La Agencia Española de Protección de Datos (AEPD) ha impuesto a CaixaBank una sanción de 500.000 euros, reducida a 400.000 por pago voluntario, por incumplir el artículo 25 del RGPD: el principio de privacidad desde el diseño y por defecto.
El expediente (EXP202312854) no sanciona únicamente un fallo puntual. Identifica un defecto estructural: el Servicio de Atención al Cliente (SAC) de la entidad permitía que errores humanos derivaran, de forma recurrente, en el envío de datos personales a destinatarios equivocados.
Más allá del caso concreto, la resolución fija un criterio relevante para todo el sector financiero y, en realidad, para cualquier organización que gestione grandes volúmenes de datos personales mediante sistemas automatizados de atención al cliente.
Qué ocurrió en el caso CaixaBank
El procedimiento se abrió a raíz de dos reclamaciones. En un caso, un cliente recibió por error un correo con datos de un contrato de un tercero, incluyendo información sensible sobre su situación financiera y su DNI. En otro, un cliente obtuvo documentación privada de dos personas distintas al tramitar sendas reclamaciones propias.
CaixaBank defendió que se trataba de «errores humanos puntuales» y que el SAC cumplía la normativa bancaria aplicable. La AEPD no lo vio así: constató que existían brechas similares en años anteriores y que el 60% de ellas habían sido detectadas por terceros ajenos a la entidad específicamente por clientes afectados y no por los sistemas internos de control. Para la Agencia, esa incapacidad de autodetección es la prueba de que el fallo no estaba en las personas, sino en el diseño del sistema.
Qué criterio establece la AEPD sobre la privacidad desde el diseño
El artículo 25 del RGPD no se limita a exigir el cumplimiento formal de los principios de protección de datos en cada tratamiento; obliga a que esos principios estén integrados en el propio diseño técnico y organizativo desde el origen. La AEPD traduce esto en un mensaje muy concreto:
Documentar protocolos y formar a los empleados no es suficiente si el sistema no incorpora barreras automáticas que impidan o minimicen el error humano.
LVS2
Además, la resolución no se limita a sancionar: obliga a CaixaBank a presentar en un plazo de nueve meses un plan detallado de revisión del SAC, con especial atención a los mecanismos de verificación de destinatarios y a la trazabilidad de la información sensible. Es decir, la AEPD instaura un modelo de cumplimiento supervisado, con seguimiento y plazos, que previsiblemente se repetirá en futuros expedientes contra entidades que operan a gran escala.
Por qué el sector bancario está especialmente expuesto
La banca reúne varios factores que multiplican el riesgo de incidentes como este y que explican por qué probablemente no será el último caso de este tipo:
- Volumen y sensibilidad de los datos
Los bancos gestionan datos financieros, patrimoniales y de solvencia de millones de clientes, con un nivel de sensibilidad muy superior al de otros sectores.
- Sistemas legados y procesos heredados
Muchas entidades operan con plataformas de atención al cliente construidas por capas a lo largo de los años, donde añadir controles de privacidad «desde el diseño» es más complejo que en un sistema construido desde cero.
- Alto volumen de interacciones con el cliente
Los SAC bancarios gestionan un número elevadísimo de reclamaciones, consultas y solicitudes, lo que incrementa la probabilidad estadística de errores si no existen barreras automáticas.
- Cruce de expedientes y automatización parcial
Cuando los sistemas cruzan automáticamente solicitudes con expedientes de clientes, un fallo de diseño puede escalar rápidamente de un error aislado a un patrón recurrente, como ocurrió en este caso.
- Doble supervisión
El sector bancario está sometido tanto a la supervisión de protección de datos (AEPD) como a la supervisión prudencial y de conducta (Banco de España, CNMV), lo que implica que un mismo incidente puede tener consecuencias en dos frentes regulatorios distintos.
6 aprendizajes de la sanción para las áreas de compliance
A partir de este caso, hay una serie de líneas de trabajo que cualquier entidad financiera y, en general, cualquier organización con SAC o centros de atención masiva al cliente debería revisar:
- Auditar la capacidad de detección interna, no solo la de respuesta.
El dato más revelador del expediente es que el 60% de las brechas anteriores fueron detectadas por terceros. Un programa de compliance maduro debe medir qué porcentaje de incidentes detecta el propio sistema frente a los que llegan por reclamación externa. Si ese porcentaje es bajo, es una señal de alerta sobre el diseño, no sobre la formación del personal.
- Incorporar controles técnicos de verificación de destinatario.
Medidas como la validación cruzada de identidad antes del envío de documentación, alertas automáticas ante coincidencias parciales de expedientes, o segundas validaciones para el envío de datos especialmente sensibles (DNI, situación de deudas, datos hipotecarios) reducen el margen de error humano estructural.
- Revisar la trazabilidad de la información sensible.
La resolución pone el foco en la trazabilidad como elemento clave de la privacidad desde el diseño. Esto implica poder reconstruir, en cualquier momento, qué dato se envió, a quién, cuándo y por qué canal.
- No confundir formación con diseño.
La AEPD es explícita: los protocolos y la formación son necesarios, pero no sustituyen a las barreras técnicas.
Compliance debe distinguir entre medidas organizativas (formación, protocolos) y medidas técnicas (controles automáticos, validaciones), y no dar por mitigado un riesgo estructural solo con las primeras.
- Tratar las brechas recurrentes como síntoma, no como incidentes aislados.
Un patrón de errores similares a lo largo del tiempo, aunque cada uno se gestione individualmente, debe activar una revisión del diseño del proceso, no solo la corrección puntual del caso.
- Anticipar el modelo de «cumplimiento supervisado».
La obligación de presentar un plan de mejora en nueve meses anticipa una tendencia: la AEPD no solo sanciona, sino que exige y verifica remediación con plazo. Las áreas de compliance deberían preparar de antemano una plantilla de plan de acción ante brechas (medidas técnicas, calendario, responsables) para poder reaccionar con agilidad si llega una inspección o un requerimiento.
Qué deberían revisar las organizaciones
El caso CaixaBank confirma que la AEPD está elevando el estándar de exigencia sobre el artículo 25 del RGPD, especialmente para organizaciones que gestionan datos sensibles a gran escala a través de sistemas automatizados de atención al cliente. Para el sector bancario, el mensaje es claro: la privacidad desde el diseño ya no es una declaración de principios en una política interna, sino un requisito técnico medible y auditable. Las entidades que quieran anticiparse deberían empezar por una pregunta muy simple: si mañana se produjera un envío erróneo de datos, ¿lo detectaría primero el banco o el cliente afectado?
¿Tus sistemas están preparados para prevenir el error antes de que se convierta en una brecha?
LVS2
Revisemos tus procesos
En LVS2 te ayudamos a analizar estos puntos y a integrar la protección de datos desde el diseño en tus procesos.
Escríbanos un e-mail
Cuéntenos su proyecto y
le responderemos con la mayor brevedad
Fuentes: Resolución de la AEPD, expediente EXP202312854 (consultable en el Registro de Resoluciones de la sede electrónica de la AEPD); Moncloa.com, «La AEPD sanciona a CaixaBank con 500.000 euros por vulnerar la privacidad desde el diseño en el SAC» (25/06/2026)
