¿Es el IBAN un dato personal? Clasificación DSGVO y práctica

A primera vista, un IBAN parece un número de cuenta puramente técnico. Si está asignado a una persona física, puede identificar a esa persona de forma directa o indirecta. Entonces el IBAN es un dato personal en el sentido del DSGVO. De ello no se deriva para las empresas la obligación de redactar siempre cada IBAN —sí, en cambio, la obligación de limitar el tratamiento, la transmisión y la conservación a una finalidad legítima—.

¿Por qué el IBAN es un dato personal?

El Art. 4 n.º 1 DSGVO abarca toda información que se refiera a una persona física identificada o identificable. El Tribunal de Justicia de la Unión Europea subraya regularmente la interpretación amplia de este concepto. Un IBAN personal es un identificador unívoco de una cuenta de pago y puede asignarse a una persona a través de datos bancarios y contractuales.

En el caso de un número de cuenta puramente empresarial de una persona jurídica, la clasificación puede ser distinta. Pero en cuanto el IBAN está vinculado a un autónomo, un profesional liberal, un empleado, un cliente o una persona de contacto, existe por regla general referencia personal.

¿Es el IBAN un dato especialmente sensible?

Un IBAN no pertenece automáticamente a las categorías especiales del Art. 9 DSGVO. No obstante, sigue necesitando protección. Los datos de la cuenta, en combinación con nombres, finalidades de pago y datos de transacciones, pueden dibujar un cuadro detallado de circunstancias económicas o privadas.

Esto significa que la medida de protección se orienta según el contexto y el riesgo. Un IBAN en una factura dirigida al obligado al pago está justificado por la finalidad. El mismo IBAN en un informe público, en un archivo PDF de libre acceso o en una información de expediente puede ser innecesario.

¿Cuándo debería redactarse un IBAN?

La redacción tiene sentido cuando el destinatario no necesita la cuenta bancaria completa para su finalidad. Casos típicos son documentos públicos, copias informativas con datos de terceros, expedientes judiciales o administrativos, documentación de candidaturas de empleo, extractos bancarios como mero justificante de ingresos e informes internos con un círculo amplio de destinatarios.

Una ayuda práctica para la decisión:

1. ¿Debe el destinatario ejecutar un pago a esta cuenta?
2. ¿Debe comprobar la titularidad de la cuenta?
3. ¿Bastan los últimos cuatro caracteres u otro justificante?
4. ¿Se publica el documento, se conserva de forma duradera o se distribuye a muchas personas?
5. ¿Contiene además nombre, domicilio o conceptos de movimiento sensibles?

Cuanto menos necesite la finalidad el IBAN completo y cuanto mayor sea el círculo de destinatarios, con más fuerza aboga el Art. 5 apdo. 1 let. c DSGVO por la redacción o la abreviación.

Empresas: los IBAN en el flujo documental

Las empresas no deberían considerar los IBAN solo en bases de datos estructuradas. Con frecuencia se encuentran en facturas, contratos, adjuntos de correo electrónico, extractos bancarios y formularios escaneados. Un proceso robusto comprende detección, comprobación de la finalidad, aprobación humana, redacción irreversible y documentación.

Datenmaske detecta automáticamente patrones IBAN en PDF. Las propuestas deben comprobarse a continuación: en una factura de pago la cuenta bancaria puede ser necesaria; en una publicación, no. La persona decide; el software reduce el trabajo de búsqueda.

Lea también el artículo práctico Redactar IBAN en PDF y pruebe el Free-Check con un documento concreto.

Conclusión

Un IBAN asignado a una persona física es un dato personal. No debe eliminarse de forma genérica de todos los documentos, sino protegerse en función de la finalidad. Donde la cuenta bancaria completa no es necesaria para el destinatario, la abreviación o la redacción irreversible son la solución más austera en datos.