← España

PS-00008-2024

1/62  Expediente N.º: EXP202400059 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CAIXA POPULAR CAIXA RURAL SOC. COOP. DE CRÉDITO V (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 4 de diciembre de 2024 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202400059 (PS/00008/2024) PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES.......................................................................................................... 3 PRIMERO:................................................................................................................. 3 SEGUNDO:................................................................................................................ 4 TERCERO:............................................................................................................... 20 CUARTO:................................................................................................................. 20 QUINTO:.................................................................................................................. 20 SEXTO:.................................................................................................................... 20 SÉPTIMO:................................................................................................................ 21 OCTAVO:.................................................................................................................. 21 NOVENO:................................................................................................................. 21 DÉCIMO:.................................................................................................................. 21 UNDÉCIMO:............................................................................................................. 22 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/62 HECHOS PROBADOS................................................................................................ 22 PRIMERO:............................................................................................................... 22 SEGUNDO:.............................................................................................................. 22 TERCERO:............................................................................................................... 25 CUARTO:................................................................................................................. 28 QUINTO:.................................................................................................................. 28 SEXTO:.................................................................................................................... 29 SÉPTIMO:................................................................................................................ 30 OCTAVO:.................................................................................................................. 31 NOVENO:................................................................................................................. 31 DÉCIMO:.................................................................................................................. 33 DÉCIMO PRIMERO:................................................................................................ 33 DÉCIMO SEGUNDO:............................................................................................... 33 DÉCIMO TERCERO:................................................................................................ 34 DÉCIMO CUARTO:.................................................................................................. 35 DÉCIMO QUINTO:................................................................................................... 37 DÉCIMO SEXTO:..................................................................................................... 38 DÉCIMO SÉPTIMO:................................................................................................. 39 DÉCIMO OCTAVO:.................................................................................................. 40 DÉCIMO NOVENO:................................................................................................. 40 VIGÉSIMO:.............................................................................................................. 40 VIGÉSIMO PRIMERO:............................................................................................. 41 FUNDAMENTOS DE DERECHO................................................................................. 41 I Competencia.......................................................................................................... 41 II Cuestiones Previas............................................................................................... 41 III Descripción de la brecha de datos personales..................................................... 43 IV Infracción del artículo 5.1.

  1. f)del RGPD................................................................. 46 V Tipificación por la infracción del artículo 5.1.
  2. f)del RGPD...................................... 51 VI Propuesta de sanción por la infracción del artículo 5.1.
  3. f)del RGPD.................... 52 VII Infracción del artículo 32.1 del RGPD................................................................. 54 VIII Infracción del artículo 33 del RGPD................................................................... 55 IX Contestación a las alegaciones formuladas respecto del acuerdo de inicio.........58 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/62 “PRIMERA. SOBRE LA ACUMULACION DE LOS PROCEDIMIENTOS A LAS ENTIDADES DEL GRUPO.”................................................................................. 58 “SEGUNDA. LA INEXISTENCIA DE CULPABILIDAD DE CAIXA POPULAR EN EL PRESENTE CASO”.............................................................................................. 66 “TERCERA. SOBRE LA AFECTACIÓN A LOS PRINCIPIOS DEL DERECHO SANCIONADOR DERIVADOS DE LA INTERPRETACIÓN EFECTUADA POR LA AEPD”................................................................................................................... 77 “CUARTA. SOBRE LA PRETENDIDA VULNERACIÓN DEL ARTÍCULO 32.1 DEL RGPD”.................................................................................................................. 78 “QUINTA. SOBRE LA PRETENDIDA VULNERACION DEL ARTICULO 5.1.
  4. f)DEL RGPD”.................................................................................................................. 84 “SEXTA. SOBRE LA PRETENDIDA VULNERACIÓN DEL ARTÍCULO 33 DEL RGPD................................................................................................................... 85 “SÉPTIMA. VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD EN LA DETERMINACIÓN DE LAS SANCIONES”........................................................... 86 PROPUESTA DE RESOLUCIÓN................................................................................. 86 ANTECEDENTES PRIMERO: El 13 de diciembre de 2022, se notificó brecha de datos personales de la entidad perteneciente al GRUPO CAJA RURAL: CAIXA POPULAR - CAJA RURAL COOP. DE CRÉDITO V. con NIF F46090650 (en adelante, CAIXA POPULAR) como responsable del tratamiento. Hay que señalar que, como consecuencia de las notificaciones a la División de Innovación Tecnológica de esta Agencia de la brecha de datos personales en distintas Entidades del citado Grupo, entre las que se encuentra parte reclamada, relativas a un ciber-incidente, se ordenó a la Subdirección General de Inspección de Datos que se realizaran las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. 1. En un principio, las notificaciones de la brecha fueron realizadas por el encargado del tratamiento RURAL SERVICIOS INFORMÁTICOS S.L. (en lo sucesivo RSI), en relación con (…) del Grupo: 2. Figuran como fechas de notificación inicial y de notificación adicional: 12/12/2022 y 10/01/2023. 3. No obstante, en fechas 13/12/2022, 14/12/2022 y 15/12/2022 se realizaron notificaciones de la brecha por otras 7 entidades del grupo, entre las que se encuentra la parte reclamada en su condición de responsables del tratamiento, a pesar de que el encargado del tratamiento es el mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/62 Los formularios de notificación de la brecha se acompañan del Informe de Incidencia de Seguridad elaborado en todos los casos por RSI, encargado del tratamiento. - Fecha de detección de la brecha: 09/12/2022 Fecha de ocurrencia de la brecha: 10/11/2022 Resumen de la notificación: (…) - Tipología de datos afectados: (…) - Número aproximado de personas físicas sobre las que se recoge, almacena o trata datos personales de otra forma referido exclusivamente al tratamiento sobre el que se ha producido la brecha, N.º per. Físicas: (…) - Número aproximado de personas físicas cuyos datos se han visto afectados por la brecha, N.º afectados: (…) - Número de afectados informados: (…) SEGUNDO: Como consecuencia de las notificaciones a la División de Innovación Tecnológica de esta Agencia de brecha de datos personales en distintas Entidades del GRUPO CAJA RURAL relativas a un ciber-incidente, mediante nota interior de la Directora de la AEPD se ordenó a la Subdirección General de Inspección de Datos que realizase las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. Durante las presentes actuaciones se han obtenido datos sobre los hechos descritos en relación con diversas entidades, (…). Al objeto de investigar la ocurrencia de los hechos descritos, en fecha 29/03/2023 se realiza una solicitud de información a RSI. La respuesta al requerimiento tiene entrada en fecha 14/04/2023. En fechas 12/05/2023 y 27/09/2023 se solicita a RSI ampliación de la información aportada y en fechas 26/05/2023 y 11/10/2023 tienen entrada en la sede electrónica de la AEPD sendas respuestas. Con el fin de introducir las aplicaciones comprometidas en la brecha que se van a referenciar a lo largo del presente informe, se reproduce, a continuación, la descripción que se recoge en la documentación aportada por RSI en el marco de las actuaciones de investigación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/62 Asimismo, RSI, en su escrito de fecha de entrada en la AEPD el 14/04/2023, manifiesta: (…) Se adjunta informe de despliegue de la NBE de fecha 30/03/2023. Con relación al número de usuarios a los que se da servicio la Banca Electrónica y los modos de acceso: (…) Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final En el Informe de Análisis de Incidente de Seguridad que acompaña al formulario de notificación de la brecha se recoge: (…) Desde las áreas de RSI responsables de fraude y del desarrollo de la NBE se comienza la investigación para conocer cómo se había producido el fraude. (…) Respecto de las causas que hicieron posible la brecha - Factores que contribuyeron a que se produjera la incidencia (…) En el marco de las actuaciones de investigación RSI informa de que: (…) o Política de contraseñas establecida en Ruralvía: (…) Respecto de los datos afectados La información a la que se habría podido acceder durante la brecha engloba datos personales, de contacto y financieros: “[…] (…) En el Informe de Análisis de Incidente de Seguridad que acompaña al formulario de notificación de la brecha se analiza el tipo de información que ha sido extraída por el ciberdelincuente y el impacto en los clientes personas físicas, teniendo en cuenta, entre otras, las siguientes variables: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/62 (…) Durante el marco de las actuaciones de investigación se solicita a RSI información adicional relativa a los datos de los clientes que no disponen de Acuerdo de Banca Electrónica a los que los usuarios comprometidos en la brecha pudieron haber accedido. RSI en su escrito de respuesta, manifiesta que: (…) Respecto del contrato de encargado del tratamiento RSI aporta el Registro de Actividades del Tratamiento de RSI e indica que el tratamiento en donde se encuentra la operativa de Banca Electrónica es el tratamiento de Gestión de Clientes, tratamiento donde RSI actúa como encargado. RSI aporta como el Acuerdo de modificación de la cláusula de protección de datos de los contratos de prestación de servicios suscritos entre, CAJA RURAL DE JAÉN, BARCELONA Y MADRID, S.C.C. (responsable del tratamiento), y RSI (encargado del tratamiento). RSI señala que este Acuerdo se firmó con las Entidades en el año 2018 y que es el mismo modelo para todas ellas. En el Acuerdo se recoge, en otros aspectos: El objeto del Acuerdo es establecer el régimen jurídico aplicable al tratamiento de los datos personales que se traten o pudieran tratar por el encargado del tratamiento, en virtud de los contratos de prestación de servicios que se suscriban entre las partes, y que están bajo la titularidad y control del responsable del tratamiento. El encargado del tratamiento se obliga a tratar los datos de acuerdo con las instrucciones del responsable del Tratamiento. El encargado del tratamiento aplicará medidas técnicas y organizativas de seguridad para garantizar un nivel de seguridad adecuado. Se autoriza al encargado a subcontratar a las empresas reflejadas en el Anexo A del Acuerdo – Subcontrataciones. El subcontratista, que también tiene la condición de encargado del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en el Acuerdo para el encargado del tratamiento y las instrucciones que dicte el responsable. Respecto de las medidas de seguridad RSI señala que la planificación del desarrollo de la NBE se extiende desde 2019 hasta 2022 y que durante el mes de diciembre de 2019 se realiza el análisis de riesgos de la NBE tanto de la versión Web como de la App. Se analizan los siguientes ámbitos: (…) RSI señala que ha realizado un seguimiento del plan de acción asociado a dicho informe y el resumen del estado de las acciones es, 16 resueltas, 62%, y 10 pendientes, 38%. Del tratamiento Gestión de Clientes, RSI señala que se ha realizado un análisis de riesgos en materia de protección de datos por parte del Delegado de Protección de Datos. Este análisis se realiza con una primera revisión del listado de las amenazas y la valoración sobre si aplican o no al tratamiento, aporta el cuestionario de valoración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/62 de amenazas y, una segunda parte, en donde se realiza el análisis de riesgos conforme a la metodología de análisis de riesgos de RSI. Se aporta el resultado de dicho análisis. RSI indica que, dentro del Plan General de Fraude, una línea estratégica se refiere a la realización de Assesment de vulnerabilidades de Ruralvía y que en cumplimiento de esta línea de trabajo se han realizado tres evaluaciones de seguridad sobre Ruralvía Clásica cuyos informes aporta: Informe realizado por la empresa ***EMPRESA.1, sobre auditoría de aplicación web, fechado a 28/02/2022. Informe realizado por la empresa ***EMPRESA.1, sobre auditoría de aplicación web, fechado a 28/04/2022. Informe realizado por la empresa ***EMPRESA.2, evaluación continua que refleja las pruebas realizadas entre el 01/10/2021 y el 30/04/2023, en donde todas las vulnerabilidades críticas se encuentran cerradas. Se aporta también el informe elaborado por el departamento de Ciberseguridad de RSI donde se relacionan las tres evaluaciones de seguridad realizadas por un tercero y el estado de resolución de las vulnerabilidades detectadas. Asimismo, RSI acredita que, (…) una auditoria de hacking ético por un proveedor externo. Adjunta el informe de la auditoría y manifiesta: (…) RSI, en su escrito de fecha de entrada en la AEPD el 11/10/2023, explica: (…) Asimismo, se relacionan las auditorias que se han realizado con posterioridad a las comentadas en los anteriores requerimientos de información en cumplimiento del plan del fraude: (…) De igual modo, se facilita la última auditoría de cumplimiento de las medidas de seguridad (…) para cumplir con el Reglamento Delegado (…) siendo el periodo auditado del 15/12/2021 a 15/12/2022. El Informe está fechado a 15/12/2022. En concreto, se centró en la revisión de la información asociada a las medidas de seguridad relativas a las medidas de autenticación reforzada sobre los distintos canales y servicios de pago ofrecidos por RSI. Se aporta el Informe de Auditoría realizado por la firma ***EMPRESA.3. Para subsanar las vulnerabilidades detectadas conforme al nivel de cumplimiento con la ***NORMA.1 se procede a la realización de un plan de acción por parte de RSI. Se aporta el Plan de Acción con el estado actual. Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/62 RSI indica que, como parte del proyecto del desarrollo de la NBE, se elaboró un tablero (…) Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente. (…) Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido. Además de las medidas descritas anteriormente, RSI traslada en su escrito Contestación Reclamación AEPD: (…) RSI, en su escrito de fecha de entrada en la AEPD 11/10/2023, detalla el funcionamiento de estos controles: (…) A lo largo del mes de febrero del 2023 se llevaron a cabo las siguientes acciones: (…) Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo RSI manifiesta que estos hechos no son recurrentes, siendo esta la primera ocasión en la que se han dado. Asimismo, señala que no han tenido noticias por parte de su servicio (…) de publicación de datos en la darkweb. TERCERO: Con fecha 23 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CAIXA POPULAR, por la presunta infracción del artículo 5.1.
