1/7 Procedimiento Nº: E/08501/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 30 de mayo de 2019 la entidad CAIXABANK, S.A. (en adelante Caixabank) notificó a esta Agencia una brecha de seguridad relativa a la documentación en papel de clientes depositada en un contenedor público de residuos, entre la que no consta, pero no se ha podido descartar, que hubiera datos de carácter personal. SEGUNDO: Con fecha de 12 de septiembre de 2019 la directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación instando a la Subdirección General de Inspección de Datos a que proceda a la realización de investigaciones para el esclarecimiento de los hechos objeto de notificación, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS CAIXABANK S.A. con NIF A08663619 con domicilio en C/ PINTOR SOROLLA 2-4 46002 VALENCIA (VALENCIA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Respecto a los hechos Caixabank ha comunicado a esta Agencia los siguientes hechos en la notificación de la brecha de seguridad: “Durante las labores de traslado de una oficina de la entidad, unas cajas con documentación confidencial de uso interno, entre la que no consta, pero no se ha podido descartar, que hubiera datos de carácter personal, se depositaron en un contenedor de residuos erróneo (no dedicado a destrucción de papel) que tardo 3 días en ser retirado de la vía pública.” Declaran que se enteraron de la brecha por comentarios en una red social. Como número aproximado de personas afectadas por la brecha Caixabank consigna cero. Solicitada a Caixabank impresión del comentario publicado en la red social, aportan copia en el que se puede leer: “Es normal que una cantidad enorme de papeles internos de la sucursal 4364AUDITORIUM estén tirados en un contenedor de obras en Valencia? Se trata de documentación interna con detalles de cuentas de clientes, informes, etc… del 1999 al 2004!!! ...”” En el informe realizado por la entidad, que recoge las investigaciones realizadas con motivo de la incidencia detectada, se recoge un posible relato de los hechos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 “En los trabajos definitivos de vaciado de muebles, documentación, equipamiento, materiales y enseres y limpieza de la oficina integrada que se realizaron durante la tarde del viernes 24/5, se retiraron de la misma dos cajas de cartón que habían sido clasificadas erróneamente por parte de la Oficina como material de publicidad obsoleta y se consideró en consecuencia que podía ser tratado como residuos. […] Todo el material resultante de los trabajos finalistas que fue calificado como residuos fue trasladado a la instalación gestora ubicada en el barrio de Campanar en el término municipal de Valencia a última hora de la tarde del viernes 24/5. Dicha instalación estaba cerrada a esa hora por lo que se depositó el material en los contenedores situados a tal efecto en el acceso a la instalación con la idea de que fueran tratados para su gestión y destrucción por la instalación el siguiente día laborable, lunes 27/5. En el periodo de tiempo transcurrido entre el viernes tarde/noche (cuando se depositó allí el material) y la primera hora de lunes (cuando fueron gestionados y destruidos), los materiales depositados (incluyendo la documentación incorrectamente clasificada en origen) estuvieron depositados en los contenedores citados. Fue en estos contenedores (o en el entorno de los mismos) donde el denunciante localizó los documentos de referencia a partir de lo cual procedió a realizar la denuncia a través de las redes sociales. Cabe suponer que alguien, en algún momento anterior a la llegada a ese punto del denunciante, debió revolver en esos contenedores rompiendo y/o vaciando las cajas de documentación citadas y que llegaron hasta allí cerradas, quedando así expuesto el contenido de las mismas.” En la contestación a la solicitud de información de esta Agencia los representantes de Caixabank han manifestado : “La presente incidencia fue comunicada a esta Agencia por criterio de prudencia, pues ni en su momento, ni a fecha de emisión de este escrito, ha podido confirmarse que la documentación depositada en los contenedores de destrucción a la que se aduce en este procedimiento efectivamente contuviera datos de carácter personal. En este particular, por la fotografía que acompañaba al comentario de un ciudadano publicado en redes sociales por el que se tuvo conocimiento de esta incidencia no se puede determinar si los documentos tirados al contenedor incluyen datos de carácter personal (pueden apreciarse libros, un informe financiero de una persona jurídica, saldos de contabilidad de oficinas de CaixaBank, entre otros). “ Respecto a las medidas implementadas con anterioridad a la brecha: Caixabank ha aportado a requerimiento de la Inspección de Datos la siguiente información y documentación: - Con respecto las políticas y medidas de seguridad generales: Caixabank ha aportado copia del Registro de Actividades de Tratamiento, en el que constan como actividades: (
- i)Traslado de la documentación en soporte papel y (
