← España

E-05729-2019

1/8 Procedimiento Nº: E/05729/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de marzo de 2019 la entidad CAIXABANK, S.A. (en adelante CAIXABANK), notificó a esta Agencia una incidencia de seguridad relativa a la pérdida de documentación en papel que contenían datos personales de clientes y que han finalizado en poder de una tercera persona. SEGUNDO: Con fecha de 29 de mayo de 2019 la directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación instando a la Subdirección General de Inspección de Datos para que proceda a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de notificación, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS CAIXABANK S.A. con NIF A08663619 con domicilio en C/ PINTOR SOROLLA 2-4 46002 VALENCIA (VALENCIA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Respecto a los hechos CAIXABANK ha comunicado a esta Agencia los siguientes hechos en la notificación de la brecha de seguridad: El día 06/03/2019 se llevó a cabo el traslado, por integración, de toda la documentación y material de la oficina 0830 (Escorial) a la 3012 (Plaza Rovira). El miércoles 13/03/2019 se persona en la oficina un cliente con documentación originaria de la oficina 830 explicando que un hombre les entregó esa documentación en mano, adjuntando un escrito donde menciona que la encontró en la calle. Durante los siguientes días, otros 5 clientes han puesto de manifiesto hechos similares, por lo que sospechan que el individuo en cuestión tiene en su poder documentación responsabilidad de la entidad. Hay en total seis clientes afectados y las categorías de los datos son: datos básicos, datos identificativos, de contacto y económico-financieros, que constan en los documentos extraviados (cinco cancelaciones registrales, una solicitud de documentación de pagos y copia simple de la compraventa de un inmueble). En la notificación se indica que CAIXABANK ha interpuesto denuncia ante la Policía. No obstante, como contestación al requerimiento de información realizado por esta Agencia, manifiestan que no han llegado a interponer denuncia ante la Policía, al haber contactado con la persona que supuestamente tenía en su poder la documentación y haber declarado ésta haber devuelto toda ella. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Sobre las causas por las cuales la documentación pudiera haberse encontrado en la vía pública o por las cuales pudiera una tercera persona haber podido acceder a ella los representantes de CAIXABANK han aportado la siguiente información: - Un análisis de las posibles causas o circunstancias por las que se puede haber producido el extravío de la documentación son plasmadas en el informe de investigación del caso cuya copia aporta CAIXABANK, que baraja varias hipótesis: (

  1. i)como consecuencia de la pérdida en el traslado, (
  2. ii)durante el proceso de digitalización y centralización del archivo de la oficina por Iron Mountain, (iii) durante el proceso de destrucción de documentación confidencial realizado por Evencio Niño, S.A. y DCD Destrucción Conf. Doc., S.A., (
  3. iv)por parte de un empleado de CaixaBank con acceso a la documentación, (
  4. v)por parte de un empleado contratado por CaixaBank Facilities Management con acceso a la documentación, (
  5. vi)por parte de un cliente con eventual acceso a la documentación o (vii) por parte de terceros con eventual acceso a la documentación durante el traslado de las oficinas. - Teniendo en cuenta todas las posibles causas enumeradas y dando por ciertas las declaraciones de la persona que facilitó los documentos a los clientes, Sr. A.A.A., los representantes de la entidad suponen, sin poder acreditar este extremo, que la causa más probable del extravío de documentación es un error durante el proceso de clasificación de la documentación o material en soporte papel previo a la mudanza entre oficinas. Como consecuencia de este error, la documentación confidencial se trataría como material en soporte papel y, por ende, se destruiría de manera ordinaria. - Los representantes de CAIXABANK indican que a pesar de la investigación no ha sido posible determinar con certeza a quién corresponde la responsabilidad del extravío de documentación. De todos los indicios parece desprenderse que se trató de una concatenación de errores entre el gestor de la oficina encargado de la clasificación de la documentación y la empresa de transporte encargada de portar las cajas de una oficina a otra. - CAIXABANK ha aportado copia de la comunicación del representante legal del Sr. A.A.A., de fecha 11 de abril de 2019, dirigida a la entidad como consecuencia de un burofax que CAIXABANK le remite con ocasión de los hechos. En esta comunicación indica que "se dejaron abandonadas en la vía pública una gran cantidad de cajas conteniendo materiales (...). Que entre el material dejado en la calle se encontraba el material gráfico consistente en, por ejemplo, litografías de artistas como Joan Miró o Vives Fierro". En la comunicación se pone de manifiesto que este material gráfico llamó la atención de Sr. A.A.A. al tener éste una larga y reconocida trayectoria como ilustrador publicitario, encontrando entre el material algunos documentos relativos a trámites efectuados, que recoge y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 devuelve a los interesados por civismo y con la única voluntad de evitarles daños derivados de que sus papeles se encontraran en la vía pública. - No se han detectado usos posteriores de los datos de los clientes afectados, siendo la única utilización detectada la entrega a sus titulares por parte del Sr. Francesc. Respecto a las medidas implementadas con anterioridad a la brecha: CAIXABANK ha aportado a requerimiento de la Inspección de Datos la siguiente información y documentación: - Con respecto las políticas y medidas de seguridad generales: Copia del Registro de Actividades de Tratamiento, en el que constan como actividades: (
