una formación sobre brechas personales y sobre derechos que los interesados pueden ejercer en materia de protección de datos de carácter personal. Dicha formación trata las siguientes cuestiones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/59 (…) VIGÉSIMO: (…) Así se refleja en el informe de (…). (…) VIGÉSIMO PRIMERO: (…) VIGÉSIMO SEGUNDO: (…) VIGÉSIMO TERCERO: (…) VIGÉSIMO CUARTO: (…) El informe de actuaciones previas de investigación también destaca que los procesos de alta, registro y respuesta a las reclamaciones planteadas al SAC de CAIXABANK eran (…), 2. A la hora de dar de alta una reclamación y asignarla a un cliente en el SAC del ***EMPRESA.1: (…) Información disponible en el escrito de CAIXABANK de 2 de agosto de 2024. VIGÉSIMO QUINTO: (…) Información disponible en el escrito de CAIXABANK de 2 de agosto de 2024. VIGÉSIMO SEXTO: Con posterioridad a los tratamientos de datos personales vinculados a las reclamaciones 1 y 2, CAIXABANK, introdujo los siguientes cambios en su sistema de gestión de reclamaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/59 A continuación, se refleja la referencia a dichas medidas tal y como figuran en el informe de actuaciones previas de investigación: “ (…) Esta información también figura en escritos de CAIXABANK de fechas 2 de agosto y 7 de octubre de 2024, elaborados en contestación a requerimientos de información de la SGID. (…) VIGÉSIMO SÉPTIMO: (…) VIGÉSIMO OCTAVO: (…) VIGÉSIMO NOVENO: (…) TRIGÉSIMO: 1. CAIXABANK realizó el ***FECHA.5 y el ***FECHA.6 dos auditorías del SAC del ***EMPRESA.1, que ha aportado junto con su escrito de alegaciones al acuerdo de inicio. Examinado el contenido del informe de auditoría de ***FECHA.5 e comprueba que en las conclusiones se indica “(…)” El apartado de conclusiones del informe de auditoría de ***FECHA.6 señala: “(…)” La perspectiva a partir de la cual se han realizado dichas auditorías es fundamentalmente bancaria. Los informes de auditoría contienen frecuentes referencias al Banco de España (BdE), a la Guía del BdE, a la Orden ECO/734/2004 u Orden ECO. También se mencionan otros supervisores (CNMV y Dirección General de Seguros y Fondos de Pensiones). En los mismos no figuran las expresiones “protección de datos”, “interesado” o “brecha de datos personales” en ninguna ocasión. Ninguna de las dos listas de distribución de dichos informes de auditoría incluye al DPO de CAIXABANK. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/59 (…) Escrito de CAIXABANK de 12 de diciembre de 2025, elaborado en práctica de prueba: “(…)” La parte reclamada ha aportado un certificado de fecha 11 de diciembre de 2025 de la ***PUESTO.1 en el que se indica: (…) TRIGÉSIMO PRIMERO: (…) TRIGÉSIMO SEGUNDO: En respuesta a un requerimiento de información de la SGID, el 2 de agosto de 2024 CAIXABANK remitió a la AEPD las normas, políticas y procedimientos que regulan el funcionamiento del SAC de CAIXABANK Así se refleja en el escrito de alegaciones al acuerdo de inicio: (…) Los citados documentos son: (…) TRIGÉSIMO TERCERO: (…) TRIGÉSIMO CUARTO: (…) TRIGÉSIMO QUINTO: (…) TRIGÉSIMO SEXTO: (…) TRIGÉSIMO SÉPTIMO: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/59 (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. El artículo 4.12) del RGPD, define «violación de la seguridad de los datos personales» como: “toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/59 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CAIXABANK realiza, entre otros tratamientos: la recogida, registro, organización, estructuración, conservación, modificación, extracción, consulta, utilización, comunicación por transmisión de datos personales de personas físicas, por ejemplo: nombre y apellidos, documento nacional de identidad (DNI), fecha de nacimiento, correo electrónico, número de teléfono móvil, IBAN, etc. CAIXABANK realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones formuladas al acuerdo de inicio 1.ALEGACIONES RELATIVAS AL CONTEXTO EN EL QUE SE LLEVAN A CABO LOS TRATAMIENTOS DE DATOS PERSONALES AFECTADOS POR LAS BRECHAS DE DATOS PERSONALES CAIXABANK es una entidad bancaria, como tal, ha de cumplir las obligaciones previstas en la normativa bancaria y su actividad está sometida a la supervisión del Banco de España. Por tanto, ha de tener en cuenta los criterios fijados por dicho supervisor y el contenido de la “Guía sobre los criterios de organización y funcionamiento de los servicios de atención al cliente de las entidades supervisadas por el Banco de España” de 19 de julio de 2021. Sin embargo, la actividad diaria que desarrolla CAIXABANK no es simplemente una actividad bancaria. La parte reclamada realiza a diario, en calidad de responsable del tratamiento, un importante volumen de tratamientos de datos de carácter personal de interesados (clientes u otras personas físicas cuyos datos personales son tratados por la misma). En lo que a dichos tratamientos de datos personales se refiere, CAIXABANK ha de respetar la normativa vigente en materia de protección de datos de carácter personal. Cabe recordar que la normativa en materia de protección de datos de carácter personal es una normativa de carácter transversal, que han de respetar todos los responsables del tratamiento con independencia de que se trate de entidades bancarias, compañías de seguros, hospitales o empresas de paquetería, etc. Dichas empresas habrán de cumplir las obligaciones derivadas de su normativa