| Informe | 2016-0257 |
| Enlace | 📋 |
Resumen del Informe Jurídico de la AEPD (AEPD 2016-0257)
El Informe Jurídico de la Agencia Española de Protección de Datos (AEPD), con referencia 015635/2016, aborda una consulta sobre la legalidad de que una entidad financiera (ordenante de una transferencia) acceda a los datos personales (nombre y NIF) del titular de una cuenta bancaria receptora cuando ha habido un error en la transferencia (es decir, el dinero se ingresó en una cuenta incorrecta). A continuación, se sintetiza su contenido clave:
Marco legal aplicable
El informe analiza la cuestión exclusivamente desde la perspectiva de la protección de datos, en el marco de la Ley Orgánica 15/1999 (LOPD) —derogada por el RGPD y la LOPDGDD—, así como la normativa europea. Se examinan las definiciones de:
Cesión o comunicación de datos (art. 3.i LOPD): revelación de datos a un tercero distinto del interesado.
Interesado (art. 3.e): persona física titular de los datos.
Tratamiento de datos (art. 3.c): operaciones incluye cesiones o transferencias de datos.
Cuestión principal: Personas jurídicas vs. física
Si el titular de la cuenta es una persona jurídica (empresa o entidad):
La protección de datos no se aplica a personas jurídicas (art. 1 LOPD), por lo que no existe impedimento legal para acceder a los datos del titular (nombre y NIF). No se requieren más justificaciones.
Si el titular de la cuenta es una persona física:
La cesión de sus datos debe regirse por la LOPD, que exige consentimiento del interesado (art. 11.1 LOPD) o una excepción legal. El informe analiza esta última opción.
Base legal para la cesión sin consentimiento: Cobro de lo indebido
El informe fundamenta la cesión en:
Art. 1895 del Código Civil: Establece la obligación de restituir lo indebidamente recibido (cuasicontrato de cobro de lo indebido). Si existe un error en la transferencia, surge un derecho de restitución que requiere conocer al titular de la cuenta errónea para reclamar.
Art. 1089 del Código Civil: Reconoce el derecho a reclamar lo indebido.
Art. 399 de la Ley de Enjuiciamiento Civil (LEC): Exige identificar al demandado en una demanda judicial.
Por tanto, la transmisión de datos (nombre y NIF del titular) se ampara en:
Excepción al consentimiento (art. 11.2.a LOPD): Cesión autorizada por ley (Código Civil).
Interés legítimo prevalente (art. 7.f de la Directiva 95/46/CE, hoy art. 6.1.f del RGPD):
El ordenante tiene un interés legítimo en reclamar el dinero indebidamente abonado.
El derecho a la tutela judicial efectiva (art. 24 CE) exige poder identificar al obligado para ejercitar acciones legales.
No existe un conflicto con derechos fundamentales (honor, intimidad) que impida la cesión, ya que la finalidad es reclamar un derecho legítimo.
Jurisprudencia europea y española
El informe cita:
STJUE de 24/11/2011 y STS de 8/2/2012: El art. 7.f de la Directiva 95/46/CE (ahora art. 6.1.f RGPD) permite cesiones de datos sin consentimiento si:
La cesión es necesaria para un interés legítimo.
No prevalecen los derechos fundamentales del interesado.
Ponderación de intereses: En este caso, el interés del ordenante en recuperar su dinero prevalece sobre el derecho a la protección de datos del titular de la cuenta errónea, ya que la finalidad es ejercitar un derecho legal.
Secreto bancario vs. identificación del titular
El informe descarta que el deber de reserva de información (art. 83 de la Ley 10/2014 de ordenación bancaria) impida la cesión de datos:
El secreto bancario se refiere a saldos, operaciones o transacciones, no a la mera identificación del titular de la cuenta (nombre y NIF). Estos últimos no están protegidos por este deber.
Conclusión final
La entidad ordenante puede acceder legítimamente a los datos personales (nombre y NIF) del titular de la cuenta errónea sin necesidad de consentimiento, basándose en:
Excepción legal (art. 11.2.a LOPD y Código Civil: cobro de lo indebido).
Interés legítimo predominante (reclamar dinero indebidamente abonado) conforme a la jurisprudencia europea y española.
Relevancia actual
Aunque el informe se basa en la LOPD de 1999, su argumentación es válida bajo el RGPD y la LOPDGDD (2018), que mantienen criterios similares para justificar el tratamiento de datos sin consentimiento en casos de cumplimiento de una obligación legal o interés legítimo. La clave sigue siendo la proporcionalidad y la finalidad concreta (reclamación por error bancario).