  6. i)Traslado de la documentación en soporte papel y (
  7. ii)Destrucción de la documentación en soporte papel. Los representantes de CAIXABANK indican que las actividades de tratamiento de datos que se vieron comprometidas se llevaban a cabo con anterioridad a la entrada en vigor del Reglamento General de Protección de Datos y no han sufrido ninguna modificación por lo que no era necesario realizar un Análisis de Riesgos ni una evaluación de impacto y que, no obstante lo anterior, como respuesta a las brechas de seguridad ocurridas, se ha iniciado el proceso para realizar la correspondiente evaluación de impacto. - Con el fin de garantizar la seguridad de la documentación y material en soporte papel durante los procesos de integración de oficinas, en CaixaBank existe desde octubre de 2018 un Protocolo de integración de oficinas en el que se especifica cómo se debe actuar durante el transporte de la documentación y qué medidas de seguridad se deben adoptar. Aportan copia del mencionado Protocolo de integración de oficinas. Concretamente, el apartado tercero del Protocolo de integración de oficinas se refiere a los aspectos operativos y define las tareas que se deben llevar a cabo durante el proceso de integración de las oficinas en todo lo relativo al traslado y destrucción de la documentación y el material en soporte papel. Conforme al Protocolo destacan que se trata de forma diferente la documentación, en función de que la misma contenga información confidencial de clientes, o mero material en soporte papel, entendiendo por tal principalmente, material publicitario, carteles, etc. Según lo dispuesto en el Protocolo de integración de oficinas, días antes del traslado de la documentación y material en soporte papel, la oficina a trasladar tiene la obligación de separar todos los archivos distinguiendo (
  8. i)documentación a destruir, (
  9. ii)documentación a archivar y (iii) documentación a enviar a la oficina receptora. Una vez clasificada, la documentación debe ser almacenada en cajas, indicado de forma visible qué tipo de documentación contiene para, posteriormente, proceder a su trasporte. Aportan también copia del Protocolo de tareas para integraciones de CaixaBank Facilities Management, en el que se definen las funciones y responsabilidades en relación con el transporte y destrucción de la documentación en el caso de integraciones de oficinas. En virtud de este protocolo, en primer lugar, las oficinas deberán destruir toda aquella documentación que proceda según lo dispuesto en la normativa interna de CaixaBank. Una vez llevado a cabo lo anterior, la oficina debe determinar qué documentación debe ser enviada y custodiada en la propia oficina integradora y qué documentación debe ser archivada en una tercera oficina o ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 retirada por terceras empresas de gestión de archivos. Una vez que toda la documentación está clasificada y empaquetada en cajas, se procede a su traslado. El traslado es supervisado por el servicio técnico. Toda la documentación que el día del cierre de la oficina no se haya destruido, se traslada a la oficina integradora. Aportan copia del Protocolo de integraciones de LEVIRA España, el proveedor contratado para el transporte de las cajas. Según lo indicado en su protocolo, la documentación únicamente se manipula por la oficina y siempre se traslada empaquetada en las cajas de traslado, de tal manera que los empleados de LEVIRA nunca tienen acceso a la documentación. Como medida de seguridad adicional, establece la obligación de contar el número de cajas que se retiran y el número de cajas que se entregan, confirmando si el número coincide. Se debe anotar en el albarán el número de cajas y ambas oficinas, la emisora y a receptora han de proceder a su firma. - Sobre el motivo por el cual las medidas implementadas no sirvieron para evitar el acceso a la documentación por un tercero, los representantes de la entidad manifiestan: Con carácter previo a analizar los posibles motivos por los cuales las medidas de seguridad descritas no fueron suficientes para evitar el acceso a la documentación por un tercero, CAIXABANK quiere poner de manifiesto que se han llevado a cabo numerosas integraciones de oficinas sin que haya habido ninguna incidencia. Concretamente, los dos únicos incidentes ocurridos han sido notificados a la Agencia Española de Protección de Datos con fechas 20 de marzo y 30 de mayo de 2019. Entienden que las medidas de seguridad previstas en los protocolos vigentes con anterioridad a la brecha de seguridad ocurrida eran efectivas y han sido eficaces de manera general. En cuanto al por qué las medidas existentes no evitaron el incidente, llegan a la conclusión de que, tal y como se describe en los protocolos, en los procesos de integración de oficinas, la responsabilidad de clasificar la documentación y decidir cuál debe ser destruida de forma confidencial, cuál debe ser archivada y cuál debe trasladarse directamente a la oficina integradora, recae en las oficinas de Caixabank. De este modo, eran las propias oficinas las que decidían si el material en soporte papel se debía destruir de forma ordinaria, es decir, sin las garantías propias de la destrucción de documentación confidencial. Este proceso implica que la clasificación de la documentación como confidencial o mero material en soporte papel dependía del criterio del personal de las oficinas, y por tanto existía margen de error. Como ya se ha indicado, no se ha podido averiguar con certeza las causas del incidente existiendo diferentes hipótesis, ya descritas, y siendo la causa más probable un error durante el proceso de clasificación de la documentación o material en soporte papel. Respecto a las acciones emprendidas y las medidas implementadas como consecuencia de la ocurrencia de la brecha: - Cuando la entidad fue conocedora de lo ocurrido a través de los propios clientes afectados, procedió a ponerse en contacto con el Sr. A.A.A. enviándole un burofax. Así, el 29 de marzo de 2019 se le requirió para que (