  5. f)del RGPD, tipificada en el artículo 83.5.
  6. a)del RGPD, por la presunta infracción del artículo 32, tipificada en el artículo 83.4.
  7. a)del RGPD, y por la presunta infracción del artículo 33, tipificada en el artículo 83.4.
  8. a)del RGPD, concediendo un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a CAIXA POPULAR conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 23 de enero de 2024, como consta en el acuse de recibo que obra en el expediente. CUARTO: Con fecha 29 de enero de 2024, CAIXA POPULAR presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones y que se le facilite copia del expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/62 QUINTO: Con fecha 5 de febrero de 2024, el órgano instructor del procedimiento acuerda la ampliación de plazo instada hasta un máximo de 10 días, a partir del día siguiente a aquel en el que reciba la copia del expediente y que se le remita a CAIXA POPULAR copia del expediente. El citado acuerdo se notifica a CAIXA POPULAR en fecha 5 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 21 de febrero de 2024 el instructor del expediente remitió al encargado del tratamiento escrito en el que le señalaba que “Dado que gran parte de la documentación obrante en el mismo ha sido suministrada por RSI a través del Registro Electrónico General, se le relacionaban agrupados por fechas, los números de registro de los documentos presentados, para que en el plazo de 10 días hábiles, comunicara si existían documentos, o partes de documentos, que considerara que no debían facilitarse a la parte reclamada, por concurrir motivos relacionados con el secreto comercial, protección de datos personales u otros.” SÉPTIMO: Con fecha 6 de marzo de 2024 el encargado del tratamiento manifestaba “que en lo que se refiere a su traslado a la parte reclamada, considera mi mandante que no le corresponde a la misma, sino a la AEPD valorar la licitud de dicho traslado y/o, en su caso, la existencia de cualesquiera impedimentos o limitaciones pueda establecer la normativa aplicable”. OCTAVO: Con fecha 16 de abril de 2024 el instructor del procedimiento remitió a la parte reclamada dos escritos: uno, dando traslado a la copia del expediente administrativo de conformidad con lo señalado en el artículo 53.1
  9. a)de la LPCAP y, de forma independiente un segundo en el que se facilita la clave y el hash que le permitirá acceder a la documentación incluida en el soporte físico. NOVENO: Con fecha 29 de abril de 2024 CAIXA POPULAR presentó escrito de alegaciones formulando, en síntesis, las siguientes: 1. Que se acumulen todos los procedimientos

(26)abiertos a las entidades pertenecientes al Grupo Caja Rural por existir intima conexión e identidad sustancial; la ausencia de culpabilidad de la parte reclamada en el presente caso; 2. La afectación de los principios del derecho sancionador como consecuencia de la interpretación efectuada por la AEPD; 3. Inexistencia de vulneración del artículo 32.1 del RGPD; 4. Inexistencia de vulneración del artículo 5.1.
  1. f)del RGPD; I 5. Inexistencia de vulneración del artículo 33 del RGPD; 6. Vulneración del principio de proporcionalidad en la determinación de las sanciones; 7. Que se archiven las actuaciones o se acuerde una sanción de apercibimiento o una minoración significativa de la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/62 DÉCIMO: Con fecha 22 de octubre de 2024, se acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. - Solicitar a la parte reclamada para que aporte documentación acreditativa de que, en su caso, había encargado o dado instrucciones a su encargado del tratamiento para la notificación a la AEPD de la brecha de datos personales objeto del presente expediente sancionador y la acreditación tanto del citado encargo como de los términos contenidos en el mismo y expresión de la fecha del mismo. Con fecha 6 de noviembre de 2024 la parte reclamada dio respuesta a la prueba practicada cuyo contenido obra en el expediente. UNDÉCIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO: Tal y como consta en la escritura de elevación a público de acuerdos sociales otorgada por CAIXA POPULAR, Sociedad Cooperativa de Crédito, con fecha 21 de diciembre de 2009, ante el Sr. Notario del Ilustre Colegio de (…). Se rige por lo dispuesto en sus Estatutos y, en lo no previsto en ellos, por la Ley 13/1989, de 26 de mayo, de Cooperativas de Crédito, sus normas de desarrollo y demás disposiciones que, con carácter general, regulan la actividad de las entidades de crédito, aplicando con carácter supletorio se aplicará la legislación de cooperativas. Asimismo, tal y como disponen en sus Estatutos, goza de personalidad jurídica propia y plena capacidad de obrar. Los Estatutos de Caja Rural de Central se encuentran publicados en su página web: https://www.caixapopular.es/sites/default/files/gobierno%20corporativo/estatutos-caixapopular.pdf C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/62 SEGUNDO: Con fecha 29 de abril de 2024 se presentó por CAIXA POPULAR junto con el escrito de alegaciones al acuerdo de inicio “Acuerdo de modificación de la cláusula de protección de datos de los contratos de prestación de servicios suscrito entre CAIXA POPULAR y Rural Servicios Informáticos, S.L.” de fecha 18 de septiembre de 2018 y firmada en representación de la CAIXA POPULAR por A.A.A., (…). En dicho Acuerdo se especifica: “DE UNA PARTE, CAIXA POPULAR - CAJA RURAL C. C. V. (en adelante, Responsable del Tratamiento), (…). Y DE OTRA PARTE, RURAL SERVICIOS INFORMATICOS, S.L. (en adelante, Encargado del Tratamiento), (…).” En dicho acuerdo se indica que, “El objeto del Acuerdo es establecer el régimen jurídico aplicable al tratamiento de los datos personales que se traten o pudieran tratar por el encargado del tratamiento, en virtud de los contratos de prestación de servicios que se suscriban entre las partes, y que están bajo la titularidad y control del responsable del tratamiento. Los tratamientos de datos previstos son aquellos estrictamente necesarios para la prestación de los servicios prestados en el contrato principal”. En el propio Acuerdo se indica, en el apartado 3 relativo a las Obligaciones del Encargado del Tratamiento, que: “El Encargado del Tratamiento y todo su personal se obliga a:
  2. a)Utilizar los datos personales objeto del tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para otro fin distinto, ya sea propio, o de terceros. Para llevar a cabo cualquier otra actividad que tenga por objeto el tratamiento o utilización de los ficheros de datos del Responsable del Tratamiento, será necesario el consentimiento previo y por escrito del mismo.
  3. b)Tratar los datos de acuerdo con las instrucciones del responsable del Tratamiento. (…) (…)” En cuanto a la notificación de las “violaciones de la seguridad de datos” se especifica en el apartado 3.3 que: “El Encargado del Tratamiento notificará al Responsable del Tratamiento, sin dilación indebida, y en cualquier caso, antes del plazo máximo de 36 horas, y a través del DPD, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la obligación relevante para la documentación y comunicación de la incidencia. (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/62 Añade el apartado 3.4 relativo a las medidas de seguridad que: “El encargado del tratamiento, de acuerdo con lo establecido en el artículo 32 RGPD, aplicará aquellas medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo de tratamiento detectado en cada caso, considerando el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgo de probabilidad y gravedad variables para los derechos de las personas físicas en cada momento. En cualquier caso, deberá implantar mecanismos equivalentes a los utilizados por el Responsable de Tratamiento para: a. Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. b. Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico. c. Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento. d. Seudonimizar y cifrar los datos personales, en su caso. Las medidas técnicas y organizativas a implantar por el Encargado, son las reflejadas en el Anexo B del presente acuerdo -Medidas de Seguridad.” Se autoriza al encargado a subcontratar a las empresas reflejadas en el Anexo A del Acuerdo – Subcontrataciones. El subcontratista, que también tiene la condición de encargado del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en el Acuerdo para el encargado del tratamiento y las instrucciones que dicte el responsable. En cuanto a las obligaciones del responsable del tratamiento se indica en el apartado 4 del Acuerdo: “Corresponde al responsable del tratamiento:
  4. a)“Entregar al Encargado del Tratamiento los datos necesarios para la prestación del servicio.
  5. b)En caso de que legalmente resulte exigible, realizar una evaluación de impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el Encargado del Tratamiento.
