← España

PS-00096-2022

1/20  Expediente Nº: PS/00096/2022 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 17 de mayo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO DE SABADELL, S.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 19 de septiembre de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: PS/00096/2022 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 18 de mayo de 2021, la Subdirección General de Inspección de Datos (SGID) recibió para su valoración un escrito de notificación de brecha de seguridad de datos personales remitido por BANCO DE SABADELL, S.A. con NIF A08000143 (en adelante, BS), recibido en fecha 30 de abril de 2021, en el que informa a la Agencia Española de Protección de Datos de lo siguiente: (…). (…). (…). (…). (…). SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), teniendo conocimiento de los siguientes extremos: Fecha de detección de la brecha: 21 de abril de 2021. Resumen de la notificación: (…). (…). (…). Respecto de la empresa: La entidad notificante es un banco privado de nacionalidad española. Según los datos obrantes en AXESOR se trata de una empresa con denominación CORPORATE (según calificación UE por su tamaño) con 9.466 empleados y un volumen de ventas de más de 100.000.000 euros. No se han encontrado en los sistemas de información de esta Agencia expedientes anteriores al presente con relación a brechas de seguridad de esta entidad. Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. (…). (…). (…) Respecto de las causas que hicieron posible la brecha. (…). (…). (…). (…). Respecto de los datos afectados. (…): - (…) - (…) - (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 Respecto del contrato de encargado del tratamiento. (…): - (…). - (…). - (…). - (…). Respecto de las medidas de seguridad implantadas. Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido. (…): - (…). - (…). (…). Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente: (…). Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido: (…). Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. (…). TERCERO: Con fecha 17 de mayo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

  1. f)del RGPD, tipificada en el artículo 83.5 del RGPD, y por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. El citado acuerdo de inicio fue notificado a BS, conforme a las normas establecidas en la LPACAP, el 18 de mayo de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 CUARTO: Con fecha de entrada en registro de 30 de mayo de 2022, BS solicitó ampliación de plazo para presentar alegaciones. El 31 de mayo de 2022, se concedió a BS ampliación de plazo para presentar alegaciones hasta un máximo de cinco días. QUINTO: BS presentó escrito de alegaciones el 2 de junio de 2022, respecto al que presentó el mismo día una solicitud de corrección de error material. En el escrito de alegaciones, en síntesis, manifiesta: 1.- Respecto a la supuesta infracción del artículo 5.1.
  2. f)del RGPD, que “Por el mero hecho de que se haya producido un acceso no autorizado que fue rápida y diligentemente investigado y comunicado a esa Agencia como una posible brecha de seguridad, no cabe afirmar que se ha infringido el citado precepto, esto es, que no se ha garantizado una seguridad adecuada de los datos personales.” Aporta informe elaborado por el Departamento de Seguridad de la Información donde se detallan las medidas de seguridad implementadas por BS con anterioridad al incidente. A la vista del mismo, considera BS “acreditado que los datos personales fueron y son tratados de manera que se garantice una seguridad adecuada, mediante las medidas técnicas y organizativas apropiadas. Un incidente aislado, que se produjo aun mediando las medidas de seguridad adecuadas e implantadas con anterioridad al incidente, que solo ha afectado a un único cliente, no justifica que se considere infringido el apartado f del artículo 5 del RGPD.” Invoca al efecto la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, relativa a que la obligación de implementar medidas de seguridad que garanticen la seguridad de los datos es una obligación de medios, no de resultado. Critica que se aplique el agravante del artículo 76.2.
  3. b)de la LOPDGDD, pues únicamente se ha producido (…) y que el incidente solamente podría haber afectado a (…), lo que es un número residual en relación con el volumen de clientes de BS. 2.- Respecto a la supuesta infracción del artículo 32 del RGPD señala BS que deriva del mismo incidente que la anterior, por lo que entiende que no hay justificación para que un mismo hecho sea considerado como causante de infracción de dos preceptos distintos que, además, están relacionados. Motivo por el que entiende que se vulnera el principio non bis in ídem. Y motivo por el que en este punto considera que hay que volver a remitirse al informe del Departamento de Seguridad de la Información, a invocar la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, y a extrapolar los argumentos esgrimidos contra la aplicación del agravante del artículo 76.2.
