← España

PS-00020-2023

1/121  Expediente N.º: EXP202206311 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ANTECEDENTES......................................................................................................4 PRIMERO: RECLAMACIÓN......................................................................................4 SEGUNDO: TRASLADO DE LA RECLAMACIÓN......................................................5 TERCERO: ADMISIÓN A TRÁMITE DE LA RECLAMACIÓN.....................................6 CUARTO: ACTUACIONES PREVIAS DE INVESTIGACIÓN......................................6 QUINTO: ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR..............11 SEXTO: COPIA DEL EXPEDIENTE Y AMPLIACIÓN DE PLAZO.............................11 SÉPTIMO: ALEGACIONES AL ACUERDO DE INICIO.............................................11 1. En opinión de CaixaBank, las imputaciones dirigidas contra la misma son inexactas:...............................................................................................................................12 2. Según la entidad financiera, la interpretación efectuada por la AEPD afecta a varios principios del derecho sancionador:..................................................................14 3. Sobre el supuesto incumplimiento de las obligaciones de protección de datos desde el diseño:...............................................................................................................16 4. Sobre la supuesta vulneración del artículo 32 del RGPD:.....................................18 5. Sobre la supuesta vulneración del principio de seguridad:...................................19 6. Sobre la supuesta vulneración del principio de proporcionalidad:.......................20 OCTAVO: PERIODO DE PRÁCTICA DE PRUEBA..................................................22 a. Ante la reclamada:......................................................................................................22 b. Ante la Inspeccion de la AEPD:.................................................................................29 OCTAVO: PROPUESTA DE RESOLUCIÓN.............................................................31 NOVENO: ALEGACIONES A LA PROPUESTA DE RESOLUCIÓN..........................32 I. La entidad bancaria estima que la propuesta de resolución realiza una serie de consideraciones inexactas:............................................................................................32 II. CaixaBank insiste en que la propuesta vulnera el principio non bis in idem.......33 III. La parte reclamante vuelve a destacar que, en su opinión, existe un concurso medial entre las tres infracciones imputadas a la entidad bancaria.........................33 IV. En opinión de la entidad bancaria, ninguna de las tres infracciones contempladas en la propuesta de resolución resulta conforme a derecho...............................34 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/121 V. CaixaBank afirma haber adoptado las medidas técnicas y organizativas adecuadas para evitar que la brecha de datos personales vuelva a producirse en el futuro.................................................................................................................................34 VI. La parte reclamada insiste de nuevo en la vulneración del principio de proporcionalidad..........................................................................................................................34 HECHOS PROBADOS................................................................................................35 ÍNDICE DE HECHOS PROBADOS..........................................................................35 PRIMERO:............................................................................................................... 35 SEGUNDO:.............................................................................................................. 35 TERCERO:............................................................................................................... 36 CUARTO:................................................................................................................. 36 QUINTO:.................................................................................................................. 36 SEXTO:.................................................................................................................... 36 SÉPTIMO:................................................................................................................ 37 OCTAVO:.................................................................................................................. 37 NOVENO:................................................................................................................. 38 DÉCIMO:.................................................................................................................. 38 UNDÉCIMO:............................................................................................................. 38 DUODÉCIMO:.......................................................................................................... 39 DECIMOTERCERO:................................................................................................40 DECIMOCUARTO:...................................................................................................41 DECIMOQUINTO:....................................................................................................41 DECIMOSEXTO:......................................................................................................41 DECIMOSÉPTIMO:..................................................................................................41 DECIMOCTAVO:......................................................................................................42 DECIMONOVENO:..................................................................................................44 VIGÉSIMO:.............................................................................................................. 44 VIGÉSIMO PRIMERO:.............................................................................................46 VIGÉSIMO SEGUNDO:............................................................................................47 VIGÉSIMO TERCERO:............................................................................................47 VIGÉSIMO CUARTO:...............................................................................................48 VIGÉSIMO QUINTO:................................................................................................48 VIGÉSIMO SEXTO:..................................................................................................49 VIGÉSIMO SÉPTIMO:..............................................................................................52 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/121 VIGÉSIMO OCTAVO:...............................................................................................54 VIGÉSIMO NOVENO:..............................................................................................55 TRIGÉSIMO:............................................................................................................ 56 TRIGÉSIMO PRIMERO:...........................................................................................56 TRIGÉSIMO SEGUNDO:.........................................................................................56 TRIGÉSIMO TERCERO:..........................................................................................57 TRIGÉSIMO CUARTO:............................................................................................57 TRIGÉSIMO QUINTO:.............................................................................................58 TRIGÉSIMO SEXTO:...............................................................................................59 TRIGÉSIMO SÉPTIMO:...........................................................................................59 TRIGÉSIMO OCTAVO:.............................................................................................60 TRIGÉSIMO NOVENO:............................................................................................60 CUADRAGÉSIMO:...................................................................................................61 CUADRAGÉSIMO PRIMERO:.................................................................................62 CUADRAGÉSIMO SEGUNDO:................................................................................62 CUADRAGÉSIMO TERCERO:.................................................................................64 CUADRAGÉSIMO CUARTO:...................................................................................65 CUADRAGÉSIMO QUINTO:....................................................................................66 CUADRAGÉSIMO SEXTO:......................................................................................67 CUADRAGÉSIMO SÉPTIMO:..................................................................................67 CUADRAGÉSIMO OCTAVO:...................................................................................68 CUADRAGÉSIMO NOVENO:..................................................................................69 QUINCUAGÉSIMO:.................................................................................................69 QUINCUAGÉSIMO PRIMERO:................................................................................70 QUINCUAGÉSIMO SEGUNDO:...............................................................................71 QUINCUAGÉSIMO TERCERO:...............................................................................71 FUNDAMENTOS DE DERECHO.................................................................................72 I Competencia.......................................................................................................... 72 II íter de la reclamación............................................................................................72 III Alegaciones al acuerdo de inicio y a la propuesta de resolución..........................78 Contestación a la supuesta vulneración del principio de non bis in idem:...............78 IV Contestación a la alegación relativa a la supuesta existencia de un concurso medial entre las tres infracciones imputadas a CaixaBank:......................................84 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/121 V Análisis de la vulneración del Artículo 5.1

  1. f)del RGPD.........................................91 VI Análisis de la vulneración del Artículo 32 del RGPD..........................................103 VII Análisis de la vulneración del Artículo 25 del RGPD..........................................113 1. Contenido del principio de privacidad desde el diseño y los condicionamientos internos para su cumplimiento.....................................................................................114 2. Análisis del diseño del procedimiento que articula la tramitación de escritos presentados por los interesados de CaixaBank que afectan a la protección de datos de carácter personal.....................................................................................................118 3. Diseño del sistema de generación de la ruta de guardado (también denominada path HCP) de documentos relativos a la operativa bancaria de CaixaBank:........124 4. Análisis del diseño de lo que sucede en el sistema cuando se genera un código de error tras haber desactivado el versionado de archivado:..................................133 VIII Supuesta vulneración del principio de proporcionalidad...................................143 IX Cuestiones generales relativas a la protección de datos de carácter personal. .149 X Artículo 5.1.
  2. f)del RGPD......................................................................................150 XI Tipificación de la infracción del artículo 5.1.
  3. f)del RGPD y calificación a los efectos de la prescripción...................................................................................................151 XII Sanción por la infracción del artículo 5.1.
  4. f)del RGPD......................................151 XIII Artículo 25.1 RGPD..........................................................................................155 XIV Tipificación de la posible infracción del artículo 25 RGPD y calificación a los efectos de la prescripción.......................................................................................159 XV Sanción por la infracción del artículo 25 del RGPD..........................................160 XVI Artículo 32 del RGPD.......................................................................................163 XVII Tipificación de la infracción del artículo 32 del RGPD y calificación a los efectos de la prescripción...................................................................................................164 XVIII Sanción por la infracción del artículo 32 del RGPD.......................................164 XIX Imposición de medidas....................................................................................166 Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: RECLAMACIÓN Con fecha 10 de mayo de 2022 tuvo entrada en el Registro General de la Agencia Española de Protección de Datos la reclamación de A.A.A. (en adelante, la parte reclamante), trasladada por el Departamento de Conducta de Entidades del Banco de España, ante el que fue presentada el 10 de febrero de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/121 La reclamación se dirige contra CAIXABANK, S.A. con NIF A08663619 (en adelante, la parte reclamada, la entidad bancaria o CaixaBank). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, cliente de CaixaBank, considera que dicha entidad bancaria no respeta las normas relativas a la confidencialidad de los datos de carácter personal. Indica que, en su área personal, en concreto, en el apartado correspondiente a "(…)" figura un documento (de fecha 1 de febrero de 2021) relativo a una transferencia realizada por un tercero a otra persona desconocida (en el que figuran numerosos datos personales, tales como DNI, domicilio postal, número de cuenta bancaria, etc.). A raíz de lo ocurrido, ha presentado una reclamación ante la mencionada entidad bancaria. La parte reclamante manifiesta que CaixaBank no ha respondido en relación con los hechos objeto de la reclamación. Junto a la reclamación, aporta varias capturas de pantalla en las que figuran justificantes de órdenes de traspaso de marzo de 2021, así como un documento denominado Actualización de datos de fecha 1 de febrero de 2021, copia del documento relativo a la solicitud de emisión de la transferencia controvertida (de fecha 1 de febrero de 2021), e-mail confirmando la recepción de la reclamación efectuada y respuesta de la parte reclamada, de fecha 10 de noviembre de 2021, en la que se indica lo siguiente: "Nos dirigimos a usted en respuesta a su reclamación, la cual muestra su disconformidad con unos recibos cargados en su cuenta y no autorizados (...). En este sentido, una vez realizadas las comprobaciones oportunas, debemos comunicarle que CaixaBank se limita a cargar los recibos conforme a lo que indica el emisor de la orden de pago. Por lo que deberá dirigirse a la compañía emisora del recibo para solicitarle la orden de domiciliación correspondiente. Por lo que entendemos que su pretensión ha quedado satisfecha y damos por concluida nuestra actuación en este asunto, (…)". SEGUNDO: TRASLADO DE LA RECLAMACIÓN De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 08/06/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 26/07/2022 se recibe en esta Agencia escrito, al que acompaña copia del escrito de 22 de julio de 2022 enviado al reclamante en respuesta a su reclamación, en el que se indica los siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/121 “Nos ponemos en contacto con usted con la finalidad de atender una reclamación que nos trasladó la Agencia Española de Protección de Datos (…) En relación a su reclamación en la que manifiesta que (…) figura un documento, de fecha 1 de febrero de 2021, que no se corresponde a ninguna operativa por Usted realizada, cúmplenos informarles lo siguiente: (
  5. i)En la fecha indicada (1 de febrero de 2021), consta que Usted realizó la siguiente operativa (Documento nº1): (…) (…). (…). (…). TERCERO: ADMISIÓN A TRÁMITE DE LA RECLAMACIÓN Con fecha 10 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: ACTUACIONES PREVIAS DE INVESTIGACIÓN La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento, entre otros, de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: CAIXABANK, S.A. con NIF A08663619 con domicilio en DIRECCIÓN.1 VALENCIA (VALENCIA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Los representantes de la entidad reclamada manifiestan que, de acuerdo con lo indicado por el Reclamante, el (…) no se correspondía con la operativa realizada. También indican lo siguiente: (…) Se ha informado al reclamante por carta enviada por correo certificado con acuse de recibo.(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/121 En relación al resultado del análisis realizado sobre este incidente y si del mismo se ha detectado que pudiera haber una brecha de datos personales que afecte a otros clientes, los representantes de la entidad informan que: “
  6. a)(…): (…).
  7. b)(…)”. En relación con la brecha de datos personales, los representantes de la entidad aportan la siguiente información: (…). (…) (
  8. i)(…) (
  9. ii)(…) (iii) (…) (
  10. iv)(…) (…). Por lo que se refiere a las acciones llevadas a cabo como consecuencia de este suceso concreto fue la (…)
  11. a)(…).
  12. b)(…).
  13. c)(…).
  14. d)(…).
  15. e)(…). (…). (…). CONCLUSIONES El hecho de que el reclamante tuviera acceso (…) a un documento relativo a una transferencia de un tercero (en la que figuran numerosos datos personales de dicho tercero, ordenante de la transferencia, así como del destinatario de la misma, tales como DNI, domicilio postal, número de cuenta bancaria, etc) se debe a una brecha de datos personales (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/121 La parte reclamada nos indica que la causa de la brecha está motivada porque dos operaciones (la realizada por el reclamante y por un tercero) (…). Por este motivo el reclamante podía acceder a un justificante de transferencia realizada por un tercero. Según consideran (…) no obstante como solución (…). Esta brecha de datos personales afectó a la operación que llevó a cabo el Reclamante, que tuvo acceso a datos de terceros (el ordenante y el destinatario de la transferencia). CaixaBank ha realizado un análisis en que indica que esta operación no ha afectado a más clientes. Del análisis de la información facilitada se desprende que el origen del incidente fue debido a (…). A cada una de las escasas operaciones que puedan (…). La forma de solucionar la incidencia, (…). QUINTO: ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR Con fecha 27 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP): -Por la presunta infracción del Artículo 5.1.
