| Informe | 2016-0233 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (2016-0233)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD), con referencia 2016-0233, analiza un modelo de negocio propuesto por una empresa consultante que plantea obtener del interesado la clave de acceso a su cuenta corriente para verificar su solvencia patrimonial y facilitar información sobre préstamos. El análisis concluye que este modelo no cumple con la normativa de protección de datos (Ley Orgánica 15/1999 y su Reglamento de desarrollo, RDLOPD).
Aspectos clave del informe:
La clave bancaria es un dato personal:
Según la LOPD, cualquier información que identifique o pueda identificar a una persona física se considera dato personal. La clave de acceso a la banca online, al permitir identificar al titular, cumple con esta definición.
Infracción del principio de proporcionalidad:
El artículo 4.1 LOPD exige que los datos sean adecuados, pertinentes y no excesivos para la finalidad perseguida.
La obtención y uso de la clave bancaria para acceder a la cuenta corriente por un tercero (la consultante) supone un acceso excesivamente intrusivo. Podría accederse a información especialmente protegida (ej.: datos económicos sensibles, preferencias políticas o estado de salud) sin que sea proporcionado para verificar solvencia.
Alternativas menos intrusivas (como un certificado bancario con movimientos) cumplirían el mismo fin sin vulnerar derechos.
Riesgo para la seguridad de los datos:
El artículo 9 LOPD obliga al responsable del fichero (en este caso, el banco) a garantizar la seguridad de los datos, implementando medidas técnicas y organizativas adecuadas.
La clave bancaria no solo es un dato personal, sino una medida de seguridad esencial para acceder a los datos del banco. La consultante, al obtenerla, comprometería estas medidas, al asumir el rol del titular para acceder a la cuenta.
Además, si la consultante cede esta clave a terceros (como empresas de préstamos), se agravaría el riesgo, dado que el titular incumpliría su contrato con el banco al compartirla.
Infracción contractual con el banco:
Al compartir la clave, el interesado incumpliría las obligaciones contractuales establecidas con su entidad financiera, generando posibles responsabilidades legales adicionales.
Conclusión final:
El modelo propuesto vulnera varios principios de la LOPD, incluyendo la proporcionalidad, la seguridad de los datos y el derecho a la intimidad financiera.
Por tanto, no es viable desde el punto de vista legal y carece de base para su implementación.
En resumen, el informe de la AEPD deja claro que acceder y gestionar claves bancarias de terceros para fines comerciales vulnera la normativa de protección de datos, incluso con el consentimiento del interesado, al poner en riesgo la seguridad y la proporción del tratamiento de datos.