  4. b)de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: (…). SEGUNDO: (…). TERCERO: Consta acreditado (…). (…): - (…) - (…) - (…). CUARTO: (…). QUINTO: Consta acreditado que (…). FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Respecto a la supuesta infracción del artículo 5.1.
  5. f)del RGPD señala BS que “Por el mero hecho de que se haya producido un acceso no autorizado que fue rápida y diligentemente investigado y comunicado a esa Agencia como una posible brecha de seguridad, no cabe afirmar que se ha infringido el citado precepto, esto es, que no se ha garantizado una seguridad adecuada de los datos personales.” Considerando BS a continuación que queda “acreditado que los datos personales fueron y son tratados de manera que se garantice una seguridad adecuada, mediante las medidas técnicas y organizativas apropiadas. Un incidente aislado, que se produjo aun mediando las medidas de seguridad adecuadas e implantadas con anterioridad al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 incidente, que solo ha afectado a un único cliente, no justifica que se considere infringido el apartado f del artículo 5 del RGPD.” El derecho a la protección de datos deriva del artículo 18.4 de la Constitución (en adelante, CE), que establece la limitación del uso de la informática por la Ley para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos. Por tanto, aun tratándose de un incidente aislado del que BS tiene conocimiento de (…), y de que fueran (…) las potencialmente expuestas por la vulnerabilidad del sistema, estamos ante un derecho fundamental protegido por la CE. Así, la STC 292/2000, de 30 de noviembre, dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. El RGPD define en su artículo 4.2 el tratamiento de datos personales como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. En el presente caso consta la realización de un tratamiento de datos personales, toda vez que BS realiza, entre otros tratamientos, la recogida y registro de datos personales de personas físicas como el nombre y apellidos, número de IBAN de su cuenta, saldo en cuenta, etc. En este sentido, y con independencia de cuál sea la base jurídica legitimadora del tratamiento, BS, como responsable del tratamiento, ha de respetar los principios del tratamiento recogidos en el artículo 5 del RGPD. Destacaremos el artículo 5.1.
  6. f)del RGPD que establece que: “1. Los datos personales serán
  7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, los datos han sido tratados sin garantizar su confidencialidad toda vez que (…). Respecto a la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, que invoca BS hay que indicar que ésta se refiere a una sanción impuesta por la AEPD por una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Precepto que tal sentencia correlaciona con el actual artículo 32 del RGPD: “(…) la suficiencia de las medidas de seguridad que el responsable ha de establecer ha de ponerse en relación con el estado de la tecnología en cada momento y el nivel de protección requerido en relación con los datos personales tratados, pero no se garantiza un resultado. Como establece el art. 17.1 de la Directiva 95/46/CE respecto a la seguridad del tratamiento el responsable del tratamiento tiene la obligación de aplicar las medidas técnicas y organizativas adecuadas "Dichas medias deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de aplicación, un nivel de seguridad apropiados en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse". Y en el mismo sentido se pronuncia en la actualidad el art. 31 del Reglamento de la Unión Europea 2016/679, del Parlamento y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, al establecer respecto a la seguridad del tratamiento que las medidas técnicas y organizativas apropiadas lo son "Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas [...]".” (el subrayado es nuestro). Continúa la mencionada sentencia señalando que “Esta distinción también tiene su reflejo tanto en el Reglamento de la Unión Europea 2016/679, del Parlamento y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, como en la LOPD 3/2018 de 5 de diciembre, (aun cuando son normas posteriores a los hechos enjuiciados y que, por lo tanto, no resultan de aplicación), al diferenciar como obligaciones e infracciones autónomas entre la falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento (art. 73 apartados d, e y
  8. f)y la falta de la debida diligencia en la utilización de las medidas técnicas y organizativas implantadas (art. 73. g).” Si acudimos al mencionado artículo 73 de la LOPDGDD, encontramos que: - El apartado
  9. d)se refiere a “La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679.” - El apartado
  10. e)se refiere a “La falta de adopción de las medidas técnicas y organizativas apropiadas para garantizar que, por defecto, solo se tratarán los datos personales necesarios para cada uno de los fines específicos del tratamiento, conforme a lo exigido por el artículo 25.2 del Reglamento (UE) 2016/679.” - El apartado
  11. f)se refiere a “La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” - Y el apartado
  12. g)se refiere a “El quebrantamiento, como consecuencia de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679.” En definitiva, en la precitada sentencia no hay referencia alguna al principio de confidencialidad regulado en el artículo 5.1.