  6. c)Realizar las consultas previas que corresponda.
  7. d)Velar, de forma previa y durante todo el tratamiento, por el cumplimiento de RGPD, por parte del Encargado del Tratamiento.
  8. e)Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.” (el subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/62 En el apartado 5 se identifica el DPD del encargado y del responsable del tratamiento respectivamente. Respecto de la CAIXA POPULAR (…): “Identificación RURAL SERVICIOS INFORMATICOS, S.L. Contacto ***EMAIL.1”. Respecto de la RURAL SERVICIOS INFORMATICOS, S.L. (…): “Identificación B.B.B. Contacto ***EMAIL.2”. Dispone el apartado 6 del Acuerdo sobre la “Responsabilidad” que, “Si el Encargado, o en su caso, los contratistas, infringen este Acuerdo o la normativa vigente al determinar los fines y medios del tratamiento, serán considerados responsables del tratamiento con respecto a dicho tratamiento. En caso de que una autoridad de control sancionase al Responsable del Tratamiento como consecuencia directa, de que el Encargado del Tratamiento no haya cumplido las estipulaciones de este Acuerdo, el Encargado indemnizará al Responsable del Tratamiento en lo estipulado en la cláusula de responsabilidad del contrato marco vigente entre las partes” (el subrayado es nuestro) TERCERO: En el “Acuerdo de modificación de la cláusula de protección de datos de los contratos de prestación de servicios”, suscrito entre CAIXA POPULAR y RSI, firmado en Madrid el 18 de septiembre de 2018 consta Anexo B- Medidas de Seguridad al Acuerdo de modificación de la cláusula de protección de datos de los contratos de prestación de servicios, en el que se indica que RSI cuenta con las siguientes certificaciones: (…) Asimismo, en el “Acuerdo de modificación de la cláusula de protección de datos de los contratos de prestación de servicios”, se indica que RSI cuenta con las siguientes medidas: (…) CUARTO: Con fecha 13 de diciembre de 2022 se notificó una brecha de datos personales de CAIXA POPULAR a la División de Innovación Tecnológica de esta Agencia, con número de entrada REGAGE22e00057116958. Esta notificación fue remitida por RSI, encargado de tratamiento de CAIXA POPULAR Adjunta a esta notificación se remite “Informe de análisis de incidencia de seguridad”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/62 Con fecha 11 de enero de 2023, CAIXA POPULAR realizó una notificación adicional a la descrita en el apartado anterior, con número de entrada REGAGE23e00001913854, adjuntando el “Informe de análisis de incidencia de seguridad. Informe final” ( QUINTO: La CAIXA POPULAR contaba con la aplicación de banca electrónica denominada Ruralvía Clásica a los efectos de prestar servicios bancarios on line a sus clientes. La CAIXA POPULAR quiso cambiar esa aplicación a otra nueva de banca electrónica, denominada Nueva Banca Electrónica (NBE). (…) Con fecha 14 de abril de 2023, contestando al requerimiento efectuado por la AEPD, se contesta por RSI que: (…) SEXTO: En relación con el establecimiento de un banner establecido en la aplicación Ruralvía Clásica que enlazaba con la nueva aplicación NBE y su funcionamiento, en el “Informe de Análisis de Incidente de Seguridad”, de fecha 9 de diciembre de 2022, que RSI aportó en relación con la brecha de datos personales de CAIXA POPULAR, se indica: (…) Asimismo, con fecha 14 de abril de 2023, contestando al requerimiento efectuado por la AEPD en el marco de las actuaciones previas de investigación, se contesta por RSI que: (…) RSI, en su escrito de fecha de entrada en la AEPD el 11 de octubre de 2023, Contestación 3 Reclamación AEPD de la entrada REGAGE23e00068900170, indica que, (…) SÉPTIMO: (…) Con fecha 14 de abril de 2023, contestando al requerimiento efectuado por la AEPD en el marco de las actuaciones previas de investigación, se contesta por RSI que, (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/62 Con fecha 14 de abril de 2023, contestando al requerimiento efectuado por la AEPD en el marco de las actuaciones previas de investigación, se aportó un documento 9 denominado “Auditoría de aplicación web” en la que se indica que (…). OCTAVO: (…) NOVENO: En cuanto cómo se ha producido la brecha de datos personales, con fecha 14 de abril de 2023, RURALVÍA, en respuesta al requerimiento de información formulado por esta Agencia, afirma lo siguiente, (…) Asimismo, en el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, que RSI aportó en relación con la brecha de datos personales de CAIXA POPULAR, se indica en el epígrafe 1.4.2, ¿Cómo se detectó el problema o cómo ha sucedido?, que: (…) DÉCIMO: Asimismo, en el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, que RSI aportó en relación con la brecha de datos personales de CAIXA POPULAR, en el epígrafe 1.4.1, “¿Qué ha sucedido?”, se explica que se produce la brecha de datos personales (…), indicando que: (…) DÉCIMO PRIMERO: Respecto del patrón de ataque utilizado por el ciberdelincuente, con fecha 14 de abril de 2023, contestando al requerimiento efectuado por la AEPD en el marco de las actuaciones previas de investigación por RSI, se indica que, (…) Idéntica previsión se contiene en el apartado 1.4.2. del “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, que RSI aportó en relación con la brecha de datos personales de CAIXA POPULAR DÉCIMO SEGUNDO: Respecto de las causas que permitieron la brecha de datos personales, en el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, que RSI aportó en relación con la brecha de datos personales de CAIXA POPULAR, se indica, en el epígrafe 3, “Análisis de causas”, que: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/62 DÉCIMO TERCERO: En respuesta al requerimiento de información formulado por la AEPD en el marco de las actuaciones previas de investigación, RSI contesta el 26 de mayo de 2023 aportando como documento 8 un correo electrónico de 28 de septiembre de 2022, antes de producirse el mayor volumen de accesos (entre el 10 de noviembre y el 23 del mismo mes) y detectarse la brecha de datos personales, enviado por (…). En idéntico sentido, como se ha indicado, con fecha 14 de abril de 2023, contestando al requerimiento efectuado por la AEPD en el marco de las actuaciones previas de investigación, se contesta por RSI que, (…) Con fecha 14 de abril de 2023, contestando al requerimiento efectuado por la AEPD en el marco de las actuaciones previas de investigación, se aportó un documento 9 denominado “Auditoría de aplicación web”, en el que se indicaba que, (…) DÉCIMO CUARTO: Con fecha 14 de abril de 2023, contestando al requerimiento efectuado por la AEPD en el marco de las actuaciones previas de investigación, se aportó un documento 9 denominado “Auditoría de aplicación web”, en la que se examinaba ***HERRRAMIENTA.1. (…) DÉCIMO QUINTO: En cuanto a la detección de la brecha de datos personales, en el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, que RSI aportó en relación con la brecha de datos personales de CAIXA POPULAR, se indica en el epígrafe 1.4.1, “¿Qué ha sucedido?”, que: (…) Por tanto, si bien la brecha se detecta el 7 de diciembre de 2022, se constatan accesos anteriores a dicha fecha, constando que el mayor volumen de accesos se produce entre el 10 de noviembre y el 23 de noviembre de 2022. Respecto de las medidas adoptadas el 23 de noviembre de 2022, el documento precitado indica que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/62 (…) Por lo tanto, dichas medidas se adoptan antes de que se detectara la brecha de datos personales (el 7 de diciembre de 2022) y como consecuencia de las actuaciones para incrementar la seguridad de la banca electrónica. DÉCIMO SEXTO: En cuanto a las medidas mitigadoras aplicadas tras la brecha de datos personales, en el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, que RSI aportó en relación con la brecha de datos personales de CAIXA POPULAR, señala que, (…) DÉCIMO SÉPTIMO: Con posterioridad, en el marco de la definitiva implantación de la nueva aplicación NBE se llevan a cabo una serie de acciones, constando en el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, que RSI aportó en relación con la brecha de datos personales de CAIXA POPULAR, “Además de las acciones detalladas en el punto 2, a lo largo del mes de febrero del 2023 se implantarán las siguientes: (…) DÉCIMO OCTAVO: Respecto de los datos personales a los que se había tenido acceso por el atacante, en el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, que RSI aportó en relación con la brecha de datos personales de CAIXA POPULAR, se indican cuáles son los datos personales a los que se habría accedido, (…) DÉCIMO NOVENO: Los formularios de notificación de la brecha que se acompañan del Informe de Incidencia de Seguridad elaborado en todos los casos por RURAL SERVICIOS INFORMÁTICOS, S.L., encargado del tratamiento, tal y como consta en el informe de actuaciones previas de investigación de 27 de noviembre de 2023, determinan que el número de afectados por la brecha de datos personales de la CAIXA POPULAR es (…). VIGÉSIMO: Durante el período de práctica de la prueba a que se refiere el Antecedente de Hecho Décimo, CAIXA POPULAR aportó correo electrónico de haber dado instrucciones al encargado del tratamiento (RSI), con relación a la notificación de la brecha a la AEPD: “(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/62 Buenos días C.C.C., Por nuestra parte preferimos que como encargados del tratamiento en nombre de la Entidad realicéis la comunicación pertinente y luego nos lo remitáis a nosotros para poder tener constancia de ello. . (…)” VIGÉSIMO PRIMERO: De acuerdo con la diligencia de fecha 19 de enero de 2024 obrante en el expediente, el volumen de negocio (margen bruto) de CAIXA POPULAR durante el ejercicio de 2022 asciende a 73 millones de euros. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Previas A continuación, se detalla la relación de los conceptos jurídicos relevantes para esta Propuesta de Resolución, de conformidad con las definiciones del artículo 4 del RGPD (se subrayan las partes relevantes): “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: (…) 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/62 cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; (…) 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; El tratamiento ha consistido en este caso en un conjunto de operaciones para la extracción y consulta de los datos personales de los interesados. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; La persona jurídica que determina los fines y medios del tratamiento es CAIXA POPULAR, como prestador de servicios bancarios y los interesados son este caso los clientes que están vinculados con la entidad bancaria mediante un contrato. CAIXA POPULAR recaba los datos de los clientes y decide sobre los fines y medios del conjunto de operaciones realizadas sobre datos personales por procedimientos automatizados. 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; (…) CAIXA POPULAR ha encargado a RURALVÍA S.L., mediante contrato de fecha 18 de septiembre de 2018 la ejecución de las medidas de seguridad necesarias para el conjunto de operaciones automatizadas para el tratamiento de los datos personales de los clientes, en el marco de sus contratos de servicios bancarios. 12) «violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos; Se ha producido una violación de la seguridad de los datos personales, por el acceso no autorizado de un tercero (un hacker) a los datos personales de los clientes de CAIXA POPULAR. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/62 La entidad realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y los medios relacionados con el tratamiento de los datos de carácter personal, en virtud del artículo 4.7 del RGPD. De modo que, si decide el “por qué” y el “como” deberán tratarse los datos personales, debe asumir su responsabilidad. Además, el responsable del tratamiento se debe encargar también de aplicar las medidas técnicas y organizativas que garanticen la seguridad de los datos personales al llevar a cabo el tratamiento. Y ser capaz de demostrar el cumplimiento RGPD y de la LOPDGDD. En el presente caso, consta un incidente de seguridad, categorizado como una brecha de datos personales, habiéndose producido un acceso indebido a datos de carácter personal. Hay que señalar que la identificación de una brecha de datos personales no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. Entre los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.f). Por su parte, la seguridad de los datos personales viene regulada en los artículos 32 y 33 del RGPD, que reglamentan la seguridad del tratamiento, la notificación a la autoridad de control, así como la comunicación al interesado, respectivamente. Como se señalaba con anterioridad, se presume que el responsable del tratamiento es la entidad que tiene la verdadera capacidad para ejercer el control sobre los datos, quien determina el por qué y el cómo deberán tratarse los datos. III Descripción de la brecha de datos personales La CAIXA POPULAR contaba con la aplicación de banca electrónica denominada Ruralvía Clásica a los efectos de prestar servicios bancarios on line a sus clientes. Para que un cliente entrara en la aplicación Ruralvía Clásica y abriera sesión necesitaba introducir su identificador, su contraseña y su NIF. (…) IV Infracción del artículo 5.1.
