La Audiencia Nacional ha anulado la sanción de 100.000 euros que la Agencia Española de Protección de Datos (AEPD) impuso a Ibercaja Banco por una supuesta vulneración del artículo 6.1 del Reglamento General de Protección de Datos (RGPD).
Durante la tramitación de la herencia de su marido, cuyos bienes se encontraban depositados en Ibercaja Banco, S.A. (Ibercaja), la viuda del fallecido descubrió que la entidad había abierto una cuenta bancaria a nombre de uno de sus hijos menores, destinada a la disposición de los fondos hereditarios, sin su conocimiento ni consentimiento como representante legal. Ante esta situación, presentó una reclamación ante la AEPD en la que, asimismo, denunció que el banco había facilitado sus datos personales, los de sus hijos menores y diversa documentación familiar al representante del resto de coherederos sin su autorización.
En sus alegaciones ante la AEPD, Ibercaja sostuvo que la documentación había sido remitida por la abogada de la viuda para gestionar el reparto de la herencia. Seguidamente, señaló que la apertura de las cuentas eran necesarias para adjudicar las participaciones del fondo de inversión integrado en el caudal hereditario respondía a las actuaciones precisas para efectuar el reparto de los bienes hereditarios.
No obstante, la AEPD consideró que Ibercaja había infringido el artículo 6.1 del RGPD, al entender que los datos personales facilitados para la gestión de la herencia no podían utilizarse para una finalidad distinta, como la apertura de cuentas a nombre de los menores. Por ello, impuso a la entidad una sanción de 100.000 euros.
Inconforme con este razonamiento, Ibercaja interpuso recurso contencioso-administrativo ante la Audiencia Nacional.
Al resolver el recurso, la Audiencia Nacional señala que, para adjudicar las participaciones del fondo de inversión integradas en el caudal hereditario, era necesario abrir a nombre de cada heredero una cuenta de valores y una cuenta de ahorro vinculada. En este sentido, toma en consideración el informe emitido por la Comisión Nacional del Mercado de Valores (CNMV), según el cual las cuentas abiertas por Ibercaja constituían únicamente unos borradores preparados para la futura adjudicación de dichas participaciones, pendientes de la validación de la representante legal de los menores. Asimismo, la Audiencia destaca que las cuentas se habían abierto únicamente en un "estado preliminar" y que no llegaron a estar operativas.
Por todo lo anterior, la Audiencia Nacional concluye que el tratamiento de los datos personales resultaba necesario para la ejecución de un contrato, en los términos del artículo 6.1 del RGPD, ya que la apertura de dichas cuentas bancarias resultaba necesaria para poder efectuar el reparto de las adjudicaciones hereditarias. Como consecuencia, la Sala entiende que no concurría la infracción apreciada por la AEPD y anula la sanción de 100.000 euros impuesta a Ibercaja.