Derecho de acceso, secreto bancario y petición intragrupo
Un cliente residente en España ejerce su derecho de acceso conforme al RGPD y reclama a su banco «toda la información que obra en su expediente, incluido cualquier informe remitido al SEPBLAC y los motivos». Simultáneamente, la matriz francesa del grupo pide a la filial española el expediente completo del cliente, con las alertas y el informe interno de operación sospechosa, para «centralizar el seguimiento en el equipo de delitos financieros de París». El cliente ha contratado a un abogado que amenaza con denunciar una vulneración del secreto bancario si el banco comparte datos con terceros. El delegado de protección de datos opina que el RGPD obliga a entregar todo lo solicitado y que la transferencia intragrupo es legítima por interés legítimo. El responsable de cumplimiento debe responder a ambas solicitudes en cinco días hábiles y no dispone de un criterio documentado sobre los límites del derecho de acceso ni sobre las transferencias intragrupo de información de prevención.
1. Responda a la solicitud de acceso del cliente: qué debe entregarse, qué puede limitarse y con qué base jurídica.
Read the worked answer
Punto de partida
El derecho de acceso del artículo 15 del RGPD no es absoluto. El artículo 23 del RGPD permite limitarlo cuando sea necesario para prevenir, investigar o detectar delitos, y la normativa de prevención del blanqueo contiene límites específicos: no puede revelarse al cliente que se ha remitido una comunicación de operación sospechosa ni la información que pueda entorpecer el análisis.
Qué entregar
Los datos ordinarios del expediente: identidad, contacto, documentación de conocimiento del cliente, contratos, movimientos, comunicaciones comerciales y clasificación general, si no compromete la investigación.
Qué puede limitarse
La comunicación al SEPBLAC, el informe interno de análisis, las alertas y cualquier dato que permita inferir que existe una comunicación. La respuesta debe indicar que se aplica una limitación legal, sin confirmar ni desmentir la existencia de un informe, y sin mentir. Es un error frecuente negar en bloque la existencia de datos o entregar el informe completo.
Forma
Responder por escrito en plazo, con motivación por categorías, informando del derecho a reclamar ante la Agencia Española de Protección de Datos y documentando la decisión. La limitación debe ser proporcionada y analizada caso por caso: no vale una cláusula general.
Coordinación
La decisión corresponde al responsable del tratamiento con asesoramiento jurídico y del cumplimiento; el delegado de protección de datos participa, pero no decide solo.
2. Analice la petición de la matriz francesa y las condiciones para remitir el expediente y el informe interno.
Read the worked answer
Francia es espacio europeo, pero eso no lo resuelve todo
La transferencia a Francia no plantea problema de transferencia internacional, pero sí exige cumplir los requisitos propios de la normativa de prevención: que el destinatario pertenezca al mismo grupo, que la finalidad sea exclusivamente la prevención, que exista un compromiso equivalente de secreto profesional y protección de datos, y que la información se limite a lo necesario.
Qué puede compartirse
Datos de identificación, perfil de riesgo y alertas pueden compartirse si se cumplen las condiciones y el grupo tiene un acuerdo interno documentado. El informe interno y la comunicación al SEPBLAC son especialmente sensibles: no deben remitirse en bloque ni por defecto.
Condiciones prácticas
- Verificar la definición de grupo y la existencia de normas internas vinculantes o cláusulas contractuales.
- Minimizar: enviar datos pseudonimizados o el análisis, no el expediente completo.
- Impedir transferencias ulteriores a terceros países sin garantías.
- Registrar la transferencia y su base jurídica.
- Comprobar que el equipo de París no utiliza la información para fines comerciales.
Respuesta a la matriz
La petición no es una orden interna que se ejecute automáticamente. El responsable de cumplimiento debe responder por escrito, concediendo lo que la ley permite y denegando el resto con motivación. El interés legítimo del grupo no prevalece sobre las obligaciones legales españolas.
3. Valore la alegación de secreto bancario y el papel del delegado de protección de datos en la decisión.
Read the worked answer
El secreto bancario no es un derecho absoluto
En España no es un derecho fundamental y cede ante las obligaciones legales: ante el SEPBLAC, los supervisores, los jueces y el propio titular de los datos. El banco no vulnera el secreto por cumplir la normativa de prevención ni por remitir información al grupo cuando se cumplen las condiciones legales. Tampoco puede ampararse en el secreto para negar al cliente el acceso a sus propios datos.
La amenaza de denuncia
No debe alterar el análisis jurídico. La respuesta debe ser formal, motivada y con base legal, sin revelar información protegida para calmar al abogado. Reconocer la existencia de una comunicación sería más grave que la amenaza.
El papel del delegado de protección de datos
Su opinión es asesora, no vinculante. No es el órgano decisor en materia de prevención ni puede autorizar por sí solo la entrega del informe al cliente o a la matriz. Debe ser consultado, y su criterio documentado, pero la decisión corresponde al responsable del tratamiento con el cumplimiento.
Dimensión ética
El profesional debe resistir la presión comercial y la presión del grupo, documentar las decisiones y no usar la protección de datos como escudo frente al supervisor. Si hay conflicto, se eleva al órgano de prevención y a la alta dirección, y se deja constancia.