  16. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. - Por la presunta infracción del Artículo 25 del RGPD, tipificada en el Artículo 83.4 del RGPD. - Por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. SEXTO: COPIA DEL EXPEDIENTE Y AMPLIACIÓN DE PLAZO Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), el día 6 de febrero de 2023 la parte reclamada solicitó copia del expediente, así como ampliación de plazo para presentar alegaciones. El 8 de febrero de 2023, se remitió a la parte reclamada el expediente, concediendo al mismo tiempo un nuevo plazo para presentar alegaciones. SÉPTIMO: ALEGACIONES AL ACUERDO DE INICIO La parte reclamada presentó escrito de alegaciones al acuerdo de inicio en un escrito de 20 de febrero de 2023 en el que, en síntesis, manifestaba lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/121 CaixaBank considera que acuerdo de inicio está basado en meras conjeturas, parte de una supuesta infracción del artículo 25 del RGPD (falta de privacidad desde el diseño), de la que derivarían la presunta infracción de otros dos artículos del RGPD (5.1
  17. f)y 32) CaixaBank afirma a lo largo de su escrito de alegaciones que no se ha infringido la normativa de protección de datos personales. Comienza sus alegaciones interpretando el contenido del acuerdo de inicio, que considera que la entidad ha infringido los artículos 5.1 f), 25 y 32 del RGPD. De acuerdo con la interpretación de dicha entidad, el acuerdo entiende que la entidad no ha cumplido las obligaciones del principio de protección de datos desde el diseño (artículo 25.1 del RGDP), lo que a su vez habría supuesto una quiebra del principio de confidencialidad y seguridad y habría llevado a una presunta ausencia de medidas de seguridad, técnicas y organizativas que garantizasen la protección del derecho fundamental a la protección de datos personales. La parte reclamada resalta que todo parte de una concreta reclamación, derivada del hecho de que el (…) un documento que correspondía a otro cliente de la mencionada entidad bancaria. Esta circunstancia denunciada trae causa de un error cuya probabilidad, según afirma la entidad financiera, es (…). El acuerdo de inicio, parte de las conclusiones del informe de actuaciones previas de investigación, valorando que la entidad financiera no ha llevado a cabo ninguna actuación de privacidad desde el diseño, produciéndose una vulneración del principio de seguridad como consecuencia de la ausencia de medidas de seguridad adecuadas. En opinión de CaixaBank, la AEPD se basa en meras conjeturas contenidas en el informe de actuaciones previas de investigación, que son traducidas en la supuesta comisión de tres infracciones, sancionadas con un importe total de cinco millones de euros. 1. En opinión de CaixaBank, las imputaciones dirigidas contra la misma son inexactas: Según afirma la entidad financiera, la AEPD se funda para imputar a dicha entidad la comisión de tres infracciones que serían sancionadas con un total de cinco millones de euros en: - (…). - (…). - (…). (…). a. En relación con la probabilidad de reiteración del incidente: Las conclusiones del informe de actuaciones previas de investigación consideran (…). Según indica CaixaBank: “Como indicó mi representada en respuesta al requerimiento efectuado por esa AEPD (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/121 A continuación, la entidad financiera destaca que en el supuesto objeto de la reclamación no solo se produjo la (…). La entidad financiera resalta que la AEPD considera que la probabilidad de que este hecho se reitere en el tiempo (destaca que no se ha indicado con qué periodicidad ni el grado de concurrencia) es “razonable”, (…). A continuación, realiza una serie de cálculos que llevan a concluir que, según dicha entidad financiera, la probabilidad de reiteración del incidente sería de (…). Asimismo, afirma que (…). CaixaBank aporta su corpus normativo en materia de seguridad. Circunstancia que, en opinión de dicha entidad bancaria, acredita el cumplimiento del principio de privacidad desde el diseño. b. En relación con la (…): El Inspector concluye en su informe de actuaciones previas de investigación que (…). La entidad financiera indica: “La conclusión, siempre en condicional, alcanzada por el Inspector, parece ser la de que si en un caso concreto (…), lo que permite al Acuerdo de Inicio extraer la consecuencia de que las medidas adoptadas por CAIXABANK no resultan ajustadas a la normativa de protección de datos personales.” (…). (…). CaixaBank entiende que la documentación aportada acredita (…). c. En relación con la medida adoptada para solucionar el incidente: CaixaBank critica que la AEPD califique la solución adoptada una vez detectada la incidencia como un “mero parche”. Destaca que el acuerdo de inicio pasa de la posibilidad (reflejada en las conclusiones del informe de actuaciones previas de investigación) de que la solución adoptada no fuera suficiente a considerarla de forma taxativa “poco satisfactoria” e incapaz de resolver el problema indicado. Según la entidad bancaria, dicha conclusión resulta gratuita, dado que la solución adoptada (…). A continuación, CaixaBank concluye que no será posible que vuelva a producirse la incidencia. Según la entidad financiera (…) fue la solución y no un “mero parche”. Afirmando a continuación: “(…) (…)”. Aporta el documento (…). Concluyendo que, en su opinión, la solución adoptada resuelve de forma definitiva el problema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/121 Asimismo, destaca que las conjeturas que sirven de fundamento al acuerdo de inicio no resultan, en su opinión ajustadas a la realidad de los hechos y la documentación presentada demuestra que son inexactas. 2. Según la entidad financiera, la interpretación efectuada por la AEPD afecta a varios principios del derecho sancionador: En su opinión: “(…) el Acuerdo de Inicio considera (
  18. i)que mi mandante no ha adoptado desde el diseño medidas técnicas y organizativas adecuadas; (
  19. ii)que mi representada no ha adoptado tales medidas; y (iii) que no se cumple el principio de seguridad, por no haberse adoptado las citadas medidas.” a. Presunta vulneración del principio non bis in idem: En opinión de CaixaBank, en el acuerdo de inicio, la AEPD ha considerado que en este caso se ha producido una insuficiencia de medidas de seguridad, lo que implicaría una triple vulneración del RGPD:    No se habrían adoptado las medidas técnicas y organizativas adecuadas (art 32.1 del RGPD). La ausencia o insuficiencia de dichas medidas, conduce a apreciar que CaixaBank no habría cumplido las exigencias derivadas del artículo 25.1 del RGPD. Se habría vulnerado el artículo 5.1
  20. f)del RGPD, del que el artículo 32 del RGPD no es sino una mera concreción. A continuación, analiza diversas concurrencias, que, según su opinión, se producen: Concurrencia de los artículos 5.1
  21. f)y 32 del RGPD: Para ello reproduce varios extractos del acuerdo de inicio. A continuación, concluye que, en su opinión, el mencionado acuerdo impone dos sanciones diferentes como consecuencia de unos mismos hechos: la carencia de medidas de seguridad. Produciéndose una reiteración sancionadora, proscrita por el derecho administrativo sancionador. Afirma que, de seguirse el criterio mantenido por la AEPD en el acuerdo de inicio, cualquier vulneración de un precepto del RGPD implicaría la comisión no solo de la infracción de dicho precepto, sino la del principio de protección de datos del que la norma vulnerada trajera causa. Concurrencia de los artículos 25 y 32 (y 5.1
  22. f)del RGPD: CaixaBank reproduce un extracto para ilustrar una supuesta reiteración sancionadora en relación con las imputaciones del artículo 25 y del artículo 32. A continuación, destaca que teniendo en cuenta el alcance del cumplimiento del principio de privacidad desde el diseño según la AEPD y el Comité Europeo de Protección de Datos, si se siguiera el razonamiento reflejado en el acuerdo de inicio cualquier vulneración de la normativa de protección de datos por parte de un responsable conllevaría necesariamente la vulneración del principio de protección de datos desde el diseño. Según CaixaBank, salvo en aquellos supuestos en los que quepa apreciar que se ha prescindido del cumplimiento de las obligaciones establecidas en el artículo 25, la sanC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/121 ción simultánea de unos hechos por considerar inadecuadamente cumplido uno de los principios del artículo 5 del RGPD y por vulneración del artículo 25 del RGPD, implicaría una vulneración del principio de non bis in idem. CaixaBank concluye afirmando que en el acuerdo de inicio la AEPD considera que un mismo hecho (supuesta insuficiencia de medidas de seguridad que han generado un incidente específico y concreto), sería constitutivo de tres infracciones del mismo bien jurídico protegido: la adecuada garantía de los derechos y libertades de los interesados. Se estaría sancionando, por una parte, la ausencia de las medidas que la AEPD considera necesario adoptar (…), el incumplimiento del principio de seguridad (que exige la adopción de tales medidas) y, finalmente, el que dichas medidas no fueran adoptadas desde el diseño del tratamiento. El acuerdo de inicio emplea una argumentación similar a la hora de razonar la supuesta comisión de las tres infracciones y son similares las circunstancias que la AEPD ha considerado concurrentes en los tres supuestos (fundamentos de derecho VI, IX y XII). La entidad bancaria entiende que la conducta sancionada es la misma y el hecho sancionado también. Afirma que pretende sancionarse la ausencia de la medida, la falta de planificación de la misma y el resultado producido. Concluye que concurriría una triple identidad de sujeto, hecho y bien jurídico protegido, debiendo aplicarse el principio de non bis in idem (o non ter in idem). En su caso, procedería imponer una sola de las tres sanciones (artículo 32 RGPD). b. Subsidiariamente, existencia de concurso medial entre las tres conductas imputadas: En opinión de CaixaBank cada una de las tres infracciones supuestamente cometidas se encontraría subsumida y embebida en las otras, dando lugar a un concurso medial (artículo 29.5 Ley 40/2015, de 1 de octubre). Considera que no puede sancionarse a dicha entidad por todas las infracciones, dado que la comisión de la supuesta infracción del artículo 25.1 el RGPD implicaría necesariamente la comisión de la infracción del artículo 32.1 del RGPD, dando lugar este último incumplimiento a la supuesta vulneración del artículo 5.1
  23. f)del RGPD. La entidad bancaria entiende que se estaría imponiendo una triple sanción por unos mismos hechos. A continuación, afirma: “(…) la falta de aplicación de las medidas a las que se refiere el artículo 32.1, y por ende la supuesta infracción del artículo 5.1
  24. f)traería necesaria e inseparablemente causa de la supuesta falta de concepción o diseño de las mismas en el momento de determinar los medios y fines del tratamiento. De este modo, la AEPD consideraría sancionables la falta de diseño de una determinada medida de seguridad, su falta de aplicación y el principio mismo que la adopción de esa medida pretende proteger, lo que obviamente sólo podría traer causa de esa falta de diseño previo, concurriendo así los requisitos exigidos para la apreciación del concurso medial en el presente caso. Por ello, o bien se están sancionado triplemente unos mismos hechos o bien dos de las infracciones sólo pueden ser, necesariamente, consecuencia de la primera” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/121 A continuación, cita la Sentencia 339/2015 de 25 de septiembre de 2015 de la Audiencia Nacional (rec. 262/2014), que a su vez cita la Sentencia del Tribunal Supremo de 8 de febrero de 1999 (rec.9/1996). CaixaBank concluye que en el supuesto de que se entienda que se han cometido las infracciones mencionadas en el acuerdo de inicio, resultaría de aplicación el artículo 29.5 de la LRJSP, de forma que todas las infracciones deberían subsumirse en aquella de la que las restantes traen causa. 