  9. f)del RGPD. El artículo 5.1.
  10. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/62 (…)
  11. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” (…)” Los hechos puestos de manifiesto en este procedimiento son constitutivos de una brecha de datos personales consistente en una pérdida de confidencialidad de los datos personales, considerando que se ha vulnerado la normativa en materia de protección de datos de carácter personal. Los presentes hechos tienen como reclamado al responsable del tratamiento, CAIXA POPULAR, tal y como se determina en los hechos probados. Así, tal y como consta en el hecho probado décimo séptimo, respecto de los datos personales a los que se había tenido acceso por el atacante, en el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, indica que, (…) Si bien la brecha de datos personales se detecta el 7 de diciembre de 2022, se constatan accesos anteriores a dicha fecha, constando que el mayor volumen de accesos se produce entre el 10 de noviembre y el 23 de noviembre de 2022. En este sentido, en el citado informe de 30 de diciembre de 2022, tal y como consta en el hecho probado octavo y décimo cuarto, se indica en el epígrafe 1.4.2, ¿Cómo se detectó el problema o cómo ha sucedido?, que: “Tras la extracción y análisis de los registros de actividad de los clientes de banca electrónica se identifica que el posible acceso indebido a los datos de clientes se produce principalmente entre el día 10 y el día 23 de noviembre”. (el subrayado es nuestro). El atacante pudo tener acceso a esos datos personales de los clientes de CAIXA POPULAR en atención a la falta de medidas técnicas y organizativas apropiadas previas a la producción de la brecha de datos personales. En primer término, se ha de significar que, tal y como consta en el hecho privado decimo primero, respecto de las causas que permitieron la brecha de datos personales, en el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, en el epígrafe 3, “Análisis de causas”, que: (…) En segundo término, en el hecho probado décimo quinto se recogen las medidas mitigadoras implantadas que ponen de manifiesto la ausencia de medidas técnicas y organizativas apropiadas para impedir la producción de la brecha, destacando, a tales efectos, (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/62 En conclusión y conforme a todo lo indicado, ha quedado constatado que la vulneración del principio de confidencialidad que efectivamente se produjo, pues el atacante ha accedido a múltiples datos personales (…) de la CAIXA POPULAR, fue posible en atención a la falta de medidas técnicas y organizativas apropiadas puestas de manifiesto por las vulnerabilidades antedichas. La documentación obrante en el expediente ofrece indicios evidentes de que CAIXA POPULAR, vulneró el artículo 5.1.
  12. f)del RGPD, “Principios relativos al tratamiento”, al no garantizar debidamente la confidencialidad e integridad de los datos de carácter personal como consecuencia de la quiebra de seguridad producida. De conformidad con las evidencias de las que se dispone en esta propuesta de resolución del procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a CAIXA POPULAR, por vulneración del artículo 5.1.
  13. f)del RGPD. V Tipificación por la infracción del artículo 5.1.
  14. f)del RGPD La citada infracción del artículo 5.1.
  15. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5
  16. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  17. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/62 VI Propuesta de sanción por la infracción del artículo 5.1.
  18. f)del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  19. a)a
  20. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  21. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  22. b)la intencionalidad o negligencia en la infracción;
  23. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  24. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  25. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  26. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  27. g)las categorías de los datos de carácter personal afectados por la infracción;
  28. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  29. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  30. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  31. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  32. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  33. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  34. a)El carácter continuado de la infracción.
  35. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/62
  36. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  37. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  38. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  39. f)La afectación a los derechos de los menores.
  40. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  41. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción del artículo 5.1.
  42. f)del RGPD, tipificada en el artículo 83.5.
  43. a)del RGPD de la que se responsabiliza a CAIXA POPULAR, se estiman concurrentes los siguientes factores:  La naturaleza, gravedad y duración de la infracción; los hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de la confidencialidad e integridad de los mismos, que la norma sanciona con la mayor gravedad al posibilitarse, como consecuencia de la brecha de datos personales, el acceso a los datos de carácter personal por terceros no autorizados con los perjuicios que ello puede conllevar.  El número de interesados afectados: es muy elevado (…). Además, (…) disponen de acuerdo de Banca Electrónica, lo que les colocaba en una posición de especial afectación al poder acceder el atacante a la consulta de sus datos económicos.  En cuanto al nivel de daños y perjuicios causados: debe ser considerado alto pues a los datos de carácter personal (…), hay que añadir datos de tipo económico y financiero puesto que los usuarios que disponían de acuerdo de Banca Electrónica se habría posibilitado el tener acceso a este tipo de datos (…). Adicionalmente debe señalarse que esta situación posibilita con el acceso a los datos, y con ello se puede producir la materialización del riesgo de suplantación de identidad, entre otros (artículo 83.2.
  44. a)del RGPD).  La intencionalidad o negligencia en la infracción. Se observa falta de diligencia en el cumplimiento de las obligaciones que le impone la normativa de protección de datos, al posibilitar el acceso por ciber-delincuente a los datos de carácter personal vulnerando su confidencialidad; en este sentido puede citarse la SAN de 17/10/2007, que si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/62 caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  45. b)del RGPD).  La actividad de la entidad presuntamente infractora se encuentra vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado su objeto y volumen de negocio la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  46. b)de la LOPDGDD en relación con el artículo 83.2.k). A efectos de decidir sobre la proposición de la multa y su cuantía, de conformidad con las evidencias de que se dispone, teniendo en cuenta los criterios del artículo 83.2 del RGPD con respecto a la infracción cometida, vulneración del artículo 5.1.
  47. f)del RGPD, se considera proponer una sanción de 35.000 euros. VII Infracción del artículo 32.1 del RGPD El artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  48. a)la seudonimización y el cifrado de datos personales;
  49. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  50. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  51. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/62 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Revisadas las alegaciones formuladas por la parte reclamada, y en atención a las mismas, revisada la documentación obrante en el expediente administrativo y la aportada por la parte reclamada, se evidencia que todas las medidas técnicas y organizativas de seguridad cuya ausencia ha quedado probada, posibilitando directamente la brecha de datos personales, sin que se haya producido una conculcación, en el caso concreto, del artículo 32 del RGPD a no haberse acreditado la ausencia de otras medidas técnicas y organizativas de seguridad independientes de la brecha de datos personales. VIII Infracción del artículo 33 del RGPD El artículo 33 del RGPD, “Notificación de una violación de la seguridad de los datos personales a la autoridad de control”, establece que, “1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación. 2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento. 3. La notificación contemplada en el apartado 1 deberá, como mínimo:
  52. a)describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
  53. b)comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
  54. c)describir las posibles consecuencias de la violación de la seguridad de los datos personales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/62
  55. d)describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. 4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. 5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo”. Con fecha 22 de octubre de 2024, se acordó abrir periodo de práctica de pruebas en cuyo punto 3: Se acuerda requerir a CAIXA POPULAR, para que aporte la información y/o documentación siguiente: “Aportar documentación acreditativa de que, en su caso, había encargado o dado instrucciones a su encargado del tratamiento para la notificación a la AEPD de la brecha de datos personales objeto del presente expediente sancionador (art 33 RGPD). Acreditación tanto del encargo como de los términos de este y de su fecha. El resultado de estas pruebas podrá dar lugar a la realización de otras. En su respuesta deberá indicar la referencia del expediente que consta en el encabezamiento de este documento”. La parte reclamada ha aportado en respuesta a dicho requerimiento el día 6 de noviembre, los siguientes documentos: Documento número 1: Correo electrónico de fecha 13 de diciembre de 2022, donde RSI, en su condición de encargado del tratamiento de CAIXA POPULAR comunicó a la misma el incidente de seguridad, indicando que estaban preparando un informe al respecto, indicando próximos pasos (notificación a la AEPD y comunicación a los interesados) y solicitando la validación por parte de CAIXA POPULAR como responsable del tratamiento. Documento número 2: Correo electrónico remitido desde CAIXA POPULAR a RSI con el siguiente contenido: “(…) Buenos días C.C.C., Por nuestra parte preferimos que como encargados del tratamiento en nombre de la Entidad realicéis la comunicación pertinente y luego nos lo remitáis a nosotros para poder tener constancia de ello. . (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/62 Analizada la documentación presentada por CAIXA POPULAR a que se refiere el Hecho Probado vigésimo, RSI (declaración responsable en documento privado por el máximo responsable de la entidad, sobre la base de solicitud de instrucciones previas por parte del encargado del tratamiento y con la actuación inmediatamente posterior de notificación de la brecha de datos personales a la AEPD) se determina que la parte reclamada ha aportado en respuesta a la práctica de prueba realizada por esta Agencia de fecha 22 de octubre de 2024 sobre la acreditación de las instrucciones facilitadas a su encargado del tratamiento, para que procediera a la notificación en su nombre ante la AEPD de la brecha de datos personales objeto de citado procedimiento, conforme al 33 del Reglamento(UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante “RGPD”). Por todo lo cual, se ha de concluir, que, tras el análisis de los hechos investigados, las alegaciones formuladas por la parte reclamada y de las pruebas aportadas en el procedimiento, en atención a las circunstancias concurrentes en el caso concreto, procedería el archivo de la infracción imputada en relación con el artículo 33 del RGPD. IX Contestación a las alegaciones formuladas respecto del acuerdo de inicio Con relación a las alegaciones aducidas por CAIXA POPULAR al acuerdo de inicio, se procede a dar respuesta a las mismas según el orden en que se exponen en su escrito: “PRIMERA. SOBRE LA ACUMULACION DE LOS PROCEDIMIENTOS A LAS ENTIDADES DEL GRUPO.” 