  10. i)hiciera entrega de la documentación en la oficina 3012 y (
  11. ii)se abstuviera de realizar cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 entrega de documentación adicional a los clientes. Aportan copia del mencionado burofax. Como respuesta al mismo, se recibió el escrito del representante legal del Sr. A.A.A., en el que se expuso en qué condiciones se encontró la documentación. Con el objetivo de garantizar que el Sr. A.A.A. no disponía de más documentación en su poder y que no había más clientes afectados, se instó al mismo a que confirmara dicho extremo por escrito. Finalmente, se obtuvo dicha declaración en fecha 15 de mayo de 2019. - Los representantes de la entidad manifiestan que como respuesta a las brechas de seguridad ocurridas y con anterioridad al requerimiento efectuado por esta Agencia, está en curso un proceso de revisión y modificación de los protocolos de integración de oficinas y el de tareas para integración, para incluir en ellos mejoras en las medidas de seguridad. Se ha elaborado un plan de acción para modificar los Protocolos de Integración de oficinas y añadir medidas de seguridad adicionales. Aportan copia de la versión modificada del Protocolo de Integraciones, de mayo de 2019, en el que se incluye el Plan de acción elaborado para reforzar las garantías de los protocolos de integración de oficinas y potenciar la trazabilidad y la centralización del archivo. En el plan de acción se detallan las mejoras que deberán incorporarse a los protocolos anteriormente indicados con el fin de mejorar las medidas de seguridad ya existentes. Concretamente, estas medidas son: (
  12. i)Aseguramiento de la entrega anticipada de material (cajas) a la oficina para facilitar la adecuada clasificación de la documentación en documentación a trasladar a local integrador, documentación a trasladar a Archivo Centralizado y documentación a gestionar vía destrucción confidencial. (
  13. ii)Clasificación de toda la documentación en uno de los tres grupos indicados. Toda aquella documentación que no se traslade al local de destino o que no se archive de manera centralizada, debe ser gestionada por destrucción confidencial. (iii) La documentación a trasladar se organizará en cajas que se numerarán y clasificarán dejando constancia fotográfica tanto en el local de origen como de destino. (
  14. iv)El proveedor encargado de la destrucción confidencial será convocado siempre en el momento del cierre del local integrado con el objetivo de gestionar cualquier documentación que pueda surgir en último momento. (
  15. v)Las oficinas firmarán un albarán en el que conste la documentación que sale de la oficina de origen y la documentación que llega a la oficina destino. (
  16. vi)Un empleado de la oficina deberá estar siempre presente en ambos locales cuando se lleven a cabo los trabajos de traslado. (vii) Al inicio de la campaña de integración se deberá dejar constancia expresa de la entrega del protocolo vigente de integraciones a los servicios técnicos intervinientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 (viii) Se crea un registro de incidentes para los procesos de traslado e integraciones de manera que se permita la trazabilidad de estos. En el plan de acción se indica expresamente que todas las modificaciones y medidas de seguridad a descritas deberán ser incorporadas a los protocolos vigentes y se comunicarán a los agentes interviniente. La incorporación de las anteriores medidas de seguridad en los protocolos pretende garantizar una mayor trazabilidad de las actuaciones realizadas en los procesos de integración de las oficinas y una mayor seguridad de la documentación, al ser tratados todos los materiales en soporte papel como documentación confidencial. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de confidencialidad como consecuencia del extravío de documentación personalizada de seis clientes de la entidad durante un traslado de sucursal. De las actuaciones de investigación se desprende que CAIXABANK disponía de medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencias. Estas medidas fueron trasladas a las agencias colaboradoras y trabajadores. Asimismo, CAIXABANK disponía de protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, comunicar, minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y las agencias colaboradoras en calidad de encargadas, así como el Delegado de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Consta también, que con ocasión de la incidencia se ha procedido a realizar la evaluación de impacto sobre los tratamientos afectados e implantar mejoras técnicas y organizativas. No constan reclamaciones ante esta Agencia de los afectados. En consecuencia, consta que CAIXABANK disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente. No obstante se sugiere, a fin de cerrar la brecha de seguridad, se elabore un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada causada previsiblemente por un error puntual. III Por lo tanto, se ha acreditado que la actuación de CAIXABANK como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK S.A. con NIF A08663619 y con domicilio en C/ PINTOR SOROLLA 2-4 - 46002 VALENCIA (VALENCIA). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  17. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.