3. Sobre el supuesto incumplimiento de las obligaciones de protección de datos desde el diseño: CaixaBank afirma que no ha vulnerado el artículo 25 del RGPD. a. Alcance del principio de protección de datos desde el diseño: La entidad bancaria hace referencia a las Directrices 4/2019 del Comité Europeo de Protección de Datos, reproduciendo parte de las mismas para concluir: “(…) el EDPB concibe la Privacidad desde el Diseño como un proceso holístico, que comprende la evaluación de todos y cada uno de los aspectos del tratamiento, a fin de garantizar el cumplimiento de los principios y garantías establecidos en el artículo 5 del RGPD. De este modo, sólo en caso de que las autoridades de control pudieran apreciar que un responsable del tratamiento no ha llevado a cabo ese proceso, en toda su extensión, o únicamente lo han desarrollado como mero formalismo, sin aplicar el proceso al tratamiento concreto de datos personales objeto de análisis, cabría apreciar el incumplimiento de lo dispuesto en el artículo 25. Es decir, la obligación de cumplimiento del artículo 25.1 del RGPD no es concebida por el EDPB como una obligación de resultado, en el sentido de que pueda considerarse que los resultados derivados de su realización sean conformes con lo establecido en el RGPD, sino como una obligación de análisis, de forma que si un responsable del tratamiento ha llevado adecuadamente a cabo el mismo, aun cuando el resultado pudiera ser erróneo a juicio de la autoridad de control, no existiría una vulneración del principio de Privacidad desde el Diseño, sino, en su caso, de alguno de los principios establecidos en el artículo 5 del RGPD o de las normas en que dichos principios se concretan. Por decirlo gráficamente, y como ya se ha apuntado anteriormente, es posible que de la realización del análisis del tratamiento efectuado por un responsable se derive un alcance del cumplimiento del deber de transparencia que posteriormente no sea considerado suficiente por parte de la autoridad de control, entendiendo ésta que la información facilitada a los interesados no es la suficiente. Sin embargo, ello no implicaría que la entidad en cuestión no hubiera cumplido su obligación de adoptar las medidas necesarias para el cumplimiento del principio de transparencia, sino que dicho principio no se consideraría por la AEPD respetado plenamente. Es decir, el resultado de esa apreciación sería una vulneración de los artículos 5.1 a), 13 y 14 del RGPD, pero no una vulneración de su artículo 25. No cabría sancionar la falta de privacidad desde el diseño, sino el supuesto incumplimiento del principio o de la norma en que se concreta. Y esta circunstancia es la que concurre en el presente caso: mi mandante ha analizado y valorado plenamente todas las medidas que correspondía adoptar para garantizar el cumplimiento de los principios establecidos en el artículo 5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/121 Cuestión distinta, negada por mi representada, será que la AEPD aprecie que una de las medidas de seguridad adoptadas por mi mandante es insuficiente. En ese caso podrá apreciarse que no se han adoptado las medidas adecuadas, pero en ningún caso esa supuesta insuficiencia podrá considerarse como un incumplimiento de lo preceptuado por el artículo 25.1 del RGPD.” b. Contenido del acuerdo de inicio: Según CaixaBank el fundamento de derecho VII del acuerdo de inicio expone, de forma meramente aparente, los motivos por los cuales la AEPD entiende que dicha entidad no ha dado cumplimiento al principio de privacidad desde el diseño. Estima que es meramente aparente, ya que dicho fundamento consiste única y exclusivamente en una descripción de lo que a juicio de la AEPD debe considerarse el principio de protección de datos desde el diseño. A continuación, reproduce extractos del fundamento de derecho VII. En opinión de CaixaBank, el acuerdo de inicio parece dar a entender que dicha entidad no ha llevado a cabo ningún tipo de actividad en que haya valorado lo riesgos para los derechos y libertades que podrían derivarse del (…) en relación con el cual se produjo el incidente. Por otra parte, una vez detectada la brecha, la medida adoptada, consistente en (…), es considerada “un mero parche”. Todo ello, según CaixaBank, lo razona la AEPD sobre la única y exclusiva base de las conclusiones del informe de actuaciones previas de investigación, que dicha entidad considera haber desvirtuado mediante la documentación aportada junto al escrito de alegaciones. CaixaBank considera que dicha entidad no ignoró los riesgos que se generaban como consecuencia de (…), que la medida adoptada no es un “mero parche” que no resolviera de forma definitiva la incidencia Según dicha entidad financiera: “De este modo, no resulta posible, como se pretende por el Acuerdo de Inicio, considerar que mi mandante no tuvo presente en (…) y en el momento posterior a la brecha de seguridad, (…) que minimizasen el impacto o los riesgos que el tratamiento de los datos podría generar en los derechos de los interesados y, particularmente, en su derecho a la protección de datos personales.” CaixaBank concluye que en el supuesto analizado no se ha producido quiebra alguna de las obligaciones de protección de datos desde el diseño exigibles a CaixaBank. Dicha entidad ha desarrollado una “amalgama de normas internas y procedimientos” encaminados al cumplimiento de dicho objetivo, aportados junto con su escrito de alegaciones al acuerdo de inicio. 4. Sobre la supuesta vulneración del artículo 32 del RGPD: CaixaBank reproduce un extracto del fundamento de derecho X, que según su punto de vista, incurre nuevamente en el maximalismo de entender que producido un incidente cuya probabilidad de concurrencia es prácticamente inexistente, dicha circunstancia determina que la referida entidad no ha adoptado medidas de seguridad sufiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/121 cientes para preservar los derechos de los interesados y garantizar la confidencialidad y disponibilidad de los datos. A continuación, dicha entidad bancaria afirma: “De este modo, la AEPD en el Acuerdo vincula el supuesto incumplimiento de lo dispuesto en el artículo 32 con la producción del resultado que desafortunadamente se produjo como consecuencia de la concurrencia de una serie de factores que, como se ha indicado, resultaban imprevisibles. Y en este punto, respetuosamente considera CAIXABANK que la AEPD yerra al considerar que la vigente normativa de Protección de Datos impone, en lo que respecta a la adopción de medidas de seguridad, una obligación de resultado, entendiendo esta parte que el evidente espíritu del legislador, al establecer el principio de responsabilidad proactiva, es promulgar una obligación de medios. Es decir, la apreciación de la existencia de medidas de seguridad en este caso no depende, como parece hacer depender el Acuerdo de Inicio, del hecho de que se haya producido o no un incidente de seguridad, sino de la existencia de dichas medidas y la realización de actuaciones por mi representada encaminadas a su determinación.” Posteriormente, hace referencia a la Sentencia del Tribunal Supremo de 15 de febrero de 2022 (recurso de casación: 7359/2020) que señala que la obligación impuesta por la normativa de protección de datos personales, de adoptar medidas técnicas y organizativas encaminadas a garantizar la confidencialidad, disponibilidad e integridad de la información, es una obligación de medios y no de resultado y reproduce parte de su fundamento de derecho tercero. CaixaBank estima que el expediente sancionador debería ser archivado, ya que las premisas sobre las que se apoya la AEPD para considerar que se ha producido una supuesta vulneración del artículo 32 del RGPD decaen ante la realidad de los hechos. Insiste en que el acuerdo de inicio sustenta su reproche en dos de las conclusiones del informe de actuaciones previas de investigación ((…)) lo que, según la interpretación de CaixaBank, conducía a la pretensión de que (…). La entidad bancaria afirma que ambas conclusiones han sido desmontadas en el escrito de alegaciones y gracias a la documentación aportada junto al mismo. Critica que el acuerdo de inicio afirme categóricamente que CaixaBank no contaba con unas medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (…). A continuación, insiste una vez más en una posible vulneración del principio de non bis in idem. 5. Sobre la supuesta vulneración del principio de seguridad: Según la interpretación de CaixaBank, el fundamento de derecho V del acuerdo de inicio funda su reproche en relación con una supuesta vulneración del artículo 5.1f) del RGPD en tres argumentos que, en la práctica, pueden resumirse en dos: “En primer lugar, se indica que la conducta es sancionable porque el incidente “ha revelado un problema que afectaba al diseño (…)”. Y ello conduce al Acuerdo a añadir: “(…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/121 Así, concluye el citado fundamento de derecho indicando que “lo que en principio parecía una brecha de confidencialidad, va más allá al ser también una brecha de disponibilidad. Pero, además, lo que se ha comprobado a partir de las actuaciones previas de investigación es que (…)”. CaixaBank afirma haber acreditado en su primera alegación que ninguna de las circunstancias que el acuerdo de inicio considera evidentemente ocurridas han tenido lugar. 1. Existe una única reclamación. 2. La solución dada por la entidad el ***FECHA.1 no puede ser calificada como un “mero parche”, dado que resulta imposible la repetición del mismo (…). 3. No existe una vulneración del principio de seguridad como pretende la AEPD. Vuelve a insistir en la vulneración del principio de non bis in idem. A continuación, CaixaBank niega que en el caso analizado se haya producido una brecha de disponibilidad, añadiendo: “(…).” Cita dos documentos aportados junto al escrito de alegaciones al acuerdo de inicio. CaixaBank vuelve a insistir en la conveniencia de archivar el procedimiento sancionador. 6. Sobre la supuesta vulneración del principio de proporcionalidad: Subsidiariamente, hace referencia a que dicho principio ha de ser tenido en consideración a la hora de determinar la sanción a imponer. Hace referencia al contenido de la Sentencia del Tribunal Supremo de 20 de noviembre de 2001 (recurso de casación: 7686/1997) en relación con el principio de proporcionalidad. En opinión de CaixaBank, la AEPD debe valorar que nos encontramos ante una sola reclamación formulada por un solo cliente de CaixaBank, no referida a sus propios datos, sino a los de un tercero, relacionada con un supuesto determinado y concreto: el acceso a un documento ajeno al reclamante. Dos de las infracciones establecidas por el RGPD para la conducta mencionada son de las incluidas en el artículo 83.4. La entidad financiera destaca que la AEPD no duda en imponer a dicha entidad tres sanciones, subsumibles unas en otras, por una cuantía total de cinco millones de euros, acudiendo para determinar el importe de la misma a criterios, en su opinión, completamente genéricos, que rechaza de plano. Además, los criterios utilizados para la agravación de una de las infracciones son literalmente reproducidos en las demás, concluyendo que los argumentos resultan perfectamente intercambiables entre los fundamentos de derecho VI, IX y XII. a. Respecto a la supuesta gravedad de la conducta: CaixaBank afirma que el acuerdo de inicio toma en consideración en los fundamentos de derecho VI, IX y XII, tres elementos esenciales que considera concurrentes para la agravación de la conducta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/121 1. La AEPD aprecia que nos encontramos ante (…): Dicho reproche sería, según interpreta el acuerdo de inicio CaixaBank, la justificación esencial de la imputación que se realiza por la supuesta vulneración del artículo 25.1 del RGPD. La entidad financiera afirma que la identificación de un supuesto fallo (…) no solo es constitutivo de uno de los tipos sancionadores, sino que agrava la responsabilidad en los otros dos (vulneración del principio non bis in idem). 2. Prolongación del incidente en el tiempo: La entidad financiera destaca que no consigue determinar si el acuerdo de inicio hace referencia a la brecha de datos personales objeto de la reclamación (…). 3. Afectación potencial del incidente a todos los clientes de CaixaBank: Considera inadmisible la referencia que efectúa el acuerdo de inicio a las Directices 4/2022 del Comité Europeo de Protección de Datos. b. Supuesta negligencia en la actuación de CaixaBank: Destaca que el acuerdo de inicio prácticamente reproduce los motivos que justifican la aplicación de esta agravante, volviendo a hacer referencia a la íntima conexión, que desde su punto de vista, existe entre las tres infracciones. 