1. Consideraciones previas Según CAIXA POPULAR: “La totalidad de los acuerdos de inicio en los expedientes que acaban de referenciarse traen causa, como se ha indicado de la brecha de seguridad analizada por el Acuerdo de Inicio” y, posteriormente afirma que “nos encontramos ante un solo hecho, referido a una única brecha, sufrida con ocasión del desarrollo de la precitada herramienta llevado a cabo por RSI en su condición de encargada del tratamiento y que, sin embrago es fragmentada por la AEPD en veintiséis procedimientos diferenciados tramitados contra veintiséis entidades distintas” En respuesta a estas consideraciones previas cabe señalar que desde la parte reclamada se confunde que los factores que determinaron la vulnerabilidad sean similares en todos los procedimientos iniciados por esta Agencia con que tan sólo se ha producido una sola brecha de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/62 Nos encontramos ante unos incidentes que han afectado a (…) que son completamente independientes, tanto jurídica como económicamente. Cada una de estas entidades son responsables de los tratamientos de datos de sus clientes de forma diferenciada, y, en consecuencia, existen tantas brechas de seguridad datos personales como responsables de tratamiento de datos han incumplido las obligaciones impuestas por el RGPD. Cada entidad es responsable del tratamiento de sus propios tratamientos y respecto de sus propios clientes. Todas las entidades a que se refiere la parte reclamada en su escrito de alegaciones habían contratado con RSI, (…). Sin embargo, que RSI fuera el mismo encargado del tratamiento de todas las Entidades, no determina que pueda hablarse de “un solo hecho, referido a una única brecha”. Cada entidad, como responsable de tratamiento de sus clientes, adoptó autónomamente la decisión de contratar con RSI como encargado de tratamiento, para lo cual cada una de ellas firmó su propio contrato de encargo de tratamiento, en fechas diferenciadas, suscritos por personas distintas con poder suficiente para ello en cada una de las Cajas rurales y con cita a sus distintos delegados de protección de datos, que no son coincidentes. A mayor abundamiento, tal y como consta también en los hechos probados, tanto el “Informe de Análisis de Incidente de Seguridad”, de fecha 9 de diciembre de 2022, como el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, se ha realizado de manera individualizada para cada una de las cajas rurales, conteniendo sus especificidades propias. Asimismo, ya producida la brecha de datos personales, las actuaciones de cada una de las entidades no ha sido la misma, actuando cada una de ellas de forma autónoma, tanto respecto de la AEPD (algunas cajas han notificado la brecha de datos personales directamente y otras han encomendado a su encargado de tratamiento que lo llevaran a cabo), como de sus respectivos clientes e independiente de la actuación del resto. 2. De la acumulación de expedientes procedimientos en el ámbito administrativo. En esta alegación, la parte reclamada considera que: “El régimen jurídico de la acumulación de procedimientos, como de los procesos, en el ámbito administrativo responde a la idea central de la conectividad, esto es, que la labor de instrucción que debe realizarse se vea favorecida por la apreciación en su conjunto del tema planteado y la posibilidad de que la labor de visionado conjunto permita una mejor valoración de los elementos que permiten la aplicación al caso concreto de la norma”. El artículo 57 de la LPACAP sobre la acumulación de procedimientos establece que: “El órgano administrativo que inicie o tramite un procedimiento, cualquiera que haya sido la forma de su iniciación, podrá disponer, de oficio o a instancia de parte, su acumulación a otros con los que guarde identidad sustancial o íntima conexión, siempre que sea el mismo órgano quien deba tramitar y resolver el procedimiento. Contra el acuerdo de acumulación no procederá recurso alguno”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/62 En consecuencia, tanto el órgano administrativo que inicie el procedimiento como el que lo tramite pueden disponer su acumulación a otros procedimientos con los que guarde identidad sustancial o íntima conexión, siempre que sea el mismo órgano quien deba tramitar y resolver el procedimiento. El artículo 57 de la LPACAP confiere a los órganos administrativos una facultad para la mejor gestión de los procedimientos que tramitan, permitiendo su acumulación siempre que guarden, entre ellos, identidad sustancial o íntima conexión. Por tanto, es una posibilidad que tiene la Administración, no estando obligada a proceder a la acumulación en caso de ser solicitada, aunque sí a decidir motivadamente al respecto, como acontece en el presente procedimiento sancionador. 3. De la respuesta a la alegación pretendiendo la acumulación de procedimientos sancionadores. En esta alegación, la parte reclamada considera que: “El régimen jurídico de la acumulación de procedimientos, como de los procesos, en el ámbito administrativo responde a la idea central de la conectividad, esto es, que la labor de instrucción que debe realizarse se vea favorecida por la apreciación en su conjunto del tema planteado y la posibilidad de que la labor de visionado conjunto permita una mejor valoración de los elementos que permiten la aplicación al caso concreto de la norma”. Cabe responder que las afirmaciones de la parte reclamada no se ven respaldadas por ni por el artículo 57 de la LPACAP, ni por ningún tipo de jurisprudencia o doctrina, en las que se atribuya a la acumulación la finalidad de aportar al órgano decisorio una mejor valoración de los elementos del caso. La institución de la acumulación es una técnica de simplificación administrativa que permite al órgano que sea competente para tramitar y resolver en un procedimiento principal, la posibilidad de acumular con aquellos otros con los que guarde identidad sustancial o íntima conexión, a efectos de una tramitación y resolución simultánea. El carácter instrumental de la acumulación se determina por el primer límite que establece el artículo 57 de la LPACAP, y es que el órgano “sea el mismo órgano quien deba tramitar y resolver el procedimiento”. Se trata de un acto de trámite, que no puede ser recurrido, ya que así lo establece el propio artículo 57 de la LPACAP, a diferencia de lo establecido en el artículo 112.1 de la propia norma, que sí permite la impugnación de otros actos de trámite cuando estos “deciden directa o indirectamente el fondo del asunto, determinan la imposibilidad de continuar el procedimiento, producen indefensión o perjuicio irreparable a derechos e intereses legítimos”. Sin embargo, cuando la LPACAP excluye la posibilidad de recurso es porque es aplicable a la acumulación de procedimientos, como acto de trámite, ninguno de los supuestos del artículo 112.1 de la LPACAP que acabamos de reproducir. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/62 Con estos razonamientos como punto de partida, debe descartarse por completo las alegaciones que la parte reclamada realiza a continuación, a las que también se les dará una respuesta concreta. A) Existencia de "íntima conexión" o "identidad sustancial". La parte reclamada reitera la idea a que se refiere en las consideraciones previas de esta alegación PRIMERA, se produjo “una única brecha de seguridad de los datos personales, notificada por cada uno de los responsables (directamente o por medio de su encargado del tratamiento RSI”. Continúa afirmando que “La conectividad, en el presente supuesto, deriva, por tanto, de que se trata de depurar responsabilidad a veintiséis personas jurídicas, pero por un mismo hecho” Como ya se fundamentó en la respuesta a las consideraciones previas de esta alegación PRIMERA, no puede hablarse de una única brecha de datos personales, sino que se han producido tantas brechas de datos personales como entidades, todas ellas independientes entre sí, cada una de ellas responsable de sus propios tratamientos y respecto de sus propios clientes, cuyo sistema ha sido sufrido una quiebra de seguridad. Para la parte reclamada, existe un único hecho sobre el cual pueden exigirse responsabilidades, el incidente de seguridad en materia informática. Sin embargo, más allá de la propia brecha de datos personales, se ha producido la pérdida de la confidencialidad de los datos personales de los clientes de cada una de las entidades, lo que no puede englobarse como un solo hecho ni como el mismo hecho. Del mismo modo, debe diferenciarse los hechos relativos a la actuación posterior al conocimiento de la quiebra de seguridad por cada una de las entidades. Algunas entidades notificaron directamente a la AEPD la brecha, mientras que en otras la comunicación se produjo por el encargado de tratamiento por mandato de cada uno de los responsables del tratamiento (de distinta forma y en distintos momentos). Por último, algunas entidades comunicaron la pérdida de la confidencialidad de sus datos personales a los afectados, cumpliendo con la obligación establecida en el artículo 34 del RGPD y, otras entidades no enviaron ningún tipo de comunicación. Todos elementos fácticos diversas determinan que no puede hablarse de que, más allá de la misma vulnerabilidad informática, exista una “íntima conexión" o "identidad sustancial” que justifique la acumulación de los procedimientos. Respecto a la sentencia del TSJ Castilla-La Mancha que se cita en las alegaciones, cabe realizar las siguientes precisiones: 1) No hay un cumplimiento de una obligación por varias personas conjuntamente, por lo que no concurre el supuesto del art 28.3 Ley 40/15. Según el artículo 28.3 de la Ley 40/2015, de 1 de octubre: “Cuando el cumplimiento de una obligación establecida por una norma con rango de Ley corresponda a varias personas conjuntamente, responderán de forma solidaria de las infracciones que, en su caso, se cometan y de las sanciones que se impongan. No obstante, cuando la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/62 sanción sea pecuniaria y sea posible se individualizará en la resolución en función del grado de participación de cada responsable”. En el presente caso no cabe hablar de la existencia de una responsabilidad solidaria, al no tratarse de una obligación conjunta de CAIXA POPULAR con las otras entidades a que se refiere en su escrito de alegación. Los hechos constitutivos de infracción que se le imputan a CAIXA POPULAR lo son en su condición de responsable del tratamiento, de conformidad con lo dispuesto en el artículo 4 del RGPD, por lo que el cumplimiento de los principios y obligaciones establecidos en el RGPD y respecto de los tratamientos de datos de sus clientes le corresponden individualmente, no de forma solidaria con las otras entidades, ya que, además, no existe responsabilidad solidaria en el RGPD. Hay que significar, además, que la multa impuesta a cada entidad depende de sus propias circunstancias como el número de clientes afectados o su volumen de negocios. Tampoco sería aplicable en este caso la figura de corresponsables del tratamiento, regulada en el artículo 26 del RGPD, “cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento”. Los objetivos y los medios del tratamiento han sido determinados por CAIXA POPULAR de forma independiente a las demás entidades, en su condición de único responsable del tratamiento de los datos personales de los datos de sus clientes. Por último, tampoco concurre en CAIXA POPULAR con relación a las demás entidades, el supuesto que se describe en la sentencia, en el que “la Administración imputa distintas formas de cooperación o connivencia entre los tres imputados en relación con los mismos hechos”. Aquí no puede hablarse de ningún tipo de cooperación o connivencia en los hechos, simplemente la responsabilidad de cada una de las Cajas Rurales, y de la relación con el encargado de tratamiento, debido al régimen establecido en el RGPD, según el cual el responsable, en este caso, cada una de las Cajas rurales, tiene el control y la autoridad sobre el tratamiento de datos personales y asume la responsabilidad por el cumplimiento de las obligaciones impuestas por el RGPD. Por su parte, el encargado del tratamiento (RSI), solo debe procesar los datos de acuerdo con las instrucciones recibidas del responsable. No puede determinar los fines y los medios del tratamiento; su función es ejecutar el tratamiento conforme a lo establecido por el responsable. 