| Resolución | PS-00028-2025 |
| Firmado | 2026-05-29T00:00:00Z |
| Enlace | 📋 |
Resumen de la decisión:
Se resolvió un procedimiento sancionador contra CaixaBank, S.A. por vulneraciones en la protección de datos personales durante la tramitación de una herencia. La reclamación fue presentada por un cliente que, al gestionar la herencia de un familiar fallecido, consideró que el banco exigió información excesiva (como una escritura pública completa de aceptación y partición de herencia) sin ofrecer alternativas menos invasivas, como un documento privado limitado a los datos necesarios para la gestión bancaria.
Hechos denunciados:
Exigencia desproporcionada de datos: CaixaBank solicitó una escritura pública completa de herencia, incluyendo información patrimonial detallada de todos los herederos, cuando la normativa permite presentar un documento privado simplificado con solo los datos relevantes para la gestión bancaria.
Falta de transparencia: No se informó adecuadamente al reclamante sobre los tratamientos de datos realizados ni sobre sus derechos, incumpliendo el artículo 13 del RGPD (información al interesado).
Diseño inadecuado del procedimiento: El banco no implementó medidas técnicas y organizativas para garantizar el principio de protección de datos desde el diseño (artículo 25 del RGPD), accediendo a información innecesaria.
Sanciones impuestas:
Multa de 500.000 € por vulnerar el artículo 25 del RGPD (protección de datos desde el diseño), al no limitar el acceso a datos personales a lo estrictamente necesario.
Multa de 10.000 € por incumplir el artículo 13 del RGPD, al no informar adecuadamente al reclamante sobre el tratamiento de sus datos.
Archivo de la infracción del artículo 30 del RGPD (Registro de Actividades de Tratamiento), ya que se acreditó que sí estaba incluido en el registro general.
Medidas correctivas ordenadas:
CaixaBank debe, en 6 meses, acreditar:
La adopción de medidas para cumplir con el principio de minimización de datos (artículo 25 del RGPD).
La puesta a disposición de los afectados de la información requerida por el artículo 13 del RGPD y la actualización de su Política de Privacidad para incluir el tratamiento de datos en testamentarías.
Motivación de la sanción:
La gravedad de las infracciones radica en el acceso innecesario a datos personales sensibles (patrimoniales y financieros) y la falta de transparencia, afectando los derechos de los interesados. Aunque CaixaBank argumentó que su procedimiento era estándar y que no hubo daño material, el incumplimiento de principios básicos del RGPD justifica la sanción. La entidad optó por el pago voluntario de las multas (reducción del 20%), aceptando las medidas correctivas sin reconocer responsabilidad.