1. La AEPD considera que la solución aplicada para resolver la incidencia era un “mero parche”: CaixaBank afirma haber acreditado que la (…) no era una solución temporal, sino definitiva, que evitaba que la incidencia pudiera volver a producirse. La entidad financiera destaca que la solución de la incidencia se produjo en un breve plazo desde el momento en el que se produjo el incidente, ya que (…). Según CaixaBank el hecho reflejado en el párrafo anterior impide que puedan ser admitidos los argumentos que vinculan la supuesta negligencia en la actuación de la entidad bancaria con la duración temporal de la infracción. Además, dicha circunstancia ya se aprecia como agravante en el apartado relativo a la naturaleza y gravedad de la infracción. c. Vinculación de la actividad de CaixaBank con la realización de tratamientos de datos: La entidad bancaria considera que el acuerdo de inicio reproduce literalmente en la motivación de los fundamentos de derecho VI, IX y XII que la sanción debe agravarse como consecuencia de la vinculación de CaixaBank con la realización de tratamientos de datos. El acuerdo de inicio considera dicha circunstancia para reforzar la potencial afectación a los hechos y, posteriormente, se agrava la conducta desde el punto de vista de la supuesta negligencia y, finalmente, se considera que es en sí otra agravante, lo que supone una triple agravación derivada de un mismo hecho. Según destaca, a juicio de la AEPD, cuando una entidad financiera comete una supuesta infracción su conducta ha de verse triplemente afectada por el mero hecho de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/121 que pertenezca al sector financiero, lo que difícilmente puede considerarse acorde al principio de proporcionalidad. CaixaBank concluye que la imposición de tres sanciones de la cuantía reflejada en el acuerdo de inicio solo puede considerarse desproporcionada y vulneradora del principio de proporcionalidad, especialmente si se tiene en cuenta que se fundan en la detección de un solo incidente. Finalmente, CaixaBank solicita el archivo del procedimiento sancionador o, subsidiariamente, la imposición de una advertencia o apercibimiento o una reducción significativa de la cuantía establecida Enel acuerdo de inicio. Asimismo, invoca la confidencialidad y el secreto empresarial de los documentos aportados. OCTAVO: PERIODO DE PRÁCTICA DE PRUEBA Con fecha 7 de junio de 2023 se acuerda abrir un periodo de práctica de prueba. Se acuerda, asimismo: - Dar por reproducidos, a efectos probatorios, la reclamación interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, así como los obtenidos y generados durante la fase de actuaciones previas de investigación y el informe de actuaciones previas de investigación, que forman parte del procedimiento ***PROCEDIMIENTO.1. - Dar por reproducido, a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por CAIXABANK, S.A., y la documentación que a ellas acompaña. Se practican las siguientes diligencias de prueba: a. Ante la reclamada: Práctica de prueba I: 1. En el mismo escrito de fecha 7 de junio de 2023 en el que se comunica la apertura de un periodo de práctica de prueba, se requiere que remita la siguiente información y documentación en relación con la brecha de datos personales, que ha permitido la visualización por parte del reclamante del comprobante de una transferencia realizada por un tercero en el apartado correspondiente a (…): - Indicar la fecha en la que CaixaBank determinó la causa de la brecha de datos personales, que ha permitido que (…). Aportar acreditación documental fechada y firmada. - Indicar la fecha en la que (…). Aportar acreditación documental fechada y firmada. -Aportar el documento que visualizaba el ordenante de la transferencia (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/121 - En el escrito de esa entidad de fecha 13 de diciembre de 2022, remitido tras un requerimiento del inspector, se indicaba: “(…).” Aportar certificado fechado y firmado acreditativo de toda la información contenida en el registro de incidentes de CaixaBank relativa a la brecha de datos personales por la que el reclamante visualizó el comprobante de la transferencia realizada por otro cliente de esa entidad bancaria, así como el informe que sobre dicha brecha elaboró dicha entidad bancaria fechado y firmado. Asimismo, aportar la primera comunicación fechada y firmada dirigida al Delegado de Protección de Datos de esa entidad bancaria relacionada con la brecha de datos personales analizada en este expediente y a la que se hace referencia en el párrafo anterior. - En relación con el sistema (…), que, según su escrito de 13 de diciembre de 2022 de esta entidad financiera, (…), indicar y acreditar el periodo de tiempo (previo al ***FECHA.1) durante el cual estuvo (…). - Indicar detalladamente qué sucede una vez que (…) aportado por esta entidad financiera junto con su escrito de alegaciones. Una vez que el cliente visualiza (…). - Indicar la causa por la que esa entidad bancaria decidió (…). Aportar documento fechado y firmado donde se refleje que la desactivación se produjo en dicha fecha y la causa por la que se decidió llevar a cabo dicha desactivación. - Indicar si como consecuencia de la brecha de datos personales, que permitió al reclamante tener acceso al comprobante de una transferencia realizada por otro cliente de esa entidad bancaria, se ha llevado a cabo por parte de esa entidad alguna medida diferente (…). En caso de respuesta afirmativa, aportar: 1. Descripción de la medida llevada a cabo. 2. Fecha en la que se realizó dicha medida 3. Aportar documentación fechada y firmada que acredite dicha medida. - Indicar si esa entidad, a partir de la fecha en la que detectó la brecha de datos personales analizada, ha llevado a cabo alguna medida destinada a (…). En caso afirmativo: 1. Descripción de la medida llevada a cabo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/121 2. Fecha en la que se adoptó dicha medida 3. Aportar documentación que acredite la medida adoptada fechada y firmada - Indicar si se ha llevado a cabo por parte de dicha entidad bancaria, a partir de la fecha en la que detectó la brecha de datos personales analizada, alguna medida destinada a (…). 1. Descripción de la medida llevada a cabo. 2. Fecha en la que se adoptó dicha medida. 3. Aportar documentación que acredite la medida adoptada fechada y firmada. - Aportar los análisis de riesgos y las definiciones de requisitos de seguridad (…), que estuvieron involucrados en la brecha de datos personales que está siendo analizada en este expediente, en lo que a la brecha, que ha permitido al reclamante visualizar el comprobante de la transferencia realizada por otro cliente, se refiere (se solicitan los elaborados antes del 1 de febrero de 2021 y, en su caso, los elaborados con posterioridad a dicha fecha). Los documentos habrán de presentarse fechados y firmados y en el caso de haber distintas versiones, aportar todas ellas. - En el documento (…) se indica: Artículo 1. (…) (…)
  25. b)(…). Acreditar documentalmente los mecanismos que había implantados en (…). - Indicar la causa por la que dicha entidad realizó dos (…) en fechas tan próximas (…). En el supuesto de haber realizado otro u otros (…) desde el 1 de febrero de 2021 hasta la actualidad, aportarlos fechados y firmados. - (…). - Aportar, fechados y firmados, los siguientes documentos en la versión vigente en esa entidad bancaria a fecha 1 de febrero de 2021: (…). (…). (…). (En este caso, aportar, en su caso, el documento que sobre esta misma materia estuviera vigente a fecha 1 de febrero de 2021). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/121 2. Con fecha 13 de junio de 2023 se recibió una solicitud de CaixaBank de ampliación del plazo conferido para la práctica de la prueba I en 5 días hábiles adicionales, concediéndose la ampliación de plazo solicitada. 3. El día 28 de junio de 2023 se recibió un escrito de CaixaBank en respuesta a la solicitud de prueba de 7 de junio de 2023, acompañado de diversa documentación. Práctica de prueba II: 1. Examinada la documentación presentada por CaixaBank, el 10 de julio de 2023 se requiere a CaixaBank para que remita la siguiente información y documentación: - Copia de la reclamación presentada por D. A.A.A. (el reclamante) en la oficina de atención al cliente de CaixaBank el 31 de octubre de 2021 registrada (…), junto con la documentación, que en su caso la acompañase. - En relación con los DOCUMENTOS (…), certificado fechado y firmado en el que se indique la fecha (…). - Certificado fechado y firmado en el que se indique el dato/s modificado/s por D. A.A.A. (el reclamante) el 1 de febrero de 2021 al realizar la actualización de datos de contacto. - En el escrito de esa entidad financiera de 28 de junio de 2023 se indica que el ***FECHA.1 (…). - En el escrito de apertura del periodo de práctica de pruebas se requería: “(…)” (…): “En primer lugar, es preciso señalar lo siguiente:
  26. i)(…)
  27. ii)(…). (…).” En el escrito de 13 de diciembre de 2022, elaborado por esa entidad bancaria en contestación a un requerimiento de información del inspector, se afirmaba: (el subrayado es nuestro) “PLAN DE ACCIÓN Y ELIMINACIÓN DE RIESGO (…).” Por otra parte, en el escrito de alegaciones al acuerdo de inicio de 20 de febrero de 2023 esa entidad financiera destacaba: (el subrayado es nuestro). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/121 “(…).” A la vista de los extractos de los escritos de esa entidad financiera que acaban de ser reproducidos, se solicita que se aporte un escrito fechado y firmado en el que se aclare (…). - En el escrito de 13 de diciembre de 2022, elaborado por esa entidad financiera en contestación a un requerimiento de información del inspector, figura la siguiente información: “(…).” A la vista de la documentación remitida por esa entidad financiera, aclarar si la información (…). Asimismo, aclarar si la información (…). 2. Con fecha 14 de julio de 2023 se recibió una solicitud de CaixaBank de ampliación del plazo conferido para la práctica de la prueba II en 3 días hábiles adicionales. Con esa misma fecha se remitió a la parte reclamada un escrito en el que se comunicaba que se acordaba no ampliar el plazo para aportar la documentación e información requeridas en la práctica de pruebas II en tres días hábiles adicionales, dado que con dicho plazo adicional se superaría el plazo de 30 días para la apertura del período de prueba contemplado en el artículo 77.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. 3. El día 18 de julio de 2023 se recibió un escrito de CaixaBank en respuesta a la solicitud de prueba de 10 de julio de 2023, acompañado de diversa documentación. Práctica de prueba III: 1. Examinado el contenido del documento (…), el 12 de julio de 2023 se requiere a CaixaBank para que remita certificado fechado y firmado en el que se acredite: - (…). - (…). 2. Con fecha 14 de julio de 2023 se recibió una solicitud de CaixaBank de ampliación del plazo conferido para la práctica de la prueba III en 1 día hábil adicional. Con esa misma fecha se remitió a la parte reclamada un escrito concediendo la ampliación de plazo solicitada. 3. El día 18 de julio de 2023 se recibió un escrito de CaixaBank en respuesta a la solicitud de prueba de 12 de julio de 2023. b. Ante la Inspeccion de la AEPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/121 1. Con fecha 17 de julio de 2023 se remite al Coordinador de la Inspección una nota interior en la que se indica lo siguiente: “(…) El día 28 de junio de 2023 se recibió un escrito aportado por CAIXABANK, S.A., cuya copia se acompaña, (…): “(…)” Se solicita, que la vista de la información aportada por CAIXABANK, S.A. en este expediente, elabore, con carácter urgente, informe acerca de la probabilidad de que se produjera (…). Asimismo, se solicita que indique si ese cálculo de probabilidad se podría aplicar al número o (…).” 2. El día 18 de julio de 2023 se recibe un informe del Inspector solicitado por la instructora en el marco de la práctica de la prueba, cuyo contenido se reproduce a continuación: “INFORME SOLICITADO POR LA INSTRUCTORA DEL PS/00020/2023 EN EL MARCO DE LA PRÁCTICA DE LA PRUEBA ANTECEDENTES Fecha de entrada de la reclamación: 10 de mayo de 2022 Reclamante: A.A.A. (en adelante, la parte reclamante) Reclamado: CAIXABANK, S.A. (en adelante, la parte reclamada) Hechos según manifestaciones de la parte reclamante: La parte reclamante es cliente de la parte reclamada. Manifiesta que, (…), en concreto, (…)" figura un documento (de fecha 1 de febrero de 2021) relativo a una transferencia de un tercero (en la que figuran numerosos datos personales de dicho tercero, tales como DNI, domicilio postal, número de cuenta bancaria, etc) realizada a otra persona desconocida. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: CAIXABANK, S.A. con NIF A08663619 con domicilio en DIRECCIÓN.1 VALÈNCIA (VALENCIA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN  En relación a la (…), los representantes de la entidad informan que (…) Facilitan además que en el momento (…), esto implica (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/121 (…)  (…): (…). (…). Hay que tener en cuenta que los valores de probabilidad dan el valor medio lo que implica que, aunque el sistema tiene (…). (…). CONCLUSIONES (…). B.B.B. INSPECTOR “ 3. Con fecha 18 de julio de 2023 se elabora una diligencia que da por reproducido, a efectos probatorios, el informe de la misma fecha elaborado por el inspector, cuyo contenido ha sido reflejado en el apartado anterior. OCTAVO: PROPUESTA DE RESOLUCIÓN Con fecha 19 de septiembre de 2023 se formuló propuesta de resolución, proponiendo: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a CAIXABANK, S.A., con NIF A08663619, por una infracción del Artículo 5.1.
  28. f)del RGPD tipificada en el artículo 83.5.
  29. a)y calificada como muy grave a efectos de prescripción en el artículo 72.1
  30. a)de la LOPDGDD, con una multa de 2.000.000 € (dos millones de euros). SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad CAIXABANK, S.A, por una infracción del Artículo 25 del RGPD, tipificada en el artículo 83.4
  31. a)y calificada como grave a efectos de prescripción en el artículo 73
  32. d)de la LOPDGDD, con una multa de 1.500.000 € (un millón quinientos mil euros). TERCERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad CAIXABANK, S.A, por una infracción del Artículo 32 del RGPD, tipificada en el artículo 83.4
  33. a)y calificada como grave a efectos de prescripción en el artículo 73
  34. f)de la LOPDGDD, con una multa de 1.500.000 € (un millón quinientos mil euros). CUARTO: Que por la Directora de la Agencia Española de Protección de Datos se proceda a requerir a CAIXABANK, S.A., que en virtud del artículo 58.2.