2) La tramitación por separado de los expedientes no impide que cada entidad pueda presentar sus alegaciones. En la sentencia del TSJ de Castilla La Mancha a que se refiere CAIXA POPULAR, en el Fundamento de Derecho Tercero, se dice que el actor solicitó que se acumulasen todos los procedimientos para poder ejercer adecuadamente el derecho de defensa, “…pues se referían a los mismos hechos, y se advertía expresamente de que tramitarlos por separado suponía una grave vulneración del derecho de defensa pues se impedía conocerlas alegaciones del resto de implicados y los documentos que en su caso aportasen, todo lo cual podía tener trascendencia para la calificación jurídica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/62 de los hechos, la determinación de la existencia o no de infracción y del responsable de la misma.” La no acumulación de procedimientos no puede producir ninguno de los perjuicios recogidos en dicho párrafo de la sentencia. Respecto a los documentos que sean aportados al procedimiento, aquellos que se refieren al incidente de seguridad, en las actuaciones de investigación se aportaron una serie de documentos por el encargado de tratamiento (recordemos que tanto el “Informe de Análisis de Incidente de Seguridad”, de fecha 9 de diciembre de 2022, como el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, se ha realizado de manera individualizada para cada una de las cajas rurales, conteniendo sus especificidades propias) cuyo acceso a la entidad afectada se ha garantizado mediante el envío, previa solicitud, de la copia del expediente. Aquellos documentos que sean aportados por las entidades responsables del tratamiento, que les afecten individualmente serán tomados a consideración en el procedimiento correspondiente. 3) CAIXA POPULAR reitera la necesidad del “análisis acumulado de los expedientes”, cuando la sentencia del TSJ de Castilla La Mancha no recoge esta idea. La necesidad de acumulación se basa en otras consideraciones a las expresadas por CAIXA POPULAR Como hemos analizado: - Se hace referencia al acceso de los documentos obrantes en el expediente que puedan ser aportados por distintos responsables, cuestión que aquí vemos que queda garantizada. - Se menciona la posibilidad de fijar una responsabilidad solidaria, que, como hemos fundamentado, no se aplica en el régimen establecido en el RGPD. No debemos confundir responsabilidad solidaria del artículo 28 de la LRJSP con la corresponsabilidad del artículo 26 del RGPD, que tampoco aplica en este caso, ya que, como dijimos en ningún caso las demás Cajas Rurales son corresponsables de los tratamientos de los datos de los clientes de las demás entidades. - No existe ningún tipo de cooperación ni connivencia de las distintas Cajas Rurales en los hechos. Estas figuras deben descartarse por la relación entre las Cajas Rurales, que son entidades independientes y cada una de ellas responsables de los tratamientos de sus clientes, ni, como hemos dicho anteriormente, en cuanto al régimen especial que fija el RGPD de la relación responsable-encargado del tratamiento. B) Que le corresponda al mismo órgano la tramitación y resolución del procedimiento. La tramitación de los diversos procedimientos sancionadores corresponde al mismo órgano, tal y como señala CAIXA POPULAR, lo que no determina el carácter preceptivo de la decisión de acumular los procedimientos, máxime cuando no concurre ninguna circunstancia que suponga la indefensión de CAIXA POPULAR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/62 4. La conectividad en el ámbito sancionador con las garantías de los artículos 24 y 25.1 de la Constitución española. En esta alegación CAIXA POPULAR señala que el Tribunal Constitucional ha declarado que tanto los principios sustantivos del artículo 25.1 CE como las garantías procedimentales del artículo 24.2 CE son aplicables, con ciertos matices, al ejercicio de la potestad sancionadora. 4.1. Aspectos generales ligados a la instrucción y la funcionalidad esencial de la misma. A) Vinculación de la instrucción como consecuencia de la unidad fáctica. CAIXA POPULAR cita una sentencia del Tribunal Supremo, en la que se dice que “la iniciación de un único procedimiento sancionador por la comisión de un mismo hecho infractor, con el objeto de determinar el grado de participación de cada presunto responsable en la comisión de la infracción y procurar que la resolución del expediente sea coherente …” Según CAIXA POPULAR “En dicho supuesto, el recurrente alegaba que, al haberse tramitado dos expedientes, cada uno de los responsables era desconocedor de lo que había en el otro que pudiera beneficiarle o perjudicarle. Es un ejemplo concreto de las dificultades que, en el plano del derecho de defensa, se plantea en los supuestos de tramitación separada”. Como ya se ha justificado anteriormente, hay tantas brechas de datos personales como responsables del tratamiento y no podemos hablar de un mismo hecho infractor, sino de una serie de hechos infractores atribuibles a una serie de entidades independientes entre sí, respecto de los tratamientos de los que son responsables, respecto de sus clientes; ni tampoco puede hablarse de “grado de participación” entre las diversas entidades, ni en cuanto a la relación responsable-encargado de tratamiento. Respecto a los documentos que sean aportados al procedimiento, aquellos que se refieren al incidente de seguridad, en las actuaciones de investigación se aportaron una serie de documentos por el encargado de tratamiento, cuyo acceso a todas las entidades afectadas se ha garantizado mediante el envío, previa solicitud, de la copia del expediente. Y todo ello amén de que se aportó por RSI el “Informe de Análisis de Incidente de Seguridad”, de fecha 9 de diciembre de 2022, como el “Informe de Análisis de Incidente de Seguridad Informe Final”, de fecha 30 de diciembre de 2022, de manera individualizada para cada una de las cajas rurales, conteniendo sus especificidades propias. Aquellos documentos que sean aportados por las entidades responsables del tratamiento, que les afecten individualmente serán tomados a consideración en el procedimiento correspondiente. Y, aquellos otros que pudieran constituir una prueba que tuvieran relevancia sobre los hechos, serán debidamente incorporados a los demás expedientes de oficio, de acuerdo con lo dispuesto en el artículo 75 de la LPACAP, “los actos de instrucción necesarios para la determinación, conocimiento y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/62 comprobación de los hechos en virtud de los cuales deba pronunciarse la resolución, se realizarán de oficio”. B) La conectividad como presupuesto fundamental para el ejercicio del derecho de defensa. Según CAIXA POPULAR, cada uno de los procedimientos sancionadores se vuelven “estancos” y que las pruebas, las alegaciones, las pericias que se realizan en uno no se pueden presentar, de forma contradictoria. Sin embargo, un párrafo de la sentencia transcrita por CAIXA POPULAR es plenamente aplicable para contestar a la presente alegación: ”no se precisa en qué medida se había «perjudicado su defensa»”, y para rechazarla, del mismo modo que la STS entiende “que es acertada la decisión del Tribunal de instancia, que considera que está justificada la incoación de expedientes sancionadores a cada una de las empresas… debido a la clara diferenciación de las conductas imputadas y no haberse demostrado que se le hubiera producido indefensión real -según se razona en la sentencia impugnada.” El Tribunal Constitucional en su sentencia n.º 210/1999, de 29 de noviembre, señala que la indefensión constitucionalmente relevante es la situación en que, tras la infracción de una norma procesal, se impide a alguna de las partes el derecho la defensa eliminando o limitando su potestad, bien de alegar derechos e intereses para que le sean reconocidos, o bien de replicar dialécticamente las posiciones contrarias en el ejercicio del principio de contratación. Como característica esencial de la indefensión es que esta deberá tener carácter material y no meramente formal, es decir, no es suficiente con la existencia de un defecto o infracción procesal, sino que debe haberse producido un efectivo y real derecho de defensa (sentencia del Tribunal Constitucional n.º 90/1988, de 13 de mayo). Pues bien, más allá de una alegación genérica a la eventual indefensión que podría producirse por la no acumulación de los procedimientos, CAIXA POPULAR no es capaz de esgrimir un solo defecto o infracción procesal que haya limitado su derecho a la defensa de manera efectiva, cuando las alegaciones presentadas por las Cajas Rurales afectadas por el incidente de seguridad son sustancialmente similares, y han tenido acceso a toda la documentación que les afecta de forma común. En todo caso, el órgano instructor incorporará al procedimiento y pondrá en conocimiento de CAIXA POPULAR, aquellos otros documentos que pudieran constituir una prueba que tuvieran relevancia sobre los hechos. 4.2.- La intima conexión como una exigencia para la individualización de la responsabilidad por los mismos hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/62 Sostiene CAIXA POPULAR que, debido a que nos encontramos ante una única brecha de datos personales, al tramitarse procedimientos separados para cada una de las entidades responsables, puede derivar, eventualmente, en la determinación de responsabilidades diversas. La íntima conexión se traduce en el principio de unicidad en la determinación de la concurrencia de los hechos cuando, como alega CAIXA POPULAR, se trata de unos únicos hechos que se traducen en una única brecha de datos personales. Como ya se ha motivado anteriormente, no cabe hablar de una única brecha de datos personales, sino que de tantas como responsables de tratamiento han sufrido el incidente de seguridad respecto a los datos de sus clientes. No pueden existir diversos grados de responsabilidad entre CAIXA POPULAR y las demás entidades. Cada uno de los responsables de tratamiento tendrá un grado de responsabilidad que debe determinarse individualmente respecto al cumplimiento de la normativa de protección de datos, sin que exista ningún tipo de cooperación en la comisión de la infracción entre las distintas Cajas Rurales que pueda determinar distintos grados de responsabilidad entre las entidades, como afirma CAIXA POPULAR Continúan los razonamientos de CAIXA POPULAR diciendo que “no se puede individualizar la responsabilidad sin que previamente se objetivice el reproche sancionador y éste no puede proyectarse en 26 procedimientos con su propia dinámica, su propia prueba…”. Se siguen realizando argumentos abstractos tales como objetivar el reproche sancionador, respecto a su propia dinámica y “su propia prueba”, cuando ni si siquiera se han realizado alegaciones poniendo en duda los hechos y las evidencias que constaban en el acuerdo de inicio, ni se ha solicitado el recibimiento a prueba del procedimiento. El hecho de que se hayan tramitado “unas únicas actuaciones de investigación” y que en estas no se haya realizado requerimiento dirigido contra las entidades responsables del tratamiento sino con relación al encargado (RSI), no supone la “determinación fáctica unitaria”, como argumenta CAIXA POPULAR Que las actuaciones de inspección se dirigiesen requiriesen información al encargado del tratamiento no determinan que posteriormente deba incoarse un único procedimiento para depurar las responsabilidades administrativas. Cabe recordar que el artículo 53, "Alcance de la actividad de investigación”, de la LOPDGDD no impone que aquellas deban realizarse necesariamente con relación al responsable del tratamiento. No existe, por tanto, ninguna obligación de investigar a todos los responsables que realicen el tratamiento en cuestión. Los inspectores pueden obtener las evidencias consultado requiriendo información al encargado del tratamiento si así lo consideran conveniente. 