Sanciones a Poste Italiane y Deutsche Bank por falta de transparencia

La transparencia en el flujo de datos personales no es una sugerencia administrativa, sino un pilar obligatorio del Reglamento General de Protección de Datos (RGPD). Recientemente, la Autoridad de Protección de Datos de Italia (DPA) ha recordado esta premisa al imponer sanciones económicas a dos gigantes del sector financiero y de servicios: Poste Italiane y Deutsche Bank. El caso, que ha tenido eco en el EDPB, pone el foco en la gestión de los préstamos de BancoPosta y en la ambigüedad de los roles asumidos por las empresas en el tratamiento de la información.

El detonante: una denuncia interna sobre datos sensibles

El origen de la investigación no fue una auditoría rutinaria, sino la acción de una empleada de Poste Italiane. Tras solicitar un préstamo a través de BancoPosta y recibir una respuesta negativa, la trabajadora descubrió que una plataforma accesible para el personal autorizado de la compañía contenía detalles exhaustivos sobre su situación económica. La información expuesta incluía datos críticos como su renta neta y sus compromisos financieros vigentes.

Ante la vulnerabilidad de su privacidad, la denunciante cuestionó la legalidad de dicha divulgación y solicitó la eliminación inmediata de sus datos. Este hecho activó la maquinaria de supervisión de la autoridad italiana, que inició una indagación profunda sobre cómo Poste Italiane y Deutsche Bank gestionaban la promoción y concesión de los créditos bancarios.

La discrepancia entre los contratos y la realidad operativa

Uno de los hallazgos más relevantes de la investigación fue la contradicción entre lo firmado en el papel y lo ejecutado en la práctica. Según los acuerdos contractuales entre ambas entidades, la relación de tratamiento de datos estaba definida de una manera específica. Sin embargo, la DPA determinó que, en la realidad operativa, Poste Italiane y Deutsche Bank actuaban como responsables independientes del tratamiento.

En este esquema, Poste Italiane no se limitaba a ser un mero canal, sino que recolectaba las solicitudes y realizaba actividades de intermediación, analizando qué productos financieros se ajustaban mejor a las necesidades del cliente. Por su parte, Deutsche Bank operaba con total autonomía al evaluar la solvencia crediticia y tomar la decisión final sobre la concesión del préstamo. Esta dualidad de mando, no reflejada correctamente en la documentación legal, generó un vacío de transparencia para el usuario final.

Fallos críticos en los avisos de privacidad

La autoridad italiana fue tajante al analizar las cláusulas informativas proporcionadas a los clientes. Se concluyó que los avisos de privacidad de ambas compañías no reflejaban adecuadamente sus roles ni el intercambio de datos personales que ocurría entre ellas. La falta de claridad fue bidireccional:

Poste Italiane omitió proporcionar información suficientemente detallada sobre el procesamiento de datos durante la fase de promoción y distribución de los préstamos, especialmente en lo referente a quiénes eran los destinatarios de esa información y cómo fluían los datos hacia el banco. Simultáneamente, Deutsche Bank falló al no identificar correctamente a Poste Italiane como un destinatario de datos que actuaba como responsable independiente.

La necesidad de ofrecer información concisa no puede justificar la omisión de detalles esenciales que permitan a los individuos comprender cómo se utilizan sus datos.

El coste del incumplimiento del RGPD

La resolución final, detallada también por Simplybiz, se traduce en sanciones económicas basadas en la infracción de los artículos 5(1)(a) y 13 del RGPD. Estos artículos obligan a que el tratamiento de datos sea lícito, leal y transparente, y exigen que el interesado reciba información clara sobre la identidad del responsable y la finalidad del tratamiento.

Las multas administrativas se distribuyeron de la siguiente manera:

• Poste Italiane: 48.000 euros.
• Deutsche Bank: 33.000 euros.

Aunque las cifras podrían parecer moderadas para entidades de tal envergadura, el impacto reputacional y la obligatoriedad de corregir los flujos de datos representan un desafío operativo significativo. Durante el proceso de investigación, ambas empresas procedieron a eliminar los datos objeto de la controversia, aunque esto no eximió la responsabilidad por la falta de transparencia previa.

Lecciones sobre la gestión de datos en alianzas corporativas

Este caso subraya un riesgo común en las alianzas estratégicas entre empresas de tecnología, servicios y banca. A menudo, la agilidad comercial prima sobre la arquitectura legal de los datos. Cuando dos empresas colaboran para ofrecer un producto, es frecuente que los límites entre el encargado del tratamiento y el responsable independiente se vuelvan difusos.

La lección para los directivos es clara: la transparencia no consiste en escribir textos largos, sino en ser precisos. Un aviso de privacidad que oculta el flujo real de la información es, a efectos legales, un aviso inexistente. La autoridad italiana ha dejado claro que la simplificación del lenguaje para el usuario no debe servir de escudo para omitir la arquitectura técnica y legal del tratamiento de datos.

Implicaciones para el tejido empresarial en España

Para las empresas españolas, especialmente aquellas en proceso de transformación digital y adopción de IA, este precedente italiano es una señal de alerta. En España, donde el tejido empresarial está compuesto mayoritariamente por PYMES que a menudo actúan como intermediarias de grandes corporaciones financieras o tecnológicas, la definición exacta del rol (responsable vs. encargado) es crítica.

Con la implementación progresiva del AI Act y la Agenda Digital Española, la exigencia de transparencia se elevará. Si una empresa española utiliza una IA de terceros para evaluar el riesgo crediticio de un cliente o para segmentar ofertas, debe informar con total claridad sobre quién controla los datos y quién toma la decisión final. La tendencia regulatoria en la UE se mueve hacia una transparencia radical; ya no basta con decir que los datos se comparten con socios comerciales, sino que hay que especificar la naturaleza de esa relación.

Las empresas locales deben auditar sus acuerdos de colaboración y sus avisos de privacidad para evitar que una simple denuncia de un empleado o cliente derive en sanciones que, más allá de la cuantía económica, puedan comprometer la confianza del mercado y la operatividad de sus servicios digitales.

Preguntas frecuentes

Fuentes: Edpb, Europrivacy, Simplybiz ·