  35. d)del RGPD, implante las medidas correctoras necesarias para adecuar su actuación a la normativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/121 de protección de datos personales en el plazo que se determine, así como que informe a esta Agencia en el mismo plazo sobre las medidas adoptadas.” NOVENO: ALEGACIONES A LA PROPUESTA DE RESOLUCIÓN Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones a la propuesta de resolución el 6 de octubre de 2023, en el que, en síntesis, manifesta lo siguiente: CaixaBank reitera la totalidad de las alegaciones formuladas al acuerdo de inicio en su escrito de 20 de febrero de 2023. En opinión de la entidad bancaria, la propuesta de resolución reitera lo que ya había sido argumentado por la AEPD en el acuerdo de inicio, argumentación que consideran errónea, sin atender a lo alegado por CaixaBank. CaixaBank expone los motivos por los que, en su opinión, debería procederse al archivo del expediente: I. La entidad bancaria estima que la propuesta de resolución realiza una serie de consideraciones inexactas: 1.La parte reclamada considera que dicha propuesta parte de un informe elaborado por el Inspector el 18 de julio de 2023, aportado junto con dicha propuesta, en el que se calcula la probabilidad de concurrencia de los hechos que dieron lugar a la brecha de datos personales analizada en el presente expediente. En relación con dicho informe, CaixaBank considera que: a. La metodología utilizada carece del adecuado rigor científico. b. No tiene en cuenta que (…). c. Los datos utilizados (…) (fecha en la que se produjo la brecha de datos personales objeto del expediente), (…). En esa fecha, (…) y la entidad bancaria afirma que no podía producirse una brecha de datos personales. d. La probabilidad calculada sería (…), no la real. 2. La Propuesta de resolución obvia que la (…) era, en opinión de CaixaBank, una medida suficiente para impedir que la brecha de datos personales pudiera volver a producirse. 3. La AEPD establece un concepto de brecha de disponibilidad que no se corresponde con el fijado por la propia AEPD y los órganos competentes en el marco de la Unión Europea. En opinión de CaixaBank, se equipara a brecha de disponibilidad de datos lo que únicamente es una falta de disponibilidad en un servicio prestado de manera voluntaria a sus clientes ((…)). Asimismo, afirma que el reclamante nunca vio limitada su posibilidad de acceso a dichos datos. 4. La AEPD asimila la solicitud de modificación de los datos de contacto por parte del reclamante con el derecho de rectificación, pero al propio tiempo conC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/121 sidera que el hecho de que el interesado no reciba la acreditación de la modificación realizada hasta (…) supone una vulneración de la normativa de protección de datos. A pesar de que dicha normativa establece un plazo de un mes para dar respuesta a la solicitud de rectificación. 5. La AEPD indica, de forma novedosa en la propuesta de resolución, que CaixaBank carece de un procedimiento adecuado para la atención de las reclamaciones de sus clientes en materia de protección de datos, a pesar de disponer únicamente de un caso en el que dicho procedimiento no ha sido cumplido y de no haber requerido a la entidad bancaria sobre la existencia de dicho procedimiento. En opinión de la entidad bancaria, se habría vulnerado la doctrina sentada en la Sentencia de la Audiencia Nacional de 23 de diciembre de 2022, al convertir lo ocurrido en un caso concreto en una vulneración sistemática. II. CaixaBank insiste en que la propuesta vulnera el principio non bis in idem. III. La parte reclamante vuelve a destacar que, en su opinión, existe un concurso medial entre las tres infracciones imputadas a la entidad bancaria. En este sentido, destaca que la propuesta efectúa un razonamiento que conduce a considerar que los principios del derecho sancionador y la doctrina del Tribunal Constitucional relativa a la aplicación de las garantías del derecho penal al derecho administrativo sancionador no resultan de aplicación en este caso, por el simple hecho de que dichos principios no se encuentran expresamente recogidos en la normativa de protección de datos. Asimismo, CaixaBank afirma que la AEPD sienta una doctrina contraria a la previamente adoptada en otras resoluciones en las que había apreciado la concurrencia del concurso medial. IV. En opinión de la entidad bancaria, ninguna de las tres infracciones contempladas en la propuesta de resolución resulta conforme a derecho. Artículo 25 del RGPD: CaixaBank afirma que respeta plenamente el principio de privacidad desde el diseño en toda actuación que conlleva el tratamiento de datos de carácter personal, así como al tramitar reclamaciones dirigidas a dicha entidad por parte de sus clientes o de cualquier interesado. Considera que las medidas que utiliza (…) son medidas encaminadas a garantizar, desde el diseño, la seguridad de los datos, la integridad de los documentos y evitar los riesgos para los derechos y libertades de los interesados. Destaca que las medidas sucesivamente adoptadas por CaixaBank no suponen sino la asunción del principio de privacidad desde el diseño y el refuerzo de las garantías de los derechos de los interesados. Niega que se pueda apreciar la concurrencia de responsabilidad por su parte a partir de supuestas “dudas” en relación con dichas medidas, ya que se vulneraría el principio de presunción de inocencia. Artículo 32 RGPD: Considera que el razonamiento sobre la supuesta ausencia de medidas de seguridad parte del cálculo realizado por el Inspector el 18 de julio de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/121 Artículo 5.1 f): En opinión de la entidad bancaria, la supuesta vulneración del principio de confidencialidad trae causa, única y exclusivamente, de la ausencia de medidas de seguridad, no sería sino un resultado no querido consecuencia de la adopción por parte de CaixaBank de las medidas de seguridad adecuadas. La parte reclamante considera que se utilizaría esta vía para dejar sin aplicación la doctrina del Tribunal Supremo que considera la obligación de medidas de seguridad como una obligación de medios y no de resultado. V. CaixaBank afirma haber adoptado las medidas técnicas y organizativas adecuadas para evitar que la brecha de datos personales vuelva a producirse en el futuro. Asimismo, destaca que la propuesta de resolución se refiere a la necesaria adopción por su parte de medidas correctoras sin especificar cuáles son dichas medidas, lo que implica una clara situación de indefensión para la entidad bancaria. VI. La parte reclamada insiste de nuevo en la vulneración del principio de proporcionalidad. Considera que se aplican unas circunstancias que, en su opinión, no concurren en el caso analizado. Además. estima que dichas circunstancias se ven afectadas por el cálculo efectuado por el Inspector. En opinión de la parte reclamada, la propuesta no tiene en cuenta que la posibilidad de reiteración del incidente es completamente imposible desde hace casi dos años antes de iniciarse el procedimiento sancionador e incluso antes de haberse formulado la reclamación por parte del interesado. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS ÍNDICE DE HECHOS PROBADOS A los efectos de facilitar la lectura de los hechos probados consignados en la resolución indicaremos que:  Del hecho probado primero al hecho probado vigésimo octavo se consignan los hechos probados referidos a la reclamación presentada por el reclamante.  Del hecho probado vigésimo noveno al hecho probado cuadragésimo primero se consignan los hechos probados relativos a (…).  Del hecho probado cuadragésimo segundo al hecho probado cuadragésimo quinto se consignan los hechos probados relativos al (…).  Del hecho probado cuadragésimo sexto al hecho probado quincuagésimo se consignan los hechos probados relativos a (…).  El hecho probado quincuagésimo primero se refiere a la (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/121  Del hecho probado quincuagésimo segundo al hecho probado quincuagésimo tercero se consignan los hechos probados referidos (…). PRIMERO: D. A.A.A. (el reclamante), cliente de CaixaBank, realizó el día 1 de febrero de 2021, fecha en la que se produjo la brecha de datos personales, una actualización de sus datos de contacto. (…). SEGUNDO: La actualización de datos de contacto llevada a cabo por D. A.A.A. el día 1 de febrero de 2021 consistió en: - Dar de baja el Teléfono (…) ***TELÉFONO.1 - Dar de alta el Teléfono (…) ***TELÉFONO.2 - Dar de alta el Teléfono (…) ***TELÉFONO.3 En el certificado de CaixaBank de 18 de julio de 2023 se indica: “(…)” TERCERO: La actualización de datos de contacto se realizó. Sin embargo, (…): En este sentido, CaixaBank en su escrito de 13 de diciembre de 2022 afirma: “(…) los documentos (…). (…).” CUARTO: (…). QUINTO: En esa misma fecha (1 de febrero de 2021), en la que se produjo la brecha de datos personales, D. C.C.C.realizó una transferencia, (…), dirigida a un tercero, cliente de otra entidad bancaria. Dicha transferencia se efectuó correctamente. En el escrito de CaixaBank de 13 de diciembre de 2022 se indica: “efectivamente se hizo (…). La operación fue correcta.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/121 SEXTO: En el comprobante de la transferencia realizada por D. C.C.C., que pudo visualizar el reclamante, figuraban numerosos datos:               Nombre de la entidad bancaria (…). Fecha en la que se realizó la solicitud de emisión de transferencia: (…) Hora en la que se realizó la operación bancaria: (…) Número de referencia de la operación bancaria Nombre, apellidos, NIF del ordenante de la transferencia, así como su domicilio. IBAN de la cuenta corriente desde la cual se realizó la transferencia. (…) o código bancario. Importe de la transferencia. Concepto por el que se realizó la transferencia. Nombre y Apellidos del beneficiario de la transferencia. IBAN de la cuenta bancaria del beneficiario de la transferencia. (…) o código bancario. Datos de la entidad de destino: (…) Justificante electrónico de evidencia de la autorización realizada a través de (…). En consecuencia, el reclamante pudo tener acceso a datos de carácter personal (nombre y apellidos, tanto del ordenante como del beneficiario de la transferencia, NIF y domicilio del ordenante, IBAN de las cuentas bancarias de origen y destino de la transferencia). Así como múltiples datos relativos a la operación bancaria realizada. SÉPTIMO: CaixaBank destaca que, a pesar de la brecha de datos personales, D. C.C.C. (ordenante de la transferencia) pudo visualizar (…) el comprobante de la transferencia que había realizado desde un primer momento. En el escrito de 28 de junio de 2023, elaborado en contestación a la petición de prueba I, CaixaBank indica: “(…)”. OCTAVO: El día en el que tuvieron lugar ambas operaciones bancarias y se produjo la brecha de datos personales (1 de febrero de 2021), en CaixaBank se realizaron (…). En el certificado de CaixaBank de 18 de julio de 2023, elaborado en respuesta a la solicitud de práctica de prueba III, se indica lo siguiente: “1. (...).” NOVENO: El reclamante tuvo disponible en el apartado denominado “(…)” (…) el comprobante de la transferencia realizada por D. C.C.C.a un tercero, cliente de otra entidad bancaria, pudiendo acceder al contenido de dicho documento desde el (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/121 En el hecho probado sexto se reflejan qué datos personales figuraban en dicho comprobante. DÉCIMO: El reclamante no tuvo disponible en el apartado denominado (…) el comprobante de la actualización de datos de contacto realizada hasta el (…). UNDÉCIMO: El día 31 de octubre de 2021 el reclamante presentó una reclamación ante la oficina de atención al cliente de CaixaBank, que fue registrada con el número ***REGISTRO.1 con el siguiente texto: “Hola Tengo un documento Que aparece en mi (…) el 01/02/2021 confidencial de otro cliente Caixa haciendo aparecer todas las informaciones personal y confidencial de las personas por una transferencia Pido reclamación porque es una divulgación grave de información personal y como indemnización pido la valor de la transferencia que aparece en este documento ***CANTIDAD € Saludo” - El comprobante de la transferencia de 1 de febrero de 2021 realizado por D. C.C.C., que también acompañaba a la reclamación trasladada a la AEPD por el Banco de España, cuyo contenido ha sido reflejado en el hecho probado decimocuarto. - (…). (…)” (…) En contestación a la solicitud de la práctica de prueba II, CaixaBank ha aportado, además de la documentación a la que se acaba de hacer referencia, una captura de pantalla en la que figura la siguiente información (DOCUMENTO NÚMERO 1): (…). En el campo destinado a reflejar la reclamación figura una información preliminar: (…) DUODÉCIMO: El 2 de noviembre de 2021 a las 14:32 el reclamante recibió, en su dirección de correo electrónico, el siguiente mensaje automático procedente de la oficina de atención al cliente de CaixaBank. Título del mensaje (…) Texto del mensaje: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/121 “(…)” (…) DECIMOTERCERO: El reclamante recibió respuesta a la reclamación de fecha 31 de octubre planteada mediante un escrito de CaixaBank de fecha 10 de noviembre de 2021, (…), en el que se hacía referencia a una supuesta disconformidad con unos recibos cargados en la cuenta bancaria del reclamante y no autorizados: En dicho escrito, se indicaba: “Respuesta a su queja o reclamación Núm. Ref. Reclamación: ***REGISTRO.1 [Coincidente con el número asignado a la reclamación que presentó el reclamante en CaixaBank reflejado en el hecho probado duodécimo]. Distinguido señor: Nos dirigimos a usted en respuesta a su reclamación, la cual muestra disconformidad con unos recibos cargados en su cuenta y no