La AEPD multa a una empresa por cargar recibos bancarios sin consentimiento del titular
La Agencia de Protección de Datos la sanciona con 3.000 euros por tratar la información de una exempleada sin legitimación
Cargar los recibos bancarios a un tercero y sin su consentimiento puede salir caro. La Agencia Española de Protección de Datos (AEPD) ha multado con 3.000 euros a una empresa por asignar unos recibos propios a la cuenta bancaria de un ex empleado.
En noviembre de 2021, una ciudadana interpuso reclamación ante la AEPD contra una empresa de restauración y puestos de comida por cargar a la reclamante en su cuenta bancaria y sin su consentimiento varios recibos que en realidad correspondían a un servicio de la Sociedad General de Autores y Editores (SGAE) contratado por la compañía contra la que se presentó reclamación.
La afectada había trabajado seis meses antes para la empresa que posteriormente le cargó los recibos. Los datos de la extrabajadora –incluida la cuenta bancaria para percibir la nómina– fueron facilitados en el periodo en el que desarrolló su labor en la empresa.
En los recibos aportados a la AEPD aparece como ordenante la SGAE, la empresa de restauración como titular del servicio y como pagadora la persona que presentó la reclamación.
Ante los reiterados intentos de la AEPD, la empresa no envió respuesta a la reclamación de la antigua empleada, por ello la directora de la Agencia Española de Protección de Datos acordó iniciar el correspondiente procedimiento sancionador a pesar de no recibir alegaciones por parte de la empresa demandada.
La resolución de la directora de la AEPD considera que la compañía realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello “ya que se vincularon los recibos de un tercero en la cuenta bancaria de la reclamante, en relación con unos servicios que no contrató”.
La resolución imputa a la empresa reclamada la comisión de una infracción por vulneración en la licitud al tratar la información personal ya que, entre otros motivos, la ciudadana “no dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos”.
Además, el tratamiento de los datos bancarios, en este caso, “no era necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”.
Recibos de ayuntamientos
La AEPD ha resuelto casos similares con una administración local como entidad contra la que se presenta reclamación.
En 2020, un particular interpuso reclamación ante la AEPD contra un ayuntamiento por utilizar sus datos bancarios para domiciliar en su cuenta corriente la tasa de alcantarillado, produciéndose una falta de consentimiento para ello.
La AEPD señaló en su resolución que, la habilitación para tratar los datos personales del obligado tributario presupone que el ayuntamiento responsable de esta información necesaria para la gestión y recaudación de sus tributos actúe respetando las normas impuestas.
En este caso, como el ayuntamiento domicilió la tasa sin el consentimiento del sujeto pasivo no puede entenderse que hiciera un uso lícito en el tratamiento de estos datos.
Sin embargo, en las reclamaciones contra una administración pública, la AEPD suele imponer una sanción de apercibimiento para que ponga fin a la domiciliación de recibos sin consentimiento del contribuyente.
Hay que tener en cuenta que el art. 83.5 del Reglamento General de Protección de Datos establece que estas infracciones pueden sancionarse con multas administrativas de 20.000.000 de euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.