  13. f)del RGPD, por lo que la obligación de medios no es extensible al cumplimiento de tal principio. De hecho, el mencionado precepto lo que exige es que se produzca un resultado, en concreto, que se garantice una seguridad adecuada de los datos personales, y en el presente caso al menos una persona tuvo acceso a datos respecto a los cuales no estaba legitimada, por lo que se ha vulnerado tal artículo. III Como hemos indicado en el anterior Fundamento de Derecho, la obligación de medios es exigible respecto al cumplimiento del artículo 32 RGPD, precepto que el acuerdo de inicio del presente procedimiento sancionador también considera presuntamente vulnerado por BS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 Si bien BS considera que el incidente se produjo “aun mediando las medidas de seguridad adecuadas e implantadas con anterioridad”, lo cierto es que a la vista de la documentación obrante en el expediente no podemos compartir tal consideración porque, a pesar de los controles de pruebas (testing) realizados, éstos no fueron suficientes para hallar la vulnerabilidad del sistema. Esto es, la infracción deviene, no por la falta de implantación de medidas de seguridad, sino porque el protocolo de pruebas realizado para encontrar cualquier debilidad no fue lo suficientemente robusto, teniendo como resultado que no se evaluó la vulnerabilidad que luego produjo la brecha en cuestión. De hecho, con posterioridad al incidente se amplió la batería de controles habituales de pruebas para hacerla más exhaustiva e incluir la debilidad en cuestión, lo que demuestra una falta de diligencia por parte de BS a la hora de implementar las medidas técnicas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. A este respecto, el informe de la Subdirección General de Inspección de Datos señala que (…). A tal efecto, hay que acudir al considerando 83 del RGPD, el cual establece que “A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales.” (el subrayado es nuestro). IV Señala BS que la supuesta infracción del artículo 32 del RGPD deriva del mismo incidente que la supuesta infracción del artículo 5.1.f), por lo que entiende que no hay justificación para que un mismo hecho sea considerado como causante de infracción de dos preceptos distintos que, además, están relacionados. Motivo por el que entiende que se vulnera el principio non bis in idem. La confidencialidad y la seguridad de los datos tienen su reflejo fundamentalmente en dos preceptos independientes del RGDP: en el artículo 5.1.
  14. f)y en el artículo 32 del RGPD. El artículo 5.1.
  15. f)del RGPD es uno de los principios relativos al tratamiento. Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. Pues bien, el artículo 5.1.
  16. f)del RGPD recoge el principio de integridad y confidencialidad y determina que los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Establece una obligación de resultado, no objetiva. Por otra parte, el artículo 32 del RGPD reglamenta cómo ha de articularse la seguridad del tratamiento en relación con las medidas de seguridad concretas que hay que implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que incluya entre otras cuestiones, la capacidad de garantizar la confidencialidad de los datos. Como podemos ver, el artículo 32 del RGPD, aunque relacionado con el artículo 5.1.
  17. f)del RGDP, no circunscribe el principio en su totalidad. El artículo 5.1.
  18. f)del RGPD exige taxativamente que se garantice la confidencialidad, y requiere para su imputación una pérdida de confidencialidad. Podemos encontrarnos con supuestos en que existan medidas inadecuadas sin que por ello haya una pérdida de integridad y confidencialidad. En el presente caso: - BS ha realizado un tratamiento de datos, como es la recogida y registro del (…), sin garantizar su confidencialidad, pues estos datos de los apoderados de empresa quedaron expuestos cuando (…). Lo que supone una vulneración del artículo 5.1.
  19. f)del RGPD. - Por otro lado, BS no realizó una batería de controles de pruebas (testing) lo suficientemente exhaustiva como para detectar la vulnerabilidad que posteriormente produjo la violación de seguridad de los datos, lo que supone una vulneración del artículo 32 del RGPD. Por lo expuesto, no hay quiebra del principio non bis in idem, toda vez que no hay identidad de hechos ni de fundamento jurídico. V BS critica, tanto respecto a la presunta vulneración del artículo 5.1.
  20. f)del RGPD como respecto a la presunta vulneración del artículo 32 del RGPD, que se aplique el agravante del artículo 76.2.