- ii)Destrucción de la documentación en soporte papel. Los representantes de Caixabank indican que las actividades de tratamiento de datos que se vieron comprometidas se llevaban a cabo con anterioridad a la entrada en vigor del Reglamento General de Protección de Datos y no han sufrido ninguna modificación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 por lo que no era necesario realizar un Análisis de Riesgos ni una Evaluación de Impacto, y que, no obstante lo anterior, como respuesta a las brechas de seguridad ocurridas, se ha iniciado el proceso para realizar la correspondiente evaluación de impacto. La entidad tiene implementado un procedimiento para la gestión de las brechas de seguridad, cuya copia ha sido aportada. - Con respecto a las políticas específicas de traslado/destrucción de documentación. Con el fin de garantizar la seguridad de la documentación y material en soporte papel durante los procesos de integración de oficinas, en CaixaBank existe desde octubre de 2018 un Protocolo de integración de oficinas en el que se especifica cómo se debe actuar durante el transporte de la documentación y qué medidas de seguridad se deben adoptar. Aportan copia del mencionado Protocolo de integración de oficinas. Concretamente, el apartado tercero del Protocolo de integración de oficinas se refiere a los aspectos operativos y define las tareas que se deben llevar a cabo durante el proceso de integración de las oficinas en todo lo relativo al traslado y destrucción de la documentación y el material en soporte papel. Conforme al Protocolo destacan que se trata de forma diferente la documentación, en función de que la misma contenga información confidencial de clientes, o mero material en soporte papel, entendiendo por tal principalmente, material publicitario, carteles, etc. Según lo dispuesto en el Protocolo de integración de oficinas, días antes del traslado de la documentación y material en soporte papel, la oficina a trasladar tiene la obligación de separar todos los archivos distinguiendo (
- i)documentación a destruir, (
- ii)documentación a archivar y (iii) documentación a enviar a la oficina receptora. Una vez clasificada, la documentación debe ser almacenada en cajas, indicado de forma visible qué tipo de documentación contiene para, posteriormente, proceder a su trasporte. Aportan también copia del Protocolo de tareas para integraciones de CaixaBank Facilities Management, en el que se definen las funciones y responsabilidades en relación con el transporte y destrucción de la documentación en el caso de integraciones de oficinas. En virtud de este protocolo, en primer lugar, las oficinas deberán destruir toda aquella documentación que proceda según lo dispuesto en la normativa interna de CaixaBank. Una vez llevado a cabo lo anterior, la oficina debe determinar qué documentación debe ser enviada y custodiada en la propia oficina integradora y qué documentación debe ser archivada en una tercera oficina o ser retirada por terceras empresas de gestión de archivos. Una vez toda la documentación está clasificada y empaquetada en cajas, se procede a su traslado. El traslado es supervisado por el servicio técnico. Toda la documentación que el día del cierre de la oficina no se haya destruido, se traslada a la oficina integradora. Aportan copia del Protocolo de integraciones de LEVIRA España, el proveedor contratado para el transporte de las cajas. Según lo indicado en su protocolo, la documentación únicamente se manipula por la oficina y siempre se traslada empaquetada en las cajas de traslado, de tal manera que los empleados de LEVIRA nunca tienen acceso a la documentación. Como medida de seguridad adicional, establece la obligación de contar el número de cajas que se retiran y el número de cajas que se entregan, confirmando si el número coincide. Se debe anotar en el albarán el número de cajas y ambas oficinas, la emisora y a receptora han de proceder a su firma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 - Sobre el motivo por el cual las medidas implementadas pudieron no servir para evitar el supuesto acceso a la documentación por un tercero, los representantes de la entidad manifiestan: Con carácter previo a analizar los posibles motivos por los cuales las medidas de seguridad descritas no fueron suficientes para evitar el acceso a la documentación por un tercero, Caixabank quiere poner de manifiesto que se han llevado a cabo numerosas integraciones de oficinas sin que haya habido ninguna incidencia. Concretamente, los dos únicos incidentes ocurridos han sido notificados a la Agencia Española de Protección de Datos con fechas 20 de marzo y 30 de mayo de 2019. Entienden que las medidas de seguridad previstas en los protocolos vigentes con anterioridad a la brecha de seguridad ocurrida eran efectivas y han sido eficaces de manera general. En cuanto al por qué las medidas existentes no evitaron el incidente, llegan a la conclusión de que, tal y como se describe en los protocolos, en los procesos de integración de oficinas, la responsabilidad de clasificar la documentación y decidir cuál debe ser destruida de forma confidencial, cuál debe ser archivada y cuál debe trasladarse directamente a la oficina integradora, recae en las oficinas. De este modo, eran las propias oficinas las que decidían si el material en soporte papel se debía destruir de forma ordinaria, es decir, sin las garantías propias de la destrucción de documentación confidencial. Este proceso implica que