autorizados. Ante todo, deseamos explicarle que en CaixaBank nos esforzamos por poner a su disposición los medios necesarios para atenderle con la máxima profesionalidad, y para ello invertimos todos nuestros esfuerzos para lograr este objetivo. Así, pues, lamentamos que la percepción del servicio recibido no haya cumplido con sus expectativas. Le confirmamos que, en todo caso, su opinión es de gran valor para CaixaBank ya que, sin duda, permitirá a la entidad mejorar el servicio de calidad que desea ofrecer a sus clientes. En este sentido, una vez realizadas las comprobaciones oportunas, debemos comunicarle que CaixaBank se limita a cargar los recibos conforme a lo que indica el emisor de la orden de pago. Por lo que deberá dirigirse la compañía emisora del recibo para solicitarle la orden de domiciliación correspondiente. Por lo que entendemos que su pretensión ha quedado satisfecha y damos por concluida nuestra actuación en este asunto, quedando a su disposición para cualquier cuestión que precise. Esperando haberle podido facilitar una respuesta e información útil, deseamos manifestarle nuestro agradecimiento por la confianza depositada en CaixaBank y por la oportunidad que nos ofrece de mejorar la calidad de nuestro servicio. En caso de disconformidad con esta decisión, puede plantear su reclamación ante el Servicio de Reclamaciones del Banco de España, mediante escrito presentado en la dirección postal (…) o de manera telemática (…) Sin otro particular, reciba un cordial saludo” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/121 DECIMOCUARTO: El 10 de febrero de 2022 a las 10:42:29 tuvo entrada en el Departamento de Conducta de Entidades del Banco de España una reclamación presentada por D. A.A.A. en la que indicaba: “CaixaBank no respeta las normas de la confidencialidad de datos tengo un documento de datos personal de otra persona que no tiene que ver conmigo en este documento de transferencia hay información como NIE número cuenta bancaria… Este documento aparece (…) el 1febreo 2021 reclamo valor de la transferencia que aparece por falta grave a este norma cuando he hecho reclamacion a la caixa como siempre no contesta realemente al problema enonciado” Acompaña a dicha reclamación diversa documentación, entre ellos: 1. El comprobante de la transferencia realizada por D. C.C.C., cuyo contenido ha sido reflejado en el hecho probado sexto. 2. La respuesta automática enviada por CaixaBank el 2 de noviembre de 2021 al recibir la reclamación de D. A.A.A. de fecha 31 de octubre de 2021, reproducida en el hecho probado duodécimo. 3. La respuesta a la queja o reclamación de CaixaBank de 10 de noviembre de 2021, derivada de la reclamación presentada el día 31 de octubre de 2021, reflejada en el hecho probado decimotercero. DECIMOQUINTO: El 5 de mayo de 2022 el Departamento de Conducta de Entidades del Banco de España remitió a esta Agencia la reclamación de fecha 10 de febrero de 2022 presentada por D. A.A.A., por entender que su objeto afectaba esencialmente a actividades relacionadas con la protección de datos. DECIMOSEXTO: El 7 de junio de 2022 la AEPD trasladó la reclamación solicitando información a CaixaBank. El acuse de recibo relativo a dicho traslado acredita que CaixaBank aceptó la notificación el 8 de junio de 2022. DECIMOSÉPTIMO: (…). Por una parte, en el escrito de CaixaBank de 28 de junio de 2023, elaborado en contestación a la práctica de prueba I, se indica: “(…).” Por otra, junto con dicho escrito de 28 de junio de 2023, CaixaBank ha aportado un correo electrónico titulado (…) con el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/121 “ (…) (...)” DECIMOCTAVO: El 22 de julio de 2022 CaixaBank envió un escrito al reclamante al objeto de dar respuesta a la reclamación que había presentado el 31 de octubre de 2021. Dicho escrito muestra que la entidad bancaria en ese momento estaba tratando de determinar la causa que había permitido a D. A.A.A. acceder el al comprobante de una transferencia que había realizado otro cliente de CaixaBank a un tercero cliente de otra entidad bancaria. En el escrito se indica que en esa fecha (22 de julio de 2022) ya no era accesible el justificante de la transferencia realizada por D. C.C.C. a través del (…). Contenido del escrito dirigido al reclamante: “(…): (…).” En esa misma fecha, 22 de julio de 2022, CaixaBank dirigió a esta Agencia otro escrito, cuyo contenido es muy similar al enviado al reclamante, que se reproduce parcialmente: “(…): (…)” DECIMONOVENO: A fecha 22 de julio de 2022 Don A.A.A., el reclamante, no tenía su disposición (…) el comprobante de la actualización de datos de contacto que había realizado el día 1 de febrero de 2021. VIGÉSIMO: El 4 de agosto de 2022 CaixaBank (casi dos meses después de haber sido consciente de la brecha de datos personales) realizó un primer informe sobre la brecha de datos personales objeto de la reclamación. Indicando que la brecha de datos personales: 1. (…) 2. (…), 3. (…). En dicho informe, entre otros aspectos, se indica: “(…) (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/121 VIGÉSIMO PRIMERO: El 12 de agosto de 2022 el reclamante no disponía aún del justificante de la (…) que había realizado el 1 de febrero de 2021, fecha en la que se produjo la brecha de datos personales. En esa misma fecha, 12 de agosto de 2022, se recibió en la AEPD un escrito del reclamante, enviando copia de un escrito de esa misma fecha dirigido al servicio de atención al cliente de CaixaBank con el siguiente texto: “Hola He recibido la respuesta de este reclamación Primero reconocéis el error y eso me alegro Pero sigue una error que compromete los la protección de datos de los clientes caixa y si yo he recibo este documento quien ha recibido el documento de (…) con mis datos bancarias y personal? Segundo dices que es una error puntual Pero el documento ha estado generado el 1 feb 2021 He hecho la reclamación al banco de España el 10 feb 2022 y a la fecha del 22 julio 2022 que a partir de este día este documento no aparece ningún documentos ajeno a los operativas realizadas Entonces por una error puntual de divulgación de datos protegidas se ha quedado casi 1 año y 5 meses con la posibilidad de acceder este documento Tercero cito: 1 feb 2021 realizó l operativa: (…) en este caso porque no puedo acceder a este documento relativo a este operación con el bueno documento correspondiente Cuando verifico (…) Te adjunto foto del periodo de este operación que tengo actualmente y el que he tomado antes simplemente (…) Pero si yo he hecho una operación a este fecha tendré que aparecer (…) y yo pido que me envías el documento relacionado a este (…) (…) por para decir que el problema está areglado cuando tenéis que rectificar y poner me el bueno documento que corresponde a este operación Eso significa una cosa es que el problema no está arreglado y pues más fácil de hacer (…) si es eso cómo analizáis el problema (…) …. Esperando una respuesta rapido con compensación financiera” VIGÉSIMO SEGUNDO: El ***FECHA.2 el reclamante tuvo disponible (…) el documento que le permitía comprobar la actualización de datos de contacto que había realizado el 1 de febrero de 2021, fecha en la que se produjo la brecha de datos personales. CaixaBank en su escrito de 28 de junio de 2023, elaborado en contestación a la práctica de la prueba I de fecha 7 de junio de 2023, indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/121 “(…)” VIGÉSIMO TERCERO: El 4 de octubre de 2022 CaixaBank consideraba que se había producido (…). En este sentido, la AEPD recibió la contestación de CaixaBank al requerimiento de información del Inspector de 23 de septiembre de 2022 en la que se indica, entre otros aspectos, lo siguiente: “
  36. a)(…): (…).
  37. b)(…).” VIGÉSIMO CUARTO: (…) de la brecha de datos personales. (…). Dicha entidad financiera destaca en su escrito de 28 de junio de 2023, en contestación a la práctica de prueba I: “(…)” VIGÉSIMO QUINTO: El 21 de noviembre de 2022 el inspector remitió a CaixaBank un segundo requerimiento de información, en el que, entre otras cuestiones, se requería: “Se requiere que comuniquen a esta Agencia  Informe completo del análisis realizado sobre el incidente.  Explicación detallada de (…). Se deberá aportar acreditación documental.  Descripción (…). Se deberá aportar acreditación documental.” VIGÉSIMO SEXTO: El 12 de diciembre de 2022 CaixaBank realizó (…) (elaborado un día antes de dar respuesta al segundo de requerimiento de información del Inspector). Indicando que la brecha de datos personales: 1. (…) 2. (…) 3. (…). (…): “(…) (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/121 VIGÉSIMO SÉPTIMO: El 13 de diciembre de 2022 CaixaBank informó a esta Agencia de que la brecha de datos personales, que calificaba únicamente como de pérdida de confidencialidad, se había producido (…). (…). A continuación, se reproducen dos extractos del escrito elaborado por CaixaBank el 13 de diciembre de 2022 relativos a esta cuestión: (…) En el escrito de CaixaBank de 13 de diciembre de 2022 se indica: (…) Posteriormente, en el escrito de alegaciones al acuerdo de inicio de 20 de febrero de 2023 elaborado por CaixaBank en relación con esta cuestión se destacaba: (…) VIGÉSIMO OCTAVO: A fecha 13 de diciembre de 2022 (…): En el escrito de CaixaBank de 13 de diciembre de 2022 se destaca: (…) VIGÉSIMO NOVENO: Tanto en el escrito de CaixaBank de fecha 13 de diciembre de 2022 como en el escrito de CaixaBank de alegaciones al acuerdo de inicio de fecha 20 de febrero de 2023 CaixaBank afirmó que la acción llevada a cabo como consecuencia de la brecha de datos personales, como solución y medida de robustez del sistema, fue (…). A continuación, se reproduce un párrafo del escrito de CaixaBank de 13 de diciembre de 2022: (…) Asimismo, se reproduce el apartado denominado (…) del escrito de CaixaBank de 13 de diciembre de 2022: (…) En relación con esta cuestión, en el DOCUMENTO NÚMERO 7, que acompaña al escrito de alegaciones al acuerdo de inicio de CaixaBank de 20 de febrero de 2023 se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/121 (…) TRIGÉSIMO: CaixaBank afirma que en el momento en el que se produjo la brecha de datos personales, (…) En el escrito de 13 de diciembre de 2022 se indica: (…) TRIGÉSIMO PRIMERO: (…) En el escrito de CaixaBank de 28 de junio de 2023, elaborado en respuesta a la práctica de prueba I, se indica: (…) TRIGÉSIMO SEGUNDO: (…) En el escrito de 28 de junio de 2023, elaborado con motivo de la práctica de prueba I, se indica: (…) TRIGÉSIMO TERCERO: CaixaBank afirma que (…). En este sentido, en el escrito de 28 de junio de 2023, en respuesta a la práctica de prueba I, se indica: (…) TRIGÉSIMO CUARTO: (…). (…). (…) TRIGÉSIMO QUINTO: CaixaBank afirma que, (…). En este sentido, en el escrito de 18 de julio de 2023, elaborado en contestación a la práctica de prueba II, se destaca: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/121 (…) TRIGÉSIMO SEXTO: (…). En relación con esta cuestión, en el escrito de 18 de julio de 2023, elaborado en contestación a la práctica de prueba II, se señala: (…): (…), TRIGÉSIMO SÉPTIMO: (…): 1. (…). 2. (…). 3. (…). Se reproducen tres párrafos del escrito de 18 de julio de 2023, elaborado en contestación a la práctica de prueba II (…) TRIGÉSIMO OCTAVO: El inspector estima (…). En este sentido, en el informe de actuaciones previas de investigación de fecha 18 de enero de 2023 se indica: “La forma de solucionar la incidencia, (…). TRIGÉSIMO NOVENO: (…): 1.(…). 2.(…). 3. (…). Se reproducen tres párrafos del escrito de 18 de julio de 2023, elaborado en contestación a la práctica de prueba II (…): (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/121 ▪ (…). (…). CUADRAGÉSIMO: (…). Se reproducen los siguientes párrafos del escrito de 18 de julio de 2023, elaborado en contestación a la práctica de prueba II (…) CUADRAGÉSIMO PRIMERO: CaixaBank describe en su escrito de 13 de diciembre de 2022 (…) (…) CUADRAGÉSIMO SEGUNDO: Para guardar la documentación justificativa de la operativa bancaria (…) (…) En relación con esta cuestión, en el escrito de CaixaBank de 13 de diciembre de 2022 se refleja: (…) (…) (…). En relación con esta cuestión, el DOCUMENTO NÚMERO 7, que acompaña al escrito de alegaciones al acuerdo de inicio de 20 de febrero de 2023, CaixaBank destaca: (…) (…) CUADRAGÉSIMO TERCERO: A fecha 13 de diciembre de 2022 en CaixaBank (…) En el escrito de CaixaBank de 13 de diciembre de 2023 se indica: (…) (…). (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/121 (…) Asimismo, en el escrito de CaixaBank de 28 de junio de 2023, elaborado en respuesta a la práctica de prueba I, se indica: “(…).” CUADRAGÉSIMO CUARTO: El inspector considera que (…). El informe de actuaciones previas de investigación de 18 de enero de 2023 indica: “(…)”. CUADRAGÉSIMO QUINTO: (…). (…): En el escrito de CaixaBank de 28 de junio de 2023, elaborado en respuesta a la práctica de prueba I, se indica: “(…). (…).” CUADRAGÉSIMO SEXTO: A fecha 13 de diciembre de 2022 CaixaBank consideraba que la probabilidad de (…) o de repetición de la casuística (brecha de datos personales) era (…). En el escrito de esa misma fecha CaixaBank indica: “(…). (…)” Asimismo, expone: “(…) (…)” CUADRAGÉSIMO SÉPTIMO: El inspector en el informe de actuaciones previas de investigación de 18 de enero de 2023 destacó que, dado el número de clientes de CaixaBank y el número de operaciones que se realizan en dicha entidad bancaria, (…). En este sentido, en el mencionado informe se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/121 “Del análisis de la información facilitada se desprende que el origen del incidente (…). CUADRAGÉSIMO OCTAVO: CaixaBank afirma que (…). (…). (…): “(…)”. CUADRAGÉSIMO NOVENO: El 17 de julio de 2023 se solicitó que se elaborara informe a la Inspección de la AEPD en el marco de la práctica de prueba: En la nota interior