Em 20 de outubro de 2023, um titular de dados apresentou uma queixa à Agência Espanhola de Proteção de Dados (AEPD) contra o Banco Cetelem, S.A., acusando-o de realizar diversas cobranças não solicitadas em sua conta bancária entre julho e setembro de 2022. O titular alegou que o banco, atuando como credor, fez essas cobranças sem autorização e atribuiu erroneamente sua conta bancária a um terceiro devedor sem verificar a propriedade da conta.

Após perceber as cobranças, o titular apresentou múltiplas queixas contra o banco, inclusive um boletim de ocorrência policial. Em 8 de agosto de 2022, o titular solicitou ao banco a exclusão de seus dados da base de dados e o reembolso dos valores cobrados indevidamente. Além disso, criticou o banco por não solicitar o certificado de titularidade da conta bancária do terceiro devedor antes de associar sua conta ao contrato do devedor.

Apesar das queixas e do pedido de exclusão de dados, o problema persistiu. Em setembro de 2023, o banco voltou a realizar uma cobrança indevida na conta do titular, repetindo o erro em outubro de 2023. O banco alegou que essas cobranças foram resultado de um erro humano durante a transcrição inicial do número da conta bancária, que foi erroneamente registrado no contrato de um devedor e mantido em sua base de dados. Informou ainda que, após a primeira reclamação do titular, os dados foram excluídos, mas a dívida foi vendida a uma empresa terceira em junho de 2023, mantendo o número de conta incorreto.

A AEPD concluiu que o Banco Cetelem infringiu os Artigos 6(1) e 17(1)(d) do Regulamento Geral sobre a Proteção de Dados (GDPR). O banco tratou os dados pessoais do titular sem uma base legal válida e falhou em cumprir o pedido de exclusão dos dados. Desde 2022, o banco tratou incorretamente os dados do titular em seu contrato de dívida com o terceiro devedor, em suas bases de dados e na transmissão da dívida a um comprador futuro em junho de 2023. Em nenhum momento o banco corrigiu o problema, resultando em múltiplas violações do Artigo 6(1) GDPR. Além disso, a AEPD determinou que o banco violou o Artigo 17(1)(d) GDPR ao não deletar os dados do titular conforme solicitado.

Inicialmente, a AEPD recomendou uma multa de €250.000. Porém, de acordo com a Lei 39/2015, que regula os procedimentos administrativos na Espanha, o banco teve a opção de reconhecer sua responsabilidade pelas violações e pagar a multa proposta, o que poderia reduzir a sanção em 20%. O Banco Cetelem optou por ambas as ações, reduzindo a multa em 40%, resultando em uma penalidade final de €150.000. Esta decisão reforça a importância do cumprimento das normas de proteção de dados e a responsabilidade das instituições financeiras em garantir a correta gestão das informações pessoais dos clientes.

Com informações GDPRHub e AEPD

Este post foi traduzido e resumido a partir de sua versão original com o uso do ChatGPT versão 4, com revisão humana.