sectorial, sin olvidar que, si llevan a cabo tratamientos de carácter personal y actúan como responsables del tratamiento, han de garantizar, de forma paralela, el pleno respeto de lo previsto en el RGPD y en la LOPDGDD. La normativa en materia de protección de datos personales centra su atención en los tratamientos de datos personales que se realizan persiguiendo, como fin último, garantizar el pleno respeto de los derechos y libertades de los interesados. Por tanto, conforme a la normativa en materia de protección de datos personales, el interesado está situado en una posición central, siendo necesario analizar el posible impacto que el tratamiento, que se va a llevar a cabo o que se está realizando, tiene sobre los derechos y libertades de dicho interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/59 La normativa bancaria atiende a sus propias finalidades, específicas del ámbito bancario, no coincidentes con las finalidades propias de la normativa en materia de protección de datos de carácter personal. Por tanto, el hecho de que una entidad bancaria, como CAIXABANK, cumpla y respete la normativa bancaria, no supone necesariamente o de forma automática que cumpla con lo dispuesto en el RGPD ni en la LOPDGDD. La actuación del Banco de España como supervisor está encaminada a verificar el cumplimiento por parte de CAIXABANK de la normativa bancaria, no de la normativa en materia de protección de datos de carácter personal, ámbito en el que es competente la AEPD. Partiendo de la normativa contemplada en el RGPD y en la LOPDGDD, si una actividad, que implica el tratamiento diario de un importante volumen de datos de carácter personal, como es el caso del SAC del ***EMPRESA.1 al tramitar reclamaciones, está “expuesta claramente a errores humanos”, tal y como indica en sus alegaciones CAIXABANK, errores con claras implicaciones en materia de protección de datos, que afectan a los derechos y libertades de los interesados. Dicha circunstancia no es algo inevitable o que pueda ser considerado aceptable como punto de partida, sino que resulta necesario hacer algo al respecto. Esos errores humanos, si llegan a producirse, van a ocasionar un impacto negativo, afectando a los derechos y libertades de los interesados, que es lo que la normativa vigente en materia de protección de datos personales trata de evitar. Por otra parte, el hecho de que el SAC de CAIXABANK elabore anualmente un informe sobre sus actividades destinado al Consejo de Administración de CAIXABANK, supone una forma de informar a dicho Consejo sobre el funcionamiento del SAC, si bien, en principio, no acredita el cumplimiento de la normativa en materia de protección de datos de carácter personal. En cuanto a las auditorías internas, junto con su escrito de alegaciones al acuerdo de inicio CAIXABANK, ha aportado dos informes de auditoría relativos al SAC (…). En fase de práctica de prueba se solicitó el informe de auditoría relativo al SAC correspondiente al año 2025. (…). Con carácter previo a dar respuesta al resto de alegaciones formuladas por CAIXABANK, ha de señalarse que, en el presente caso, vistas las alegaciones al acuerdo de inicio formuladas por CAIXABANK, y revisada la documentación obrante en el expediente tras la fase de práctica de prueba, se comprueba que, en este caso particular, la ausencia de una serie de medidas de protección de datos desde el diseño y, ocasionalmente, por defecto, ha supuesto que no se aplicara de forma efectiva el principio de confidencialidad. La carencia de medidas del artículo 25 del RGPD también ha afectado a la aplicación de otros principios contemplados en el artículo 5 del RGPD, como son, el principio de minimización de datos personales (artículo 5. 1
7. c)y el principio de exactitud (artículo 5.1 d). Por tanto, en el caso particular examinado, es el precepto contemplado en el artículo 25 del RGPD el que encaja plenamente en la conducta típica por su especialidad, proponiéndose el archivo del artículo 5. 1
8. f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/59 En consecuencia, se da respuesta de forma conjunta a las alegaciones relativas al artículo 25 y al 5.1
9. f)2. ARTÍCULOS 25 y 5.1
10. f)del RGPD 1.Contestación a las alegaciones relativas a la supuesta falta de concreción del acuerdo de inicio al imputar una vulneración del artículo 25 del RGPD: En cuanto a la alegación de CAIXABANK relativa a que, en el acuerdo de inicio, la presunta infracción del artículo 25 del RGPD no tiene la suficiente concreción para que se considere que cumple con los requisitos mínimos contemplados en el artículo 64.2 de la LAPCAP, cabe señalar que el apartado 2 letra
11. b)de dicho artículo indica: “
12. b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.” (el subrayado es nuestro). Es decir, cuando se dicta el acuerdo de inicio, la calificación y la determinación de las posibles sanciones que pudieran corresponder se realizará conforme a la información disponible en ese momento. En este expediente, se ha abierto un periodo de práctica de prueba, en el que se han formulado dos solicitudes de información a la parte reclamada. Las versiones de algunos documentos enviados por CAIXBANK a la AEPD durante las actuaciones previas de investigación se correspondían con versiones posteriores al momento en el que se produjeron los hechos, siendo necesario solicitar una nueva versión de los mismos. Asimismo, CAIXABANK en su escrito de alegaciones señala: “