4.3 Afectación al derecho fundamental a la buena administración Conforme a CAIXA POPULAR, la acumulación deviene una obligación en caso de que la ausencia de esta pudiera perjudicar los derechos del administrado, en particular los reconocidos en el artículo 24 de la Constitución, violentándose así el derecho a una buena administración conforme al artículo 41 de la Carta de Derechos Fundamentales de la Unión Europea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/62 En las alegaciones anteriores se ha motivado las diferencias entre las conductas imputadas a las Cajas Rurales, y de que no se le ha causado ningún tipo de indefensión a CAIXA POPULAR en la tramitación del presente procedimiento, habiendo tenido acceso a todos los documentos obrantes en el expediente. De hecho, CAIXA POPULAR no ha justificado ningún tipo de indefensión, ni señala ningún hecho concreto por el que se le haya causado indefensión. Por último, reiterar que no nos encontramos ante unos mismos hechos, sino ante un mismo problema técnico que causó un incidente de seguridad del sistema informático de cada una las entidades responsables en relación con su tratamiento de datos personales (todas ellas jurídica y económicamente independientes entre sí), que ha producido una serie de brechas de seguridad de datos personales, no una única brecha de datos personales, sino una brecha de datos personales en cada una de las Cajas Rurales, que derivan en la presunta comisión de una serie de infracciones por parte de cada uno de los distintos responsables del tratamiento en relación con sus tratamientos de datos personales y los derechos y libertades de sus clientes. “SEGUNDA. LA INEXISTENCIA DE CULPABILIDAD DE CAIXA POPULAR EN EL PRESENTE CASO” CAIXA POPULAR ha invocado distintos argumentos para justificar la ausencia de culpabilidad de su conducta. En primer lugar manifiesta que se encuentra al margen de los hechos que se le imputan, toda vez que en el presente caso, el tratamiento es llevado a cabo a través de un encargado del tratamiento; que, a su vez, es el encargado de las entidades contra las que se dirigen los procedimientos; y que la normativa de protección de datos personales no sólo impone las obligaciones relacionadas con el cumplimiento del principio de confidencialidad y la adopción de las necesarias medidas de seguridad al responsable del tratamiento sino, cuando el tratamiento es realizado por cuenta del responsable por parte de un encargado del tratamiento, a éste último. En este sentido cabe recordar que la figura del encargado del tratamiento obedece a la necesidad de dar respuesta a fenómenos como la externalización de servicios por parte de las empresas y otras entidades, de manera que en aquellos supuestos en que el responsable del tratamiento encomiende a un tercero la prestación de un servicio que requiera que el encargado trate datos personales por su cuenta, el tratamiento o las operaciones del tratamiento se llevan a cabo por el encargado, en nombre y por cuenta del responsable, como si fuera este último quien lo lleva a cabo. Por lo tanto, la existencia de un encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que podrá decidir realizar por sí mismo determinadas operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un encargado. Es decir, que el encargado, para serlo, no ostenta ningún interés propio respecto del resultado del tratamiento objeto de encargo, sin perjuicio de la compensación económica que recibe por el servicio prestado y que es lo que acontece en el presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/62 caso. Los encargados no tienen ningún interés propio, actúan por cuenta y en nombre del responsable, cumpliendo sus órdenes y para las finalidades de éste, y esto es lo que determina que sean encargados desde el principio. Ello determina que responde el responsable del tratamiento de actuaciones contrarias al RGPD llevadas a cabo por sus encargados del tratamiento, a salvo que estos últimos hubieran actuado como verdaderos responsables del tratamiento, decidiendo sobre los fines y medios del tratamiento, cuestión que no ha acontecido en el presente supuesto. Así, la STJUE de 5 de diciembre de 2023 dictada en el asunto C-683/21, en cuanto a la cuestión de si puede imponerse una multa administrativa con arreglo al artículo 83 del RGPD a un responsable del tratamiento en relación con las operaciones de tratamiento efectuadas por un encargado, determina que, “83 Por lo que respecta, en segundo lugar, a la cuestión de si puede imponerse una multa administrativa con arreglo al artículo 83 del RGPD a un responsable del tratamiento en relación con las operaciones de tratamiento efectuadas por un encargado, es preciso recordar que, según la definición que figura en el artículo 4, punto 8, del RGPD, se entiende por encargado del tratamiento «la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento». 84 Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en la que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que ha recurrido, quien ha efectuado el tratamiento por cuenta suya. 85 No obstante, la responsabilidad del responsable del tratamiento por el comportamiento de un encargado no puede extenderse a las situaciones en las que el encargado haya tratado datos personales para fines que le sean propios o en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento o de manera que no pueda considerarse razonablemente que dicho responsable hubiera dado su consentimiento. En efecto, de conformidad con el artículo 28, apartado 10, del RGPD, el encargado del tratamiento debe, en ese supuesto, ser considerado responsable del tratamiento con respecto a dicho tratamiento”. (el subrayado es nuestro) A lo anterior, hemos de adicionar la reciente SAN de 8 de febrero de 2024, rec. 0002250/2021, respecto de TELEFÓNICA MÓVILES ESPAÑA S.A.U, en la que se determina que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/62 “Pues bien, la sociedad recurrente es la responsable del tratamiento, pues determina la finalidad y medios de los tratamientos realizados con las finalidades señaladas en su Política de Privacidad: “En Movistar tratamos los datos del cliente o usuario para la prestación del servicio, así como para otras finalidades que el mismo permita o autorice en los términos informados en la presente Política de Privacidad o en las Condiciones específicas de cada Producto o Servicio Movistar contratado”. Mientras que las compañías ATENTO TELESERVICIOS ESPAÑA, S.A.U., CATHPONE-NET, S.L. y THADER TELECOMUNICACIONES S.L., tienen la consideración de encargados del tratamiento. Lo expuesto se deriva de los contratos suscritos por la parte actora con las citadas compañías. …. Pues bien, no ha que quedado acreditado que las citadas empresas, como encargadas del tratamiento de la parte actora, hayan determinado fines y medios del tratamiento, ni hayan utilizado los datos de los clientes de aquella para sus propias finalidades, ni han interactuado frente a los interesados ajenos a la estructura y nombre comercial de la sociedad recurrente, sino que han actuado bajo el nombre de la parte actora para el cumplimiento de los fines de estos, utilizando los sistemas de ésta para realizar las operaciones con los clientes. Por lo que, no cabe invocar el art. 28.10 del RGPD para una presunta atribución de responsabilidad a los encargados que, además, implique la exoneración del responsable del tratamiento, es decir, de la sociedad aquí recurrente. Por otro lado, conforme a los reseñados contratos, se incluye una cláusula que repercute en ellos las posibles sanciones que la sociedad demandante pudiera sufrir por el incumplimiento de las obligaciones en materia de protección de datos”. (el subrayado es nuestro) Por otro lado, las Directrices 7/2020 del CEPD sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0 Adoptada el 7 de julio de 2021, determinan que, “30 Siguiendo la línea del enfoque basado en los hechos, la palabra «determine» significa que el ente que realmente ejerce una influencia decisiva sobre los fines y medios del tratamiento es el responsable. Por lo general, el contrato de tratamiento establece quién es la parte determinante (el responsable del tratamiento) y quién, la parte que sigue las instrucciones (el encargado del tratamiento). Incluso cuando el encargado del tratamiento ofrezca un servicio que se defina previamente de un modo concreto, deberá presentar al responsable del tratamiento una descripción detallada del servicio, y este deberá adoptar la decisión final sobre la aprobación del modo en que se efectuará el tratamiento y solicitar los cambios que considere necesarios. Además, el encargado del tratamiento no puede modificar, en un momento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/62 posterior, los elementos esenciales del tratamiento sin la aprobación del responsable. … 39. La cuestión es dónde se debe trazar la línea entre las decisiones reservadas al responsable del tratamiento y aquellas que pueden dejarse a la discreción del encargado. Es evidente que las decisiones sobre el fin del tratamiento siempre deben corresponder al responsable. 40. Por lo que respecta a la determinación de los medios, cabe distinguir entre los medios esenciales y los no esenciales. Los medios esenciales se reservan tradicionalmente y de forma inherente al responsable del tratamiento. Estos deben ser determinados obligatoriamente por el responsable del tratamiento, aunque la determinación de los medios no esenciales también puede dejarse en manos de él. Los medios esenciales son medios estrechamente ligados al fin y el alcance del tratamiento, como el tipo de datos personales tratados («¿qué datos se tratarán?»), la duración del tratamiento («¿cuánto tiempo se tratarán?»), las categorías de destinatarios («¿quién tendrá acceso a los datos?») y las categorías de interesados («¿a quién pertenecen los datos personales tratados?»). Además de estar relacionados con el fin del tratamiento, los medios esenciales se encuentran estrechamente vinculados a la cuestión de si el tratamiento es lícito, necesario y proporcionado. Los medios no esenciales están relacionados con aspectos más prácticos del tratamiento en sí, como la elección de un tipo particular de hardware o software o la decisión sobre los pormenores de las medidas de seguridad, que pueden dejarse en manos del encargado del tratamiento. 41. Pese a que las decisiones sobre los medios no esenciales pueden dejarse en manos del encargado del tratamiento, el responsable aún deberá estipular ciertos elementos en el contrato con el encargado: por ejemplo, en relación con el requisito de seguridad, podrá ordenarse la adopción de todas las medidas exigidas en virtud del artículo 32 del RGPD. El contrato también debe establecer que el encargado del tratamiento ayudará al responsable a garantizar el cumplimiento de, por ejemplo, lo dispuesto en el artículo 32. En cualquier caso, el responsable del tratamiento sigue siendo responsable de la aplicación de las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento (artículo 24). Para ello, el responsable debe tener en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento, además de los riesgos para los derechos y las libertades de las personas físicas. Por este motivo, el responsable del tratamiento debe contar con una información completa sobre los medios utilizados, ya que, así, podrá adoptar una decisión informada al respecto. Para que el responsable pueda demostrar la legalidad del tratamiento, se aconseja documentar, en el contrato u otro instrumento jurídicamente vinculante entre el responsable y el encargado, al menos las medidas técnicas y organizativas necesarias. … 74. El RGPD establece obligaciones concretas que vinculan directamente a los encargados del tratamiento, tal como se especifica en la sección 1 del apartado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/62 II de las presentes directrices. Es posible exigir responsabilidad o sancionar a un encargado cuando no cumpla con dichas obligaciones o actúe al margen o en contra de las instrucciones legales del responsable. … 80 En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación». En el caso de la normativa de protección de datos, el cometido del encargado del tratamiento es aplicar las instrucciones dadas por el responsable del tratamiento, cuando menos en lo relativo a los fines del tratamiento y a los elementos esenciales de los medios. La legitimidad del tratamiento en virtud del artículo 6 y, si procede, del artículo 9 del Reglamento deriva de la actividad del responsable, y el encargado únicamente debe tratar los datos siguiendo las instrucciones dadas por este. Aun así, tal como se ha indicado previamente, las instrucciones del responsable del tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de servir mejor a los intereses de este, de modo que permitan al encargado elegir los medios técnicos y organizativos más adecuados. 