de la misma fecha se indicaba: “(…): (…).” QUINCUAGÉSIMO: En contestación a la solicitud de informe en el marco de la práctica de la prueba, reflejada en el hecho probado cuadragésimo noveno, el inspector elaboró un informe, incluido en la Diligencia de fecha de 18 de julio de 2023, en el que concluía que, (…), Se reproduce parte del contenido de dicho informe: “ En relación a la frecuencia con que se puede producir este error, los representantes de la entidad informan que “(…).” QUINCUAGÉSIMO PRIMERO: CaixaBank ha certificado que (…) en dicha entidad financiera. Este dato se ha obtenido del (…), aportado el 28 de junio de 2023 en contestación a la práctica de prueba I. QUINCUAGÉSIMO SEGUNDO: El 28 de junio de 2023 CaixaBank acredita las fechas en las que se han realizado análisis de riesgos de seguridad en el (…) (relacionado con la brecha de datos personales objeto de la reclamación): “(…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/121 QUINCUAGÉSIMO TERCERO: En relación con las revisiones (…), de acuerdo con la información facilitada por CaixaBank en su escrito de 28 de junio de 2023 cabe afirmar que: A fecha 1 de febrero de 2021, fecha en la que se produjo la brecha de datos personales, no estaba vigente el (…). En dicha fecha (1 de febrero de 2021) tampoco estaba vigente el (…). (…). (…). En relación con esta cuestión, en el escrito de CaixaBank de 28 de junio de 2023, elaborado en contestación a la práctica de prueba I, se indica: “(…)” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”.II íter de la reclamación II íter de la reclamación Antes de proceder al análisis de las alegaciones formuladas por CaixaBank, se considera necesario examinar el íter de la reclamación. Haciendo referencia a otras actuaciones, ya sea de la parte reclamada o de la AEPD, que permiten comprender la brecha de datos personales que ha dado lugar a este procedimiento sancionador: 01/02/21 El reclamante llevó a cabo una actualización de sus datos de contacto. Realizó dicha operación (…). Ese mismo día, D. C.C.C., otro cliente de CaixaBank, efectuó una transferencia (…), dirigida a un tercero, cliente de otra entidad bancaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/121 (…). (…). (…). (…). (…). Como consecuencia de ello, el reclamante tuvo (…)., en el que figuraban numerosos datos de carácter personal, tanto del ordenante de la transferencia como del beneficiario de la misma, así como otros datos relativos a la operación financiera realizada. Sin embargo, no tuvo disponible el (…) el 1 de febrero de 2021. 20/02/21 (…). La desactivación se produjo (…). 21/06/21 CaixaBank realizó (…). 31/10/21 El reclamante presentó una reclamación ante la oficina de atención al cliente de CaixaBank. (…) 02/11/21 El reclamante recibió en su dirección de correo electrónico (…). 10/11/21 CaixaBank envió (…). 09/02/22 CaixaBank realizó (…). 10/02/22 (Cuando ya se había cumplido un año desde que se había producido la brecha de datos personales) El reclamante presentó una reclamación, muy semejante a la ya planteada ante CaixaBank el (…), al Departamento de Conducta de Entidades del Banco de España. 05/05/22 El Departamento de Conducta de Entidades remitió la reclamación a la AEPD, con entrada en el Registro General de la Agencia el 10/05/22. 07/06/22 La AEPD remitió el traslado de la reclamación y una solicitud de información a CaixaBank, que recibió dicho documento el 8 de junio de 2022. 08/06/22 Fecha en la que CaixaBank y su (…). 22/07/22 CaixaBank envió al (…). (…). 04/08/22 CaixaBank elaboró (…).  (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/121    (…). (…). (…). 10/08/22 Admisión a trámite de la reclamación. 12/08/22 El reclamante envió un correo electrónico al Servicio de Atención al Cliente de CaixaBank y remitió una copia del mismo a la AEPD. En dicho escrito destacaba que (…) había podido acceder al justificante de la transferencia realizada por otro cliente de CaixaBank. Asimismo, solicitaba que se le enviase el comprobante de la actualización de datos que había realizado el 1 de febrero de 2021. 23/09/22 Primer requerimiento de información formulado por el Inspector a CaixaBank, comunicando a la AEPD el resultado del análisis realizado sobre el incidente y si del mismo se había detectado que pudiera haber una brecha de seguridad que afectase a otros clientes. 04/10/22 Escrito de CaixaBank dando respuesta al requerimiento de información del Inspector en el que se indica que se trataba de (…) 05/10/22 CaixaBank (…). 21/11/22 Segundo requerimiento de información formulado por el Inspector. En el que se solicita: “  (…)  (…). 12/12/22 CaixaBank realizó un segundo informe de la brecha de datos personales. Consideraba que la causa era un error técnico: “(…).” En el apartado denominado “Plan de acción” se indica:    (…). (…). (…). 13/12/22 Escrito de CaixaBank contestando al segundo requerimiento de información formulado del Inspector, destacando que se ha producido “(…)”. 10/05/23 CaixaBank comenzó a utilizar (…). 16/05/23 CaixaBank realizó (…). 01/06/23 En CaixaBank (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 45/121 07/06/23 En la práctica de prueba I se solicita información sobre diversas cuestiones, entre ellas: “(…).” 20/06/23 El reclamante tuvo (…) el comprobante de la actualización datos de contacto que había realizado el 1 de febrero de 2021. 17/07/23 El Inspector elaboró un informe, partiendo de la media de operaciones por segundo de 1 de junio de 2023. Del contenido de dicho íter se desprenden varias conclusiones: 1.La brecha de datos personales que tuvo lugar el 1 de febrero de 2021 pasó desapercibida a CaixaBank durante un prolongado periodo de tiempo. (…). 2. El comprobante de la transferencia realizada por D. C.C.C. (…). 3. Detectada la brecha de datos personales por CaixaBank, (…). En dicho informe se destacaba que la brecha se había producido como consecuencia de (…). Dicha entidad bancaria realizó (…). 3. (…). A pesar de determinar dicha causa definitiva, (…). 4. El reclamante no tuvo disponible (…) el comprobante de la actualización de datos que había realizado el 1 de febrero de 2021 hasta el ***FECHA.2 (…). (…) la práctica de la prueba I, enviada por la AEPD el día 7 de junio de 2023, (…). III Alegaciones al acuerdo de inicio y a la propuesta de resolución A lo largo de los fundamentos de derecho de esta resolución se va a ir dando respuesta a las alegaciones formuladas por CaixaBank tanto al acuerdo de inicio como a la propuesta de resolución. Tal y como se refleja en esta resolución, en un primer momento, las actuaciones de esta AEPD iban encaminadas a tratar de determinar las circunstancias que habían llevado a que se produjera una brecha de datos personales, que había permitido que un cliente de CaixaBank hubiera tenido acceso a los datos personales de dos personas, que figuraban en el comprobante de una transferencia realizada por otro cliente de dicha entidad bancaria. No obstante, a través de las actuaciones previas de investigación y ligado a la reclamación presentada, y tal y como se ha acreditado a lo largo de este procedimiento, la AEPD ha tenido conocimiento de deficiencias del procedimiento que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 46/121 afectaban, tanto a medidas de seguridad adoptadas por la entidad como a aspectos de diseño que vulnerarían la privacidad desde el diseño. A pesar de que la entidad bancaria en sus alegaciones insista en que todo se reduce a una única reclamación de uno de sus clientes. Dicha reclamación ha sacado a la luz diversas cuestiones relacionadas tanto con el artículo 32 del RGPD como con el artículo 25 de dicho Reglamento, deficiencias del procedimiento, que se consideran sancionables por sí mismas. Por otra parte, se desea destacar que el escrito de alegaciones a la propuesta de resolución no ha rebatido los hechos probados, que figuraban en dicha propuesta y que han sido reproducidos en esta resolución. Únicamente cuestiona el hecho probado trigésimo segundo, considerando que, si bien lo indicado en el mismo puede considerarse cierto, se efectúa una interpretación en el mismo que considera incompleta. Contestación a la supuesta vulneración del principio de non bis in idem: Alega CaixaBank que el contenido del acuerdo de inicio implicaría una supuesta vulneración del principio de non bis in idem (en su opinión, incluso cabría apreciar un supuesto de non ter in idem), reiterando dicha alegación en su escrito de alegaciones a la propuesta de resolución. En primer lugar, los artículos 5.1 f), 32 y 25 se tipifican de manera diferenciada en el RGPD. Asimismo, se califican de manera diferenciada, a los efectos de la prescripción, en la LOPDGDD y gozan, cada uno de ellos, de entidad propia. En cuanto a la supuesta concurrencia de los artículos 5.1
  38. f)y 32 del RGPD: En su escrito de alegaciones al acuerdo de inicio CaixaBank afirma: “(…) el Acuerdo de Inicio impone dos sanciones diferenciadas, por carecerse de medidas de seguridad y porque se ha producido, por carecer de tales medidas, una brecha de confidencialidad y, según afirma, lo que posteriormente se desmentirá, disponibilidad de los datos. De este modo, la AEPD considera unos mismos hechos constitutivos de infracción de un principio de los previstos en el artículo 5.1 del RGPD y de su concreción o materialización, llevada a cabo, en este caso, en el artículo 32 del RGPD. Se sanciona así no disponer de medidas y una brecha por no disponer de medidas, lo que implica una reiteración sancionadora proscrita por el derecho administrativo sancionador. Y es que, de seguirse el razonamiento aquí mantenido, cualquier vulneración de un precepto del RGPD implicaría la comisión no sólo de la infracción de dicho precepto, sino de la del principio de protección de datos del que la norma vulnerada trajera causa. Así, por ejemplo, la vulneración de los artículos 6 a 10 del RGPD implicaría asimismo una vulneración del principio de licitud o la de los artículos 13 y 14 una vulneración del principio de transparencia, lo que, sin embargo, no se recoge en las resoluciones de la AEPD que, sin embargo, no dudan en considerar simultáneamente vulnerados los artículos 5.1
  39. f)y 32 de dicho texto legal.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 47/121 En relación con las alegaciones que acaban de ser reproducidas, resulta necesario traer a colación la diferencia entre la vulneración del art. 5.1.
  40. f)y del artículo 32 del RGPD, la diferente tipificación en apartados distintos del art. 83 del RGPD y la diferente calificación de ambos a los efectos de la prescripción en la LOPDGDD. El art. 5.1.
  41. f)del RGPD se vulnera cuando se produce una pérdida de confidencialidad o de integridad de los datos personales, lo que puede producirse o no por ausencia o deficiencia de las medidas de seguridad. Este principio tan sólo determina el cauce a través del cual puede lograrse el mantenimiento de la confidencialidad e integridad cuando explicita “mediante la aplicación de medidas técnicas y organizativas apropiadas”, que no son estrictamente de seguridad. Existen múltiples medidas técnicas u organizativas, que no son de seguridad, y que puede implementar el responsable del tratamiento como cauce para garantizar este principio. Sin embargo, el art. 32 del RGPD comprende la obligación de implementar medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo. De seguridad. Sólo de seguridad. Además, su objetivo es garantizar un nivel de seguridad adecuado al riesgo mientras que en el caso del artículo 5.1.
  42. f)del RGPD, se debe garantizar la confidencialidad e integridad. Como puede observarse, los dos artículos persiguen fines distintos, aunque puedan estar relacionados. Entrando ya de lleno en el examen del non bis in idem, la Sentencia de la Audiencia Nacional de 23 de julio de 2021 (rec. 1/2017) dispone que, “(…) Conforme a la legislación y jurisprudencia expuesta, el principio non bis in ídem impide sancionar dos veces al mismo sujeto por el mismo hecho con apoyo en el mismo fundamento, entendido este último, como mismo interés jurídico protegido por las normas sancionadoras en cuestión. En efecto, cuando exista la triple identidad de sujeto, hecho y fundamento, la suma de sanciones crea una sanción ajena al juicio de proporcionalidad realizado por el legislador y materializa la imposición de una sanción no prevista legalmente que también viola el principio de proporcionalidad. Pero para que pueda hablarse de "bis in ídem" debe concurrir una triple identidad entre los términos comparados: objetiva (mismos hechos), subjetiva (contra los mismos sujetos) y causal (por el mismo fundamento o razón de castigar):
  43. a)La identidad subjetiva supone que el sujeto afectado debe ser el mismo, cualquiera que sea la naturaleza o autoridad judicial o administrativa que enjuicie y con independencia de quién sea el acusador u órgano concreto que haya resuelto, o que se enjuicie en solitario o en concurrencia con otros afectados.
  44. b)La identidad fáctica supone que los hechos enjuiciados sean los mismos, y descarta los supuestos de concurso real de infracciones en que no se está ante un mismo hecho antijurídico sino ante varios.
  45. c)La identidad de fundamento o causal, implica que las medidas sancionadoras no pueden concurrir si responden a una misma naturaleza, es decir, si parC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 48/121 ticipan de una misma fundamentación teleológica, lo que ocurre entre las penales y las administrativas sancionadoras, pero no entre las punitivas y las meramente coercitivas.” Tomando como referencia lo anteriormente explicitado en el procedimiento sancionador enjuiciado no se ha vulnerado el principio non bis in idem, puesto que, si bien entendido grosso modo los hechos se detectan consecuencia de una brecha de datos personales, la infracción del art. 5.1.
