Multa de 200.000 euros a un banco por abrir una cuenta usada para estafas sin verificar la identidad

Una entidad de banca electrónica, integrada en uno de los principales grupos financieros del país, fue sancionada con 200.000 euros por la Agencia Española de Protección de Datos por abrir una cuenta y una tarjeta de débito a nombre de un vecino de A Coruña sin verificar de forma adecuada que se trataba de esa persona. La agencia justifica la imposición de la multa, que puede ser recurrida en los tribunales, porque el banco trató los datos personales del afectado “sin que haya acreditado que dispusiera de base legal para la recogida y el tratamiento posterior”.

Más de un centenar de gallegos contrataron a empresas para borrar sus datos de internet

El perjudicado fue informado por la Policía Nacional que esa cuenta era utilizada para cometer estafas, momento en que conoció que se había utilizado su nombre y su DNI para identificarse ante la entidad bancaria, a la que exigió en marzo de 2022 que cancelasen la cuenta y borrasen sus datos de sus archivos, al tiempo que adjuntaba la denuncia presentada en la policía.

El banco informó a Protección de Datos que para comprobar la identidad de la persona que abrió la cuenta, esta solicitó que fuera mediante la aportación del IBAN de la cuenta de otro banco, así como una foto del anverso y reverso del DNI. La entidad recibió la confirmación de la existencia de la cuenta a la que correspondía el IBAN, pero no tuvo en cuenta que el domicilio que figuraba en el DNI no es el del denunciante ni el que aparece en el contrato de la cuenta y la tarjeta suscrito posteriormente.

Firma electrónica

A esto hay que unir que en el certificado de firma electrónica que proporcionó un tercero de confianza a través de un mensaje SMS figura un número de teléfono móvil que no se corresponde con el del perjudicado y una supuesta firma del contratante de la cuenta que no es la que aparece en el DNI aportado.

En ese momento aún no estaban vigentes unas medidas de seguridad que se implantaron posteriormente para evitar suplantaciones de identidad, por lo que Protección de Datos entiende que el banco “actuó formalmente en consonancia a los procedimientos establecidos en el momento de los hechos reclamados”, aunque también que “no ha acreditado que contrastara la identidad del contratante con los datos del DNI (dirección, firma) del reclamante”.

Ante la apertura de un procedimiento sancionador por Protección de Datos en abril de 2023, el banco alegó que la identificación formal “fue considerada válida y suficiente” porque se había aportado una copia del DNI y que su verificación no depende del domicilio que figure, como sucede con la apertura presencial de una cuenta. Sobre la no coincidencia de la firma, señaló que este hecho no invalida la comprobación.

La agencia sancionó en principio con 70.000 euros al banco, pero luego subió la multa a 200.000 porque forma parte de un gran grupo financiero. Apreció como agravante que su actividad empresarial tiene relación con el tratamiento de datos y como atenuante que atendió la reclamación del demandante.

Suscríbete para seguir leyendo