Figura 0 (IA): Título de la publicación

(Artículo dirigido, revisado y validado por Leocadio Marrero Trujillo, autor y responsable editorial. Se utilizaron herramientas de IA generativa como apoyo a la edición y al diseño gráfico).

Cuando el error humano deja de ser una explicación. Una ingeniería inversa del artículo 25 RGPD a partir del caso CaixaBank (1/2)

El expediente comienza de una manera poco extraordinaria. Un cliente recibe una respuesta que no le corresponde. En otro caso, documentación de una persona termina en manos de otra. Hay reclamaciones que se relacionan mal, documentos cruzados y destinatarios equivocados. Vistos por separado, son incidentes serios, pero nada obliga todavía a pensar que detrás de ellos exista algo distinto de lo que parece estar a la vista: alguien se ha equivocado.

Esa fue, en esencia, una parte importante de la explicación de CaixaBank. El Servicio de Atención al Cliente —SAC— funcionaba con procedimientos documentados, de carácter preventivo y orientados a los riesgos propios de su actividad. La entidad aludió también a la supervisión, la auditoría interna y las instrucciones proporcionadas al personal. Desde esa perspectiva, la causa directa de las dos brechas inicialmente examinadas no estaba en la configuración o gestión del servicio, sino en «errores humanos de carácter puntual» cometidos por personas que no habían seguido correctamente los procedimientos establecidos. (PS/00143/2025, p. 5/59).

La explicación es razonable. Cuando alguien selecciona un expediente que no es, incorpora un documento equivocado o remite una comunicación a quien no corresponde, la causa inmediata parece fácil de identificar. Una persona realizó una operación incorrecta. El problema comienza cuando esa constatación se convierte también en el final del análisis. Saber quién ejecutó materialmente la acción que desencadenó un incidente no explica necesariamente por qué aquella equivocación pudo entrar en el proceso, avanzar a través de él y terminar afectando a otra persona.

Figura 1 (IA). La actuación incorrecta explica el desencadenante inmediato del incidente, pero no las condiciones del tratamiento que permitieron que el error avanzara hasta producir sus consecuencias.

La investigación de la AEPD fue añadiendo datos que hacían cada vez más difícil mantener una explicación basada exclusivamente en esa última acción humana. Y es precisamente ahí donde el expediente adquiere especial interés: no porque niegue que las personas se equivocaron, sino porque permite observar qué aparece cuando dejamos de mirar únicamente a quien cometió el error y empezamos a mirar el tratamiento dentro del cual pudo producirse.

1. Cuando los incidentes empiezan a hablar del proceso

En la primera reclamación, la AEPD reconstruyó dos altas realizadas el mismo día con apenas veinte minutos de diferencia. Durante la segunda se produjo un error en el registro que terminó afectando a la tramitación posterior. En el mismo asunto aparecía además un ejercicio del derecho de acceso que había pasado totalmente inadvertido y que solo fue identificado cuando la AEPD trasladó la reclamación a CaixaBank. El problema que inicialmente podía parecer situado en una comunicación equivocada empezaba así a extenderse hacia momentos anteriores: el alta, la asociación de la información, la identificación del interesado y la propia comprensión de lo que se estaba solicitando. (PS/00143/2025, p. 32/59).

La segunda reclamación complicó todavía más el cuadro. Un cliente recibió documentación correspondiente a otra persona y la respuesta fue remitida también a un tercero. Más adelante, durante la continuación de las gestiones, una empleada envió para firma un documento preparado con datos de otro cliente diferente. La práctica de prueba llevó a la Agencia a reconstruir varios errores realizados por personas distintas dentro de la misma secuencia de tratamiento.

Considerados uno a uno, todos ellos podían seguir describiéndose como equivocaciones individuales. Pero la investigación no terminó en las dos reclamaciones que habían dado origen al procedimiento. La AEPD encontró brechas semejantes en 2022, 2023 y 2024 y, al valorar posteriormente la afectación de la confidencialidad, dejó constancia de que no se encontraba solamente ante dos casos aislados. También observó que la evolución de esas brechas durante 2023 y 2024 había sido proporcionalmente superior a la evolución del número de reclamaciones gestionadas.