la clasificación de la documentación como confidencial o mero material en soporte papel dependía del criterio del personal de las oficinas, y por tanto existía margen de error. Respecto a las acciones emprendidas y las medidas implementadas como consecuencia de la ocurrencia de la brecha: Caixabank ha aportado copia de un informe que recoge las investigaciones realizadas con motivo de la incidencia detectada durante la fase de traslado de documentación en la integración de las oficinas 4364 y 5052. En el informe se detalla el análisis de las actuaciones llevadas a cabo por cada uno de los intervinientes en el proceso de integración de las oficinas 4364 y 5052. Incluye un listado cronológico de las actuaciones realizadas durante la integración, una descripción detallada de la incidencia ocurrida y una propuesta de medidas correctoras. Se ha elaborado un plan de acción para modificar los Protocolos de Integración de oficinas y añadir medidas de seguridad adicionales. Aportan copia de la versión modificada del Protocolo de Integraciones, de mayo de 2019, en el que se incluye el plan de acción elaborado para reforzar las garantías de los protocolos de integración de oficinas y potenciar la trazabilidad y la centralización del archivo. En el plan de acción se detallan las mejoras que deberán incorporarse a los protocolos anteriormente indicados con el fin de mejorar las medidas de seguridad ya existentes. Concretamente, estas medidas son: (
- i)Aseguramiento de la entrega anticipada de material (cajas) a la oficina para facilitar la adecuada clasificación de la documentación en documentación a trasladar a local integrador, documentación a trasladar a Archivo Centralizado y documentación a gestionar vía destrucción confidencial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 (
- ii)Clasificación de toda la documentación en uno de los tres grupos indicados. Toda aquella documentación que no se traslade al local de destino o que no se archive de manera centralizada, debe ser gestionada por destrucción confidencial. (iii) La documentación a trasladar se organizará en cajas que se numerarán y clasificarán dejando constancia fotográfica tanto en el local de origen como de destino. (
- iv)El proveedor encargado de la destrucción confidencial será convocado siempre en el momento del cierre del local integrado con el objetivo de gestionar cualquier documentación que pueda surgir en último momento. (
- v)Las oficinas firmarán un albarán en el que conste la documentación que sale de la oficina de origen y la documentación que llega a la oficina destino. (
- vi)Un empleado de la oficina deberá estar siempre presente en ambos locales cuando se lleven a cabo los trabajos de traslado. (vii) Al inicio de la campaña de integración se deberá dejar constancia expresa de la entrega del protocolo vigente de integraciones a los servicios técnicos intervinientes. (viii) Se crea un registro de incidentes para los procesos de traslado e integraciones de manera que se permita la trazabilidad de estos. En el plan de acción se indica expresamente que todas las modificaciones y medidas de seguridad a descritas deberán ser incorporadas a los protocolos vigentes y se comunicarán a los agentes intervinientes. La incorporación de las anteriores medidas de seguridad en los protocolos pretende garantizar una mayor trazabilidad de las actuaciones realizadas en los procesos de integración de las oficinas y una mayor seguridad de la documentación al ser tratados todos los materiales en soporte papel como documentación confidencial. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 En el presente caso, se presume que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una posible brecha de confidencialidad como consecuencia del depósito en contendedores de acceso público de documentación de clientes de la entidad durante un traslado de sucursal. No obstante, en el presente caso, no consta acreditado que dicha documentación contuviera datos personales de clientes. De las actuaciones de investigación se desprende que Caixabank disponía de medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencias. Estas medidas fueron trasladas a las agencias colaboradoras y trabajadores. Asimismo, Caixabank disponía de protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, comunicar, minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y las agencias colaboradoras en calidad de encargadas, así como el Delegado de Protección de Datos. Consta también, que con ocasión de la incidencia se ha procedido a realizar la evaluación de impacto sobre los tratamientos afectados e implantar mejoras técnicas y organizativas. No constan reclamaciones ante esta Agencia de los afectados. En consecuencia, consta que Caixabank disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente. No obstante se sugiere, a fin de cerrar la brecha de seguridad, se elabore un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada causada previsiblemente por un error puntual. III Por lo tanto, se ha acreditado que la actuación de Caixabank como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución CAIXABANK S.A. con NIF A08663619 con domicilio en C/ PINTOR SOROLLA 2-4 - 46002 VALENCIA (VALENCIA). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es