81. Actuar «por cuenta de» alguien también significa que el encargado no puede llevar a cabo el tratamiento para sus propios fines. Tal como se estipula en el artículo 28, apartado 10, el encargado del tratamiento infringirá el RGPD cuando no se ciña a las instrucciones del responsable y comience a determinar sus propios fines y medios del tratamiento. En estos casos, el encargado del tratamiento se considerará responsable en relación con dicho tratamiento y podrá ser sancionado por no haberse adherido a las instrucciones del responsable”. (el subrayado es nuestro) Pues bien, en el caso concreto que se examina, y a la vista de la documentación que obra en el expediente, consta que, para la prestación de los servicios informáticos, CAIXA POPULAR tiene suscrito un “Contrato de prestación de servicios” individualizado y específico con RSI. Asimismo, también tiene suscrito en el marco del anterior el “Acuerdo de modificación de la cláusula de protección de datos de los contratos de prestación de servicios entre CAIXA POPULAR y RURAL SERVICIOS INFORMÁTICOS, S.L.” relativo a CAIXA POPULAR y que fue suscrito por A.A.A., en representación de CAIXA POPULAR (responsable del tratamiento). En este sentido, en este “Acuerdo de modificación de la cláusula de protección de datos de los contratos de prestación de servicios entre CAIXA POPULAR y RURAL SERVICIOS INFORMÁTICOS, S.L.”, se identifica a la CAIXA POPULAR como responsable del tratamiento y a RSI como encargado del tratamiento. Además, en este “Acuerdo de modificación de la cláusula de protección de datos de los contratos de prestación de servicios entre CAIXA POPULAR y RURAL SERVICIOS INFORMÁTICOS, S.L.” se definen los tratamientos que se podrían llevar a cabo por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/62 RSI por cuenta de la CAIXA POPULAR, la tipología de la información a tratar y las categorías de los interesados cuyos datos podrían ser tratados. Asimismo, se determina que las medidas de seguridad que se deben aplicar por parte de RSI para garantizar un nivel de seguridad adecuado al riesgo conforme en lo establecido en el artículo 32 del RGPD son las establecidas en el anexo B del “Acuerdo de modificación de la cláusula de protección de datos de los contratos de prestación de servicios entre CAIXA POPULAR y RURAL SERVICIOS INFORMÁTICOS, S.L.” También hemos de destacar que se recoge en el apartado 6 del Acuerdo sobre la “Responsabilidad” que, “Si el Encargado, o en su caso, los contratistas, infringen este Acuerdo o la normativa vigente al determinar los fines y medios del tratamiento, serán considerados responsables del tratamiento con respecto a dicho tratamiento. En caso de que una autoridad de control sancionase al Responsable del Tratamiento como consecuencia directa, de que el Encargado del Tratamiento no haya cumplido las estipulaciones de este Acuerdo, el Encargado indemnizará al Responsable del Tratamiento en lo estipulado en la cláusula de responsabilidad del contrato marco vigente entre las partes” (el subrayado es nuestro). Ello implica, a sensu contrario y conforme determina la normativa de protección de datos, las sentencias precitadas y las Directrices 7/2020, que el responsable del tratamiento responde de las actuaciones llevadas a cabo por su encargado de tratamiento a salvo que este determine fines y medios, resultando que esta última cuestión no ha quedado acreditada en el procedimiento tramitado. Por tanto, de acuerdo con lo expuesto, CAIXA POPULAR es la responsable del tratamiento que se realiza, es quien ha decidido encomendar a un encargado del tratamiento que lo realice en su nombre y por su cuenta, es la entidad que tiene la verdadera capacidad para ejercer el control sobre el tratamiento de datos personales, quien determina qué datos personales serán tratados en su nombre y por su cuenta, el por qué y el cómo deberán tratarse estos, pues define la finalidad del tratamiento de datos personales que su actividad comprende y elige los medios que considera oportuno. Y conforme a todo lo antedicho y para el caso concreto CAIXA POPULAR es responsable de la infracción del RGPD aun cuando se haya producido la incidencia en el seno de su encargado del tratamiento. En este sentido, en el propio Acuerdo de Inicio se indica en el apartado 4 relativo a las Obligaciones del responsable del Tratamiento que: “Corresponde al responsable del tratamiento:
  56. a)Entregar al Encargado del Tratamiento los datos necesarios para la prestación del servicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/62
  57. b)En caso de que legalmente resulte exigible, realizar una evaluación de impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el Encargado del Tratamiento.
  58. c)Realizar las consultas previas que corresponda.
  59. d)Velar, de forma previa y durante todo el tratamiento, por el cumplimiento de RGPD, por parte del Encargado del Tratamiento.
  60. e)Supervisar el tratamiento, incluida la realización de inspecciones y auditorías”. (el subrayado es nuestro) Esto se relaciona directamente con el principio de responsabilidad proactiva del responsable del tratamiento previsto en el artículo 5.2 del RGPD que establece que «el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”)». Esto significa que el responsable deberá garantizar la aplicación efectiva de los principios del tratamiento tanto en el momento de determinar los medios del tratamiento como durante el tratamiento en sí, bien lleve a cabo el tratamiento de datos personales directamente o encargue a un encargado del tratamiento que lo realice por su cuenta (a efectos de la normativa de protección de datos es lo mismo), a través de la articulación de una serie de medidas técnicas y organizativa de todo tipo, las cuales deberán ser objeto de revisión y actualización periódica. Ello implica que el citado responsable es el que asume su propia responsabilidad dirigiendo, revisando y coordinando el tratamiento, incluyendo la del personal y la del encargado del tratamiento que le presta servicios. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, cuyas previsiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Se tiene en cuenta a estos efectos lo señalado en el considerando 74 del RGPD, “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas.” (el subrayado es nuestro) Completando lo anterior y en desarrollo del artículo 5.2 del RGPD se ha de citar el artículo 24 y 25 del mismo texto legal, indicando este último respecto a la “Protección de datos desde el diseño y por defecto” que el derecho fundamental a la protección de los datos personales es mucho más que mera tecnología, pues su enfoque es en los riesgos en los derechos y libertades de los interesados derivados del tratamiento de los datos personales, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/62 “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento…” CAIXA POPULAR parece sostener que la responsabilidad la tiene el encargado del tratamiento con el que suscribió un contrato y en cuya virtud se obligaba a la implementación de las medidas de seguridad adecuadas al riesgo, sin embargo, conviene recordar que la brecha de datos personales se produjo como consecuencia de la decisión de CAIXA POPULAR de (…), suscribiendo al efecto el correspondiente encargo de tratamiento con RSI donde la CAIXA POPULAR dispuso las condiciones oportunas. Y ello amén de lo motivado por esta Agencia en párrafos precedentes sobre que CAIXA POPULAR ha determinado fines y medios del tratamiento, que es responsable del tratamiento, que es responsable de la brecha de datos personales en este caso por las actuaciones de tratamiento efectuadas por su encargado de tratamiento por cuenta de aquella y que está sujeta a las obligaciones del RGPD, especialmente en cuanto a la responsabilidad proactiva. Ello es responsabilidad de CAIXA POPULAR por cuanto, es la responsable del tratamiento y es quien tiene la obligación de integrar y desplegar la protección de datos dentro de todo lo que constituya su organización, en todos sus ámbitos de actuación, ya afecten a sus empleados o a sus encargados del tratamiento. Se debe de tener muy presente que en última instancia la finalidad determinante es la de garantizar la protección del interesado, pues el foco está los riesgos en los derechos y libertades de los interesados derivados del tratamiento de datos personales que realiza el responsable del tratamiento. Por consiguiente, el responsable del tratamiento debe llevar a cabo un análisis de los riesgos de los derechos y libertades de las personas físicas en los tratamientos de datos, implantando las medidas técnicas y organizativas apropiadas para aplicar los principios de protección de datos e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del RGPD, debiendo poder demostrar que el tratamiento es conforme con lo previsto en la citada norma. Y a la luz del principio de responsabilidad proactiva (art 5.2 RGPD), el responsable del tratamiento debe poder demostrar que ha tomado en cuenta todos los elementos previstos en el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 45/62 Por tanto, todo ello no hace sino reflejar una falta de diligencia por parte de la entidad investigada a la hora de garantizar una seguridad adecuada al riesgo de los tratamientos de datos que lleva a cabo. En este sentido, no debe olvidarse que en la base de datos afectada se encuentran almacenados datos personales de miles de clientes, lo cual supone un tratamiento a gran escala, a los que, a su vez, se acceden desde aplicaciones web, es decir, desde internet, con una superficie de exposición muy importante, como mayores riesgos para los interesados, lo que exige medidas técnicas y organizativas apropiadas de todo tipo, incluidas las de seguridad, y dirigidas especialmente a garantizar que no se produzca un acceso ilegítimo a dichos datos personales. Tal y como se ha venido demostrando y argumentando a lo largo del presente procedimiento sancionador, se considera que no había implantadas unas medidas, en este caso, de seguridad apropiadas para garantizar la seguridad de los datos personales de los clientes, lo que determinó en este supuesto un acceso ilegítimo a los datos personales de los clientes de la CAIXA POPULAR Por tanto, no se está exigiendo una responsabilidad como consecuencia exclusiva de un resultado provocado por un ciberataque. Es mucho más, es una falta de incumplimiento de las obligaciones impuestas por el RGPD. Por tanto, se insiste, en que el responsable del tratamiento debe establecer, en su relación con el encargado del tratamiento, modalidades claras para dicha asistencia y dar instrucciones precisas al encargado del tratamiento sobre cómo cumplirlas de forma adecuada y documentarlo previamente a través de un contrato o bien en otro acuerdo (vinculante) y también posteriormente durante la vigencia del mismo y comprobar en todo momento del desarrollo del contrato su cumplimiento en la forma establecida en el mismo. Basta con traer a colación el contenido de la STS 1562/2020, de 15 de junio de 2020, rec. 601/2019, que señala lo siguiente: “En tal sentido, ya la Sentencia del Tribunal Supremo de 5 de junio de 2004, que confirma, en casación para Unificación de Doctrina, la de esta AN de 16 de octubre de 2003, haciéndose eco de lo argumentado por esta Sala refiere la diferenciación de dos responsables en función de que el poder decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específica. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento. Con ello, como asimismo argumenta la STS de 26 de abril de 2005 (casación para unificación de doctrina 217/2004), el legislador español pretende adaptarse a las exigencias de la Directiva 95/46/CE, que tiene como objetivo dar respuesta legal al fenómeno, que cada vez es más frecuente, de la llamada externalización de los servicios informáticos, donde ac

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.