La repetición no convierte automáticamente cualquier incidente en un fallo de diseño. Sí aporta, sin embargo, una información que un episodio aislado no ofrece. Cuando personas diferentes, en momentos distintos y durante varios años reproducen errores que conducen a resultados semejantes, el proceso comienza a formar parte de la explicación.

Una persona puede tropezar en una escalera porque iba distraída. Si varias personas tropiezan repetidamente en el mismo tramo, sus distracciones siguen existiendo, pero resulta razonable observar también la escalera. Algo parecido sucede aquí. Cada trabajador pudo equivocarse por una razón concreta, pero la recurrencia obligaba a examinar aquello que todos ellos compartían: el entorno de trabajo en el que esas equivocaciones podían transformarse en operaciones reales sobre datos personales.

Figura 2 (IA): La repetición de errores semejantes desplaza parte del análisis desde la conducta individual hacia el entorno de trabajo y los controles compartidos por quienes intervienen en el tratamiento.

Hay, además, una afirmación de la propia entidad que resulta particularmente significativa. CaixaBank describía la actividad del SAC como claramente expuesta a posibles errores humanos. Cuando la AEPD retoma ese argumento, cambia su sentido. Una actividad que trata diariamente un volumen importante de datos puede estar, en efecto, «expuesta claramente a errores humanos», pero esa circunstancia, señala la Agencia, «no es algo inevitable o que pueda ser considerado aceptable como punto de partida». Si esos errores pueden afectar a los derechos y libertades de las personas, es necesario hacer algo al respecto. (PS/00143/2025, p. 28/59).

El error humano sigue siendo real. Lo que cambia es su significado. Si sabemos que una actividad está expuesta a determinadas equivocaciones, estas dejan de ser únicamente acontecimientos que explicamos después de que ocurran. Pasan a formar parte también de los riesgos que debemos considerar antes y durante el funcionamiento del tratamiento.

La diferencia parece pequeña, pero cambia el objeto del análisis. Ya no interesa solamente saber por qué alguien seleccionó mal una opción, sino qué ocurre dentro del tratamiento cuando lo hace.

La propia AEPD utiliza una expresión especialmente clara al llegar a este punto. Antes de reconstruir los dos casos anuncia que los utilizará para mostrar algunos «problemas de diseño» vinculados a los tratamientos realizados por el SAC. (PS/00143/2025, p. 32/59).

2. Un sistema que tampoco siempre sabía que había fallado

La investigación reveló después una segunda debilidad que ya no tenía que ver directamente con evitar la equivocación. Tenía que ver con saber que se había producido.

Al analizar una muestra de brechas, la AEPD comprobó que algunas habían sido descubiertas fuera de CaixaBank. Habían intervenido el Banco de España, la Agència Catalana del Consum y personas que habían recibido documentación que contenía datos personales de terceros. La resolución concluye que la detección de este tipo de brechas por parte de CaixaBank «depende en gran medida» de que el tercero que recibe incorrectamente la documentación se ponga en contacto con la entidad y le comunique el error. Añade, precisamente por ello, que no era posible determinar la cifra real de brechas de esa naturaleza que se habían producido en el SAC. (PS/00143/2025, p. 36/59).

Este dato ensancha bastante el problema. Una organización puede no conseguir impedir todos los errores. Lo que resulta más difícil de aceptar es que tampoco disponga de suficiente capacidad para advertir por sí misma que algunos de ellos han terminado produciendo una brecha.

En los casos examinados, la equivocación podía atravesar el proceso, llegar hasta un destinatario incorrecto y permanecer fuera del conocimiento de la entidad hasta que alguien desde fuera advirtiera lo sucedido. El destinatario de la información terminaba funcionando, en la práctica, como una de las piezas del sistema de detección.