  46. f)del RGPD se concreta en una clara pérdida de confidencialidad y disponibilidad, la infracción del art. 32 del RGPD se reduce a la deficiencia de las medidas de seguridad (solo de seguridad) detectadas, presentes independientemente de la brecha de datos personales. De hecho, si estas medidas de seguridad que tenía implantadas CaixaBank se hubieran detectado por la AEPD sin que se hubiera producido la pérdida de confidencialidad, únicamente habría sido sancionada por el art. 32 del RGPD. Como hemos indicado, mediante el art. 5.1.
  47. f)del RGPD se sanciona una pérdida de confidencialidad y disponibilidad y mediante el art. 32 del RGPD la deficiencia de las medidas de seguridad implantadas por el responsable del tratamiento. Medidas de seguridad deficientes, añadimos, que infringen el RGPD, independientemente de que no se hubiera producido la brecha de datos personales. En relación con la supuesta concurrencia de los artículos 25 y 32 del RGPD: El artículo 25.1 del RGPD dispone: “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.” 1. Como puede observarse, dicho artículo parte de la necesidad de tener en cuenta una serie de elementos:     Estado de la técnica Coste de la aplicación Naturaleza, ámbito, contexto y fines del tratamiento Riesgos que entraña el tratamiento para los derechos y libertades de las personas físicas. 2. Impone una obligación al responsable, que determina los fines y los medios del tratamiento, dando, en este caso, especial relevancia a los medios. 3. El mismo debe aplicar, tanto al determinar los medios del tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas (por ejemplo, la seudonimización), concebidas para aplicar de forma efectiva los principios de protección de datos e integrar las garantías que sean necesarias en el tratamiento. 4.Con ello, se persigue un doble fin: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 49/121   Cumplir los requisitos del RGPD Proteger los derechos de los interesados. Por su parte, el considerando 78 del RGPD prevé: “78) La protección de los derechos y libertades de las personas físicas con respecto al tratamiento de datos personales exige la adopción de medidas técnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos del presente Reglamento. A fin de poder demostrar la conformidad con el presente Reglamento, el responsable del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan en particular los principios de protección de datos desde el diseño y por defecto. Dichas medidas podrían consistir, entre otras, en reducir al máximo el tratamiento de datos personales, seudonimizar lo antes posible los datos personales, dar transparencia a las funciones y el tratamiento de datos personales, permitiendo a los interesados supervisar el tratamiento de datos y al responsable del tratamiento crear y mejorar elementos de seguridad. Al desarrollar, diseñar, seleccionar y usar aplicaciones, servicios y productos que están basados en el tratamiento de datos personales o que tratan datos personales para cumplir su función, ha de alentarse a los productores de los productos, servicios y aplicaciones a que tengan en cuenta el derecho a la protección de datos cuando desarrollan y diseñen estos productos, servicios y aplicaciones, y que se aseguren, con la debida atención al estado de la técnica, de que los responsables y los encargados del tratamiento están en condiciones de cumplir sus obligaciones en materia de protección de datos. Los principios de la protección de datos desde el diseño y por defecto también deben tenerse en cuenta en el contexto de los contratos públicos.” (el subrayado es nuestro). Por tanto, las medidas a las que hace referencia el artículo 25 del RGPD no son exclusivamente medidas de seguridad, como sucede en el caso del artículo 32 del RGPD. Se pretende que la empresa u organización tenga integrada dentro de la misma, de su organización, de su funcionamiento ordinario, la protección de datos de carácter personal. Que no se trate de un apéndice, de un añadido adicional in fine, sino de una parte integrante y relevante dentro de la misma desde antes incluso de iniciarse materialmente el tratamiento de datos personales. De esta forma, se apuesta porque la protección de datos de carácter personal sea tenida en consideración desde un primer momento, desde la toma de decisiones o del momento de la planificación. Como puede observarse, se establece una obligación que imbuye a toda la organización y que implica un continuo proceso de revisión y retroalimentación, con el fin de verificar si las medidas técnicas y organizativas existentes, de todo tipo, e implementadas por la organización resultan adecuadas con el fin de cumplir los requisitos del RGPD y proteger los derechos de los interesados. De esta forma, en caso de no resultar adecuadas, podrían ser modificadas, o en su caso, reforzadas, incorporando nuevas medidas que garanticen una más adecuada protección de los datos de carácter personal. Tal y como se ha indicado anteriormente, el art. 5.1.
  48. f)del RGPD se vulnera cuando se produce una pérdida de confidencialidad o de integridad de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 50/121 Cabe apreciar, que la perspectiva o el ángulo a través del cual se contempla la realidad es diferente de lo previsto en el artículo 25 del RGPD. En este sentido, el RGPD articula un sistema completo destinado a garantizar la protección de los datos de carácter personal de los ciudadanos. Para ello, va centrando su atención en distintos aspectos que deben ser examinados por los responsables y, si así lo prevé el precepto, por los encargados de tratamiento. Cada artículo constituye un ángulo desde el que observar la realidad con el fin de articular un conjunto de medidas que garanticen una adecuada protección de los datos de carácter personal. Se trata de ángulos complementarios. Todos ellos deben ser tenidos en cuenta y respetados, ya que son necesarios para articular una protección acorde con lo dispuesto en el RGPD. En sus alegaciones al acuerdo de inicio, CaixaBank indica: “(…) si se sigue el razonamiento del Acuerdo de Inicio cualquier vulneración de la normativa de protección de datos por parte de un responsable conllevaría necesariamente la vulneración del principio de protección de datos desde el diseño, puesto que esa vulneración derivaría del inadecuado cumplimiento de este principio. Así, una vulneración, por ejemplo, del principio de transparencia implicaría, a juicio de la AEPD un incumplimiento del artículo 25.1, dado que no se ha adoptado adecuadamente desde el diseño la medida consistente en informar a los interesados. Y lo mismo sucedería con cualquiera de los principios citados por el artículo 5 del RGPD (se incumpliría el artículo 25.1 por elegir una base jurídica inadecuada del tratamiento, por no haber evitado desde el diseño tratar más datos de los adecuados, pertinentes y necesarios para el tratamiento, por no adoptar desde el diseño medidas tendentes a garantizar su exactitud, por no haber adoptado desde el diseño reglas para conservarlos por más tiempo del estrictamente necesario, por no realizar una evaluación de impacto en la protección de datos que la AEPD considere necesaria, etc.).” No se comparte el razonamiento expuesto por CaixaBank, ya que de ser la situación tal y como dicha entidad bancaria describe, la gran mayoría de las resoluciones sancionadoras de la AEPD considerarían vulnerado el artículo 25. 1 del RGPD, y esto no es así. Cuando la AEPD tiene conocimiento de una reclamación y decide abrir un expediente sancionador, valora, a la vista de las circunstancias que concurren en el caso concreto, qué infracción o posibles infracciones del RGPD se habrían cometido. Al examinar el contenido de la reclamación, que ha dado lugar a este procedimiento, se ha considerado que lo reflejado en la misma se ajustaba a una posible vulneración de tres artículos del RGPD: el artículo 5.1 f), el artículo 32 y el artículo 25, que posteriormente se ha visto confirmada. En respuesta a estos tres párrafos, CaixaBank alega en sus alegaciones a la propuesta de resolución: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 51/121 “Y el hecho de que los hechos sean enjuiciados desde una supuesta pluralidad de perspectivas en nada afecta al hecho de que, en definitiva, la AEPD considere que la supuesta insuficiencia de la medida de seguridad concreta es la que determina la vulneración del principio de privacidad desde el diseño, lo que conduce nuevamente a la conclusión, ya mencionada en las alegaciones al Acuerdo de Inicio de que, si se sigue el razonamiento de la AEPD, cualquier vulneración del RGPD implicaría, simultáneamente, dicha vulneración y un insuficiente cumplimiento del principio de privacidad desde el diseño. La AEPD pretende contradecir lo que acaba de indicarse del siguiente modo: “No se comparte el razonamiento expuesto por CaixaBank, ya que de ser la situación tal y como dicha entidad bancaria describe, la gran mayoría de las resoluciones sancionadoras de la AEPD considerarían vulnerado el artículo 25. 1 del RGPD, y esto no es así. Cuando la AEPD tiene conocimiento de una reclamación y decide abrir un expediente sancionador, valora, a la vista de las circunstancias que concurren en el caso concreto, qué infracción o posibles infracciones del RGPD se habrían cometido. Al examinar el contenido de la reclamación, que ha dado lugar a este procedimiento, se ha considerado que lo reflejado en la misma se ajustaba a una posible vulneración de tres artículos del RGPD: el artículo 5.1 f), el artículo 32 y el artículo 25. Por las razones expuestas, no se entiende vulnerado el principio de non bis in idem.” En definitiva, la AEPD viene a indicar que lo señalado por mi representada no ha lugar porque en el presente caso se ha considerado procedente considerar infringidos los tres preceptos mencionados mientras en otros casos no lo considera. A nuestro juicio, el razonamiento carece de sentido, dado que parece simplemente razonarse que el administrado ha de estar y pasar por lo que la AEPD considere procedente en cada momento concreto, siendo así que semejante conclusión es la que se utiliza para rebatir el argumento, mantenido por CAIXABANK, de que en este caso su proceder ha sido inadecuado. Es decir, frente a ese argumento, la AEPD se limita a indicar, sin razonarlo, que no ha lugar a invocar que el proceder es inadecuado porque la AEPD no comparte ese parecer.” cualquier vulneración del RGPD implicaría, simultáneamente, dicha vulneración y un insuficiente cumplimiento del principio de privacidad desde el diseño. Las resoluciones de la AEPD muestran claramente que esta Agencia no considera que cualquier vulneración del RGPD implique, de forma simultánea, la vulneración del artículo 25 del RGPD, como pretende dar a entender CaixaBank. Por otra parte, la valoración de cada reclamación, de cara a decidir si se incoa o no un expediente sancionador se efectúa partiendo los hechos del caso concreto que se examina. Por las razones expuestas en este fundamento de derecho, no se entiende vulnerado el principio de non bis in idem. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 52/121 IV Contestación a la alegación relativa a la supuesta existencia de un concurso medial entre las tres infracciones imputadas a CaixaBank: A continuación, se reproducen varios párrafos de las alegaciones formuladas por CaixaBank al acuerdo de inicio, en los que se argumenta la supuesta existencia de un concurso medial entre las tres infracciones imputadas a dicha entidad: “Por otra parte, en el negado supuesto de que por esa AEPD no se apreciase la concurrencia de los requisitos exigibles para la aplicación del principio non bis in idem en el presente procedimiento, no cabría duda de que el Acuerdo de Inicio identifica (y pretende sancionar) una pluralidad de infracciones que, supuestamente, habría cometido mi mandante (lo que nuevamente se niega de plano) cuando, en realidad, cada una de ellas se encontraría subsumida y embebida en las otras, dando lugar un concurso medial en los términos previstos en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, “LRJSP”), según el cual: “Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. Siendo ello así, no puede en ningún caso sancionarse a mi mandante todas las infracciones, dado que la comisión de la supuesta infracción del artículo 25.1 del RGPD implicaría necesariamente la comisión de la infracción del artículo 32.1 de dicha norma, dando lugar este último incumplimiento a la supuesta vulneración del artículo 5.1
  49. f)del RGPD. Y es que la AEPD considera (…), que mi mandante no ha cumplido la obligación impuesta en el artículo 25.1 del RGPD y al propio tiempo considera que mi mandante han incumplido el artículo 32.1 del RGPD, dado que no ha aplicado “medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”, lo que determina a su vez una vulneración del principio de seguridad, consagrado en el artículo 5.1
  50. f)del RGPD. Es decir, y sin perjuicio de que como se ha indicado anteriormente, entiende mi mandante que se estaría imponiendo una triple sanción por unos mismos hechos, de lo que no cabría duda es de que la falta de aplicación de las medidas a las que se refiere el artículo 32.1, y por ende la supuesta infracción del artículo 5.1
  51. f)traería necesaria e inseparablemente causa de la supuesta falta de concepción o diseño de las mismas en el momento de determinar los medios y fines del tratamiento. De este modo, la AEPD consideraría sancionables la falta de diseño de una determinada medida de seguridad, su falta de aplicación y el principio mismo que la adopción de esa medida pretende proteger, lo que obviamente sólo podría traer causa de esa falta de diseño previo, concurriendo así los requisitos exigidos para la apreciación del concurso medial en el presente caso. Por ello, o bien se están sancionado triplemente unos mismos hechos o bien dos de las infracciones sólo pueden ser, necesariamente, consecuencia de la primera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 53/121 Según establece la jurisprudencia (por todas, la Sentencia 339/2015 de 25 de septiembre de 2015 de la Audiencia Nacional -recurso 262/2014- que cita la Sentencia del Tribunal Supremo de 8 de febrero de 1999, -recurso 9/1996-) “la aplicación del concurso medial exige una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que es indispensable que las unas no puedan cometerse sin ejecutar las otras”. Así, debe existir “una relación tal entre las inf

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.