| Resolución | PS-00364-2025 |
| Firmado | 2026-06-09T00:00:00Z |
| Enlace | 📋 |
Resumen de la decisión:
Una persona denunció que Openbank abrió una cuenta bancaria a su nombre sin su consentimiento, tras una suplantación de identidad ocurrida el 8 de julio de 2022. La reclamante argumentó que la entidad no verificó adecuadamente su identidad, ya que el proceso se realizó mediante un número de teléfono y una transferencia a otra cuenta que no le pertenecían.
Openbank respondió que siguió su protocolo de verificación, que incluía la comprobación de la titularidad de una cuenta vinculada y el envío de códigos OTP al teléfono proporcionado. Sin embargo, se descubrió que el número de teléfono utilizado correspondía a un tercero, lo que indicaba un posible fraude. La entidad bloqueó la cuenta al detectar irregularidades, pero la reclamante consideró que Openbank no actuó con la diligencia necesaria para evitar la suplantación.
La autoridad competente inició un procedimiento sancionador por presunta infracción del artículo 6.1 del RGPD (licitud del tratamiento de datos), tipificada como grave en el artículo 83.5.a). Tras analizar las alegaciones y las pruebas, se determinó que existían dudas razonables sobre la negligencia o intencionalidad de Openbank en la verificación de la identidad. Aunque el protocolo seguido cumplía con la normativa aplicable en ese momento, el uso de un teléfono no vinculado al reclamante y la posterior detección de fraude generaron incertidumbre sobre si la entidad actuó con la debida diligencia.
Finalmente, se archivó el procedimiento sancionador por aplicación del principio in dubio pro reo (en caso de duda, a favor del reo), al no poder demostrarse de manera concluyente la responsabilidad subjetiva de Openbank en los hechos. La resolución subraya que, aunque el tratamiento de datos fue ilícito por la suplantación, no quedó acreditada la culpa de la entidad en el proceso de verificación.