La consecuencia era también temporal. La AEPD encontró dilaciones que en ocasiones alcanzaban varios meses antes de que algunas brechas llegaran al conocimiento del DPO. Durante ese periodo la organización desconocía su existencia y, por tanto, no podía valorar si entrañaban un riesgo para las personas afectadas ni adoptar medidas relacionadas con un incidente que todavía no sabía que había ocurrido. La Agencia habla expresamente de una pérdida de control de los interesados sobre sus datos que había pasado inadvertida para la propia entidad. (PS/00143/2025, p. 36/59).

La investigación encontró además dificultades para reconstruir completamente algunos incidentes: no siempre se habían identificado desde el principio todos los datos personales revelados o todas las personas afectadas. Esto añadía otra capa al problema. No basta con saber que algo ha sucedido; para poder responder adecuadamente hay que poder reconstruir qué información salió, a quién pertenecía, quién la recibió y quiénes resultaron afectados.

Figura 3 (IA): Cuando la organización conoce una brecha gracias al destinatario incorrecto o a un tercero, la capacidad interna para identificar sus propios fallos se convierte también en objeto de análisis.

Llegados a ese punto, describir todo el expediente como una suma de errores humanos resulta cada vez menos útil. Las personas continúan estando en la cadena causal, pero también aparecen un tratamiento que deja pasar determinadas equivocaciones, controles que no siempre las detectan y dificultades para conocer con rapidez y precisión sus consecuencias.

Es entonces, y no antes, cuando el artículo 25 permite comprender mejor lo que estamos viendo.

3. El artículo 25 obliga a mirar antes del envío

La protección de datos desde el diseño no establece una tecnología determinada ni promete que nunca vaya a producirse una brecha. El artículo 25.1 obliga al responsable a aplicar medidas técnicas y organizativas apropiadas, al determinar los medios del tratamiento y durante el propio tratamiento, concebidas para hacer efectivos los principios de protección de datos e integrar las garantías necesarias. El apartado 2 añade que, por defecto, solo deben tratarse los datos necesarios para cada finalidad concreta. (EUR-Lex)

Las Directrices 4/2019 del Comité Europeo de Protección de Datos sitúan la efectividad en el centro de esta obligación: que una medida sea apropiada significa, precisamente, que sea adecuada para conseguir el propósito perseguido y hacer efectivos los principios. El diseño no se agota, por tanto, en la existencia formal de una medida; exige atender a cómo funciona durante la vida del tratamiento. (Junta Europea de Protección de Datos)

Esta lectura ayuda a entender una decisión importante de la AEPD. El resultado más visible de los incidentes era una pérdida de confidencialidad: información personal había llegado a quien no debía recibirla. Sin embargo, la investigación había descubierto problemas anteriores. Había asociaciones incorrectas entre datos y personas, lo que afectaba a la exactitud, y tratamientos en los que se había manejado información más allá de lo necesario, lo que afectaba a la minimización. La Agencia concluyó por ello que la carencia de medidas del artículo 25 había afectado a varios principios del artículo 5 y que era precisamente el artículo 25 el que «encaja plenamente en la conducta típica por su especialidad», proponiendo el archivo de la infracción autónoma del artículo 5.1.f). (PS/00143/2025, p. 28/59).

Esto permite mirar el incidente desde un lugar diferente. La revelación de datos al destinatario incorrecto aparece al final, pero la cadena puede haber empezado mucho antes. Una reclamación se asocia a quien no corresponde, una representación queda mal vinculada o un documento entra en una operación en la que no debería estar. Cuando finalmente se produce el envío, la confidencialidad es el principio que vemos quebrarse. La exactitud y la minimización podían llevar ya algún tiempo comprometidas.

Figura 4 (IA): La pérdida de confidencialidad aparece al final de la cadena, aunque la exactitud y la minimización pueden haberse comprometido en fases anteriores del tratamiento.

El valor práctico del artículo 25 está justamente ahí. Los principios indican el resultado que debe protegerse; el diseño obliga a preguntarse qué condiciones necesita el tratamiento para que ese resultado se mantenga mientras las personas trabajan con él.