  21. b)de la LOPDGDD, pues únicamente se ha producido (…) y que el incidente solamente podría haber afectado a (…), lo que es un número residual en relación con el volumen de clientes de BS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 El precepto cuya aplicación es objeto de crítica se refiere a “La vinculación de la actividad de infractor con la realización de tratamiento de datos personales”. Es decir, que el agravante no se refiere al número de personas afectadas por la infracción, circunstancia que viene regulada en el artículo 83.2.
  22. a)del RGPD. Sino a que la actividad del responsable ha de suponer que de manera habitual realice tratamientos de datos personales, lo cual es claro que tiene lugar en el caso de las entidades bancarias. VI En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que BS realiza, entre otros tratamientos, la recogida y registro de los siguientes datos personales de personas físicas, tales como: nombre y apellidos, número de IBAN de su cuenta, saldo en cuenta, etc. SB realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de seguridad, al haberse constatado (…). Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
  23. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. VII El artículo 5.1.
  24. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20
  25. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta acreditado que (…). De conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a BS, por vulneración del artículo 5.1.
  26. f)del RGPD. VIII La citada infracción del artículo 5.1.
  27. f)del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  28. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  29. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IX A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone, se considera que la infracción en cuestión es muy grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con el siguiente criterio que establece el artículo 83.2 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 Como atenuante: - La rapidez de reacción del responsable en cuanto tuvo conocimiento de la brecha, (…). (Art. 83.2.c). Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con el siguiente criterio que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravante: - La actividad de SB implica el manejo de un elevado número de datos personales, dado que se trata de un banco privado con una gran cantidad de clientes que hacen uso del sistema de banca online. (Art. 76.2.b). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  30. f)del RGPD, permite fijar una sanción de 50.000 € (CINCUENTA MIL euros). X El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  31. a)la seudonimización y el cifrado de datos personales;
  32. a)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  33. b)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  34. c)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha, (…). A este respecto, el informe de la Subdirección General de Inspección de Datos señala que (…). De conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción imputable a SB por vulneración del artículo 32 del RGPD. XI La citada infracción del artículo 32 del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  35. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  36. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” XII A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con el siguiente criterio que establece el artículo 83.2 del RGPD: Como atenuante: - La rapidez de reacción del responsable en cuanto tuvo conocimiento de la brecha, (…). (Art. 83.2.c). Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con el siguiente criterio que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravante: - La actividad de SB implica el manejo de un elevado número de datos personales, dado que se trata de un banco privado con una gran cantidad de clientes que hacen uso del sistema de banca online. (Art. 76.2.b). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.3 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar una sanción de 30.000 € (TREINTA MIL euros). XIII El Artículo 33 “Notificación de una violación de la seguridad de los datos personales a la autoridad de control” del RGPD establece: “1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación. 2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento. 3. La notificación contemplada en el apartado 1 deberá, como mínimo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20
  37. a)describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
  38. a)comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
  39. b)describir las posibles consecuencias de la violación de la seguridad de los datos personales;
  40. c)describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. 4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. 5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.” En el presente caso y examinados los antecedentes que obran en el expediente, no se puede afirmar que SB incumpliese las obligaciones establecidas en el artículo 33 del RGPD, (…). XIV El artículo 34 “Comunicación de una violación de la seguridad de los datos personales al interesado” del RGPD establece: “1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida. 2. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b),
  41. c)y d). 3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes:
  42. a)el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;
  43. a)el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1;
  44. b)suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados. 4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3”. En el presente caso y examinados los antecedentes que obran en el expediente, no se puede afirmar que SB incumpliese las obligaciones establecidas en el artículo 34 del RGPD, ya que, tal y como indica el delegado de protección de datos en su evaluación de la violación de seguridad, (…): - (…). - (…). - (…). - (…). A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a BANCO DE SABADELL, S.A., con NIF A08000143: Por una infracción del artículo 5.1.
  45. f)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de CINCUENTA MIL EUROS (50.000€) Por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de TREINTA MIL EUROS (30.000€) Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 64.000 euros, y su pago implicará la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-050522 A.A.A. INSPECTORA/INSTRUCTORA >> SEGUNDO: En fecha 28 de septiembre de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 64000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00096/2022, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a BANCO DE SABADELL, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  46. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-230822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.