Banorte y BBVA son los bancos más castigados por violar la privacidad

¿Tiene usted alguna enfermedad del corazón? ¿Tiene sida o alguna enfermedad sexual transmisible? ¿Tiene pendiente alguna cirugía? Eso preguntó Banorte a la solicitante de un crédito y a su cónyuge, quien no fue ni beneficiario ni aval del crédito, como parte del proceso para la compra de un auto a préstamo.

Banorte les pidió datos personales sensibles sin mostrarles un aviso de privacidad y sin solicitar su consentimiento expreso. Hay algo peor: lo hizo sin justificación legítima, concreta y acorde con el objetivo que buscaba: financiar la compra de un auto.

Fueron abusos contra los derechos humanos y la dignidad de esas personas. También fueron infracciones a la ley de protección de datos personales: dar tratamiento a información personal sensible sin motivo justificado y sin informar a los titulares de la finalidad de recabarla.

Banorte recibió por ello la mayor multa contra una empresa del sector financiero por violaciones a la privacidad en la historia de México: 32 millones de pesos (por actualizaciones, pagó 36 millones).

Banorte es el banco más castigado por valor económico: casi 40 millones de pesos por 3 sanciones en 2013, 2014 y 2017, pero BBVA es el banco con mayor número de infracciones: 4 en 2017 y 2 en 2018, por un total de 11 millones de pesos (la más reciente, expediente PS.0069/18, se resolvió en la Corte). 

HSBC tiene la segunda mayor sanción: 5.7 millones de pesos por transferir datos personales de carácter patrimonial a un tercero sin el consentimiento expreso de su titular: la clabe (Clave Bancaria Estandarizada). Este caso confirmó que ese conjunto de 18 dígitos numéricos irrepetible entre los usuarios de la banca es un dato personal, aunque sólo pueda ser descifrado por determinadas instituciones del sistema financiero y no por la generalidad de la población. HSBC fue sancionado primero con 17.5 millones de pesos, pero sus abogados lograron reducir la multa a una tercera parte en un litigio que se resolvió en la Suprema Corte.

La agencia de privacidad de México —conocida por el acrónimo Inai— ha logrado imponer 17 sanciones contra empresas del sector financiero entre 2010 y 2022 por casi 75 millones de pesos (unos 4 millones de dólares), de acuerdo con la revisión de los expedientes y las respuestas del Inai a solicitudes de información de Economicón y disponibles en la Plataforma Nacional de Transparencia.

Es curioso: el Inai, la agencia que garantiza la transparencia pública y protege los datos personales de los ciudadanos, no difunde con detalle ni las multas ni los nombres de los infractores por un exceso de debido proceso: cuidar al infractor hasta que se ha “causado estado”, la jerga jurídica para decir que la justicia no ha dado la razón ni a la parte acusatoria ni al acusado, a pesar de que esta práctica de transparencia puede robustecer su autoridad y prestigio en la opinión pública, como ocurre en Estados Unidos o la Unión Europea.

La sanción más reciente es de 2020 contra Kapitalmujer. Esta empresa de préstamos publicó la foto y el nombre de una exempleada en un periódico de Oaxaca para “contactarla” y pedirle que se presentara en su vieja oficina a resolver “pendientes” y pagar una deuda. Fue un uso ilegítimo de datos personales y una transferencia ilegal de información privada. El chiste le salió en 1.2 millones de pesos más los abogados para un litigio que duró dos años y que al final perdió.

17 sanciones por violar la privacidad pueden parecer pocas considerando el altísimo número de empresas financieras operando en México. Esas pocas sanciones podrían revelar un gran nivel de cumplimiento de la ley de datos o una enorme litigiosidad de los bancos, cuyas utilidades en 2022 superaron los 237,000 millones de pesos (casi 12,000 millones de dólares al tipo de cambio promedio de ese año). Apuesto por lo segundo: una billetera bien gorda para pagar abogados, combatir las decisiones de la agencia y evitar manchas en su reputación. Y como el Inai no informa con detalle, la ciudadanía ni se entera.