La exactitud, en este contexto, significa que las relaciones entre cliente, reclamación, representante, producto y documentación deben ser fiables. La minimización obliga a considerar qué información necesita realmente cada operación y qué información debería quedar fuera de ella por defecto. Y la confidencialidad no comienza al pulsar el botón de envío: se construye también en las decisiones anteriores sobre quién puede acceder, seleccionar, relacionar o incorporar información.

4. Volver a ejecutar el mismo error

El expediente público no permite reconstruir todos los detalles técnicos de los sistemas de CaixaBank y la AEPD tampoco prescribe una solución tecnológica concreta. Conviene mantener esa separación. Las medidas que podemos imaginar a partir de ahora forman parte de una ingeniería inversa del caso: no son controles que la resolución afirme que CaixaBank estaba obligada a implantar específicamente.

El ejercicio consiste en tomar un modo de fallo acreditado y repetirlo sin mejorar a la persona que lo comete. El trabajador va a volver a equivocarse. Lo único que cambia es el diseño del tratamiento.

Supongamos que relaciona una reclamación con la persona incorrecta. Un proceso puede aceptar la selección y continuar trabajando sobre ella. Otro puede contrastarla con datos que ya conoce —el expediente, el producto, la identidad o la representación— y detectar que las relaciones no son coherentes. Según el riesgo y el contexto, la operación podría bloquearse, advertirse o requerir una comprobación adicional. El error humano ha ocurrido, pero todavía no se ha convertido necesariamente en un dato incorrecto consolidado.

Imaginemos que esa primera barrera falla. Más adelante, alguien incorpora a la respuesta un documento perteneciente a otro cliente. Podemos confiar de nuevo en que la persona reconozca siempre correctamente cada archivo, o podemos reducir por defecto la información disponible dentro de la operación al contexto del expediente que se está gestionando. Si es necesario salir de ese contexto, esa excepción puede quedar identificada y sometida a controles adicionales.

Dejemos que también esa medida falle. La respuesta llega al momento previo al envío con documentación incorrecta. Todavía queda una oportunidad distinta para contrastar si interesado, representación, destinatario y documentos guardan coherencia antes de que la información salga del entorno de la organización.

Y aceptemos incluso que todas las barreras anteriores fallen. La brecha se produce. Un tratamiento puede entonces no generar ninguna señal y depender de que el destinatario avise. Otro puede conservar información suficiente sobre la comunicación para detectar anomalías, reconstruir qué se remitió y a quién, identificar a las personas afectadas y acelerar el escalado.

Las personas pueden haber cometido exactamente los mismos errores en ambos escenarios. Lo que cambia es la distancia entre la equivocación y sus consecuencias.

Esta es una forma bastante sencilla de entender lo que significa diseñar teniendo en cuenta el error humano. No se trata de imaginar procesos en los que nadie falla. Se trata de que una equivocación razonablemente previsible encuentre más de una oportunidad para ser detenida y de que, si finalmente se materializa, la organización pueda verla, comprenderla y responder.

La lógica que aparece detrás puede ordenarse después en varias funciones: prevenir el error cuando sea posible, impedir que se propague, detectarlo si se materializa, contener sus efectos, reconstruir lo sucedido y aprender de él. Pero esas funciones son una consecuencia del análisis, no un catálogo cerrado de medidas exigidas por el artículo 25.

Hay además una última dimensión. Las medidas deben probarse.

Una organización puede acreditar una política, una formación, una auditoría o un control. Eso demuestra que existen. No necesariamente que controlen el riesgo para el que fueron creados. Si una barrera pretende evitar que un documento ajeno se incorpore a un expediente, puede intentarse deliberadamente esa operación y observar qué sucede. Si una alerta pretende identificar un destinatario incompatible, puede provocarse el supuesto que debería activarla. Si existe un circuito de escalado, puede medirse cuánto tarda una señal en llegar a quien debe analizarla.

Figura 5 (IA): Considerar la falibilidad humana implica introducir oportunidades independientes para prevenir, interceptar, detectar y contener el error, y probar después que esas medidas funcionan realmente.

La pregunta cambia entonces de «¿tenemos un control?» a «¿qué ocurre cuando intentamos hacerlo fallar?». Esa diferencia conecta directamente el diseño con la responsabilidad proactiva y convierte los propios incidentes en información sobre la eficacia del sistema.

5. Del empleado al diseño

La parte final de la resolución permite comprobar hasta qué punto este desplazamiento está presente también en la valoración de la AEPD.

La Agencia no aprecia intencionalidad en la infracción del artículo 25, pero sí «negligencia grave». Para justificarla señala que, cuando se realizaron los tratamientos examinados, concurrían circunstancias relacionadas con la forma en que estaba organizado el SAC y se trataban los datos que facilitaban que el personal pudiera cometer errores. Añade expresamente la elevada dependencia de terceros para detectar las brechas y los largos periodos que podían transcurrir hasta que estas eran comunicadas al DPO. (PS/00143/2025, pp. 50-51/59).

La medida correctiva termina de cerrar el recorrido. La resolución definitiva no se limita a exigir más formación o a recordar a los trabajadores cómo deben realizar las operaciones. Ordena a CaixaBank acreditar una revisión del funcionamiento del SAC y elaborar un informe que incluya otras medidas dirigidas a garantizar el «pleno cumplimiento» de los apartados 1 y 2 del artículo 25. (PS/00143/2025, p. 58/59).

El expediente comienza así con varias personas que se equivocan y termina con una obligación de revisar el sistema en el que esas personas trabajaban. Ese recorrido explica mejor que cualquier formulación abstracta por qué el error humano no puede convertirse demasiado pronto en el punto final de un análisis causal.

Decir que una brecha fue causada materialmente por una equivocación puede ser correcto. Pero solo nos informa de la acción que hizo visible el fallo. No nos dice necesariamente por qué aquella equivocación pudo avanzar, por qué no encontró otra barrera, por qué la organización no siempre la detectó o por qué situaciones semejantes continuaron apareciendo.

Figura 6 (IA): Identificar a quien ejecutó la operación incorrecta no explica por sí solo por qué el tratamiento permitió su propagación, no la detectó a tiempo o volvió a reproducir situaciones semejantes.

Las personas seguirán confundiendo nombres, interpretando mal una información o seleccionando algún día el archivo que no corresponde. Diseñar teniendo en cuenta esa realidad no disminuye la responsabilidad de quienes trabajan con datos personales. Simplemente evita construir el cumplimiento sobre una premisa poco realista: que todas las personas actuarán correctamente en todas las ocasiones.

Por eso, cuando se atribuye un incidente a un error humano, quizá convenga hacer todavía una comprobación más. Si mañana una persona diferente vuelve a cometer exactamente la misma equivocación y el tratamiento permite que se reproduzca exactamente el mismo resultado, el error ya no está hablando únicamente de quien se equivocó.

Está hablando también del diseño.

Bibliografía

AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS (AEPD) (2026). Resolución de terminación del procedimiento por pago voluntario. Expediente n.º EXP202312854. Procedimiento sancionador PS/00143/2025. CaixaBank, S.A. Agencia Española de Protección de Datos, Madrid.
https://www.aepd.es/documento/ps-00143-2025.pdf

COMITÉ EUROPEO DE PROTECCIÓN DE DATOS (EDPB) (2020). Directrices 4/2019 relativas al artículo 25. Protección de datos desde el diseño y por defecto. Versión 2.0, adoptada el 20 de octubre de 2020. European Data Protection Board.
https://www.edpb.europa.eu/documents/guideline/guidelines-42019-on-article-25-data-protection-by-design-and-by-default_es

PARLAMENTO EUROPEO Y CONSEJO DE LA UNIÓN EUROPEA (2016). Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos). DOUE L 119, 4 de mayo de 2016, pp. 1–88.
https://eur-lex.europa.eu/eli/reg/2016/679/oj/spa

FEDERPRIVACY (2026). Banca sanzionata per violazione dei princìpi di privacy by design e privacy by default. Federprivacy, 10 de julio de 2026.
https://www.federprivacy.org/informazione/primo-piano/banca-sanzionata-per-violazione-dei-principi-di-privacy-by-design-e-privacy-by-default

Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.

El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido