PS-00143-2023

1/35  Expediente N.º: EXP202213126 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 13 de octubre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CAIXABANK, S.A. con NIF A08663619 (en adelante, CAIXA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en fecha 28 de marzo de 2022, la CAIXA, sin su consentimiento, facilitó a su exmarido "la información fiscal del 2021 de todos mis productos de Caixabank, de los cuales soy titular". Manifiesta que tuvo conocimiento de lo ocurrido porque, con posterioridad, su exmarido le entregó dicha documentación a la hija de ambos. A raíz de lo ocurrido, en fecha 19 de abril de 2022, presenta reclamación ante la CAIXA, recibiendo confirmación de la recepción en fecha 22 de abril de 2022. En fecha 13 de mayo de 2022, recibe respuesta indicando que están realizando las investigaciones internas oportunas para esclarecer los hechos ocurridos y, en su caso, adoptar las medidas pertinentes y que recibirá la correspondiente contestación a su reclamación. No obstante, y ante la falta de respuesta, en fecha 9 de junio de 2022, presenta reclamación ante el delegado de protección de datos de la CAIXA (mediante la cumplimentación del formulario habilitado al efecto en la web de dicha entidad) recibiendo respuesta, en fecha 10 de junio de 2022. En dicha respuesta se le indica que la reclamación ha de ser realizada por la titular de los datos o por persona con poderes suficientes para ello (debiendo presentar su letrado poder notarial). Manifiesta que, en fecha 11 de julio de 2022, se entrega en mano, en una oficina de la parte reclamada, copia de los poderes referidos a la atención del delegado de protección de datos. Puesto que, no recibe ningún tipo de respuesta en relación con el resultado de las investigaciones sobre una posible vulneración del deber de confidencialidad, presenta reclamación ante esta Agencia. Junto a la reclamación aporta: - Copia del poder general para pleitos y especial para otras facultades, de fecha 8 de julio de 2022. - Copia de la documentación relativa a la información fiscal controvertida. - Copia de la respuesta de la parte reclamada, de fecha 13 de mayo de 2022, comunicando el inicio de las actuaciones de investigación interna pertinentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/35 - Copia de la respuesta del delegado de protección de datos, de fecha 10 de junio de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la CAIXA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 13 de diciembre de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 16 de enero se recibe en esta Agencia escrito de respuesta indicando “… Que, en relación con el mencionado escrito y, en lo relativo a la reclamación interpuesta por Dª A.A.A. (la “Reclamante”), en la que manifiesta que, en fecha 28 de marzo de 2022, la parte reclamada, sin su consentimiento, facilitó a su exmarido "la información fiscal del 2021 de todos mis productos de Caixabank, de los cuales soy titular", cúmplenos informarles de lo siguiente: (

1. i)Según consta en nuestros sistemas, la Reclamante y Sr. B.B.B. (exmarido) resultaban ser ambos titulares solidarios del depósito ***REFERENCIA.1, hasta el 25 de agosto de 2022, siendo el señor B.B.B. el que figuraba como interlocutor del producto. (
2. ii)Se ha procedido a efectuar una investigación interna sobre lo manifestado por la Reclamante, y se ha determinado que el 8 de abril de 2022 acontecieron los siguientes hechos: ➢ El Sr. B.B.B. acudió a la oficina para recabar la información fiscal correspondiente al año anterior (que CaixaBank pone a disposición de sus clientes mediante el “Comunicado Fiscal Único”). ➢ Desde la oficina se accedió por el NIF del cliente a los comunicados del Sr. B.B.B., y, concretamente, al Comunicado Fiscal Único de las posiciones del cliente en CaixaBank correspondiente al año 2021. ➢ Seguidamente, consultó los movimientos del depósito ***REFERENCIA.1, titularidad indistinta del Sr. B.B.B. y de la Reclamante, Sra. A.A.A., accediendo a continuación al Comunicado Fiscal Único del año 2021 correspondiente a la Reclamante. Como es de ver, en el contexto de la gestión indistinta del producto compartido por el matrimonio formado por la Reclamante y el señor B.B.B., que actuaba como interlocutor ante la oficina (y que ahora, según manifiesta la Reclamante, resulta ser su excónyuge), la oficina accedió a toda la información fiscal de ambos titulares. incurriendo en un error humano e involuntario en la entrega del Certificado Fiscal Único al exmarido de la Reclamante…”. TERCERO: Con fecha 13 de enero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/35 CUARTO: Con fecha 21 de agosto de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
3. f)del RGPD y Artículo 32 del RGPD, tipificadas en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD, respectivamente. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que solicita se acuerde el archivo de las actuaciones, al no constituir la conducta de CAIXABANK infracción ninguna del artículo 5.1
4. f)RGPD ni del artículo 32 RGPD. SEXTO: Con fecha 20 de diciembre de 2023 se dictó propuesta de resolución proponiendo se sancione a CAIXABANK, S.A., con NIF A08663619, por una infracción del Artículo 5.1.
5. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD, con una multa de: - Por la infracción del artículo 5.1.
6. f)del RGPD, tipificada en el artículo 83.5.
7. a)de dicha norma, multa administrativa de cuantía 50.000€ (CINCUENTA MIL EUROS) - Por la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
8. a)de dicha norma, multa administrativa de cuantía 20.000€ (VEINTE MIL EUROS). SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, solicita se acuerde el archivo de actuaciones del presente procedimiento, al no constituir la conducta de CAIXABANK infracción ninguna del artículo 5.1.f RGPD ni del artículo 32 RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS ÚNICO: Consta acreditado en el expediente que la CAIXA, sin el consentimiento de la parte reclamante, facilitó a su exmarido la información fiscal del 2021 de todos los productos de Caixabank, de los cuales era titular. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/35 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio ALEGACIONES PREVIA. – “UNA RECLAMACIÓN SOBRE UNA BRECHA DE SEGURIDAD NO IMPLICA LA IMPOSICIÓN DE UNA SANCIÓN DE FORMA DIRECTA” Estimamos oportuno iniciar las presentes alegaciones con la citación literal del propio escrito del Acuerdo de inicio (Apartado II, Cuestiones Previas): Como la misma Agencia indica, si existe diligencia del responsable y las medidas de seguridad adecuadas y proporcionadas, un eventual y accidental suceso como el que nos ocupa no resulta susceptible de devengar sanción ninguna. En contestación a dicha alegación, esta Agencia Española de Protección de datos debe resaltar que, tal y como se cita en el Acuerdo de inicio (Apartado II, Cuestiones Previas): El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/35 Efectivamente, la recepción de una reclamación sobre una brecha de seguridad, entendida como una violación de seguridad de datos personales, no implica la imposición de una sanción; debe procederse al análisis de las circunstancias concurrentes a efectos de imposición de una sanción. PRIMERA. – EL SUCESO ACONTECIDO NO CONSTITUYE UNA BRECHA DE SEGURIDAD COMUNICABLE Nos encontramos ante una incidencia causada por una persona, empleada de una oficina de la Entidad, en relación a determinada información titularidad de la reclamante (el Certificado Fiscal correspondiente al año 2021, que recoge el resumen de los rendimientos del capital mobiliario), que fue puesta a disposición de su excónyuge, manifestando la reclamante no haber autorizado dicha puesta a disposición. Esta es una incidencia aislada, con una persona concernida y con un único receptor identificado, afectando a un volumen muy exiguo de datos, que, en ningún caso, constituyen datos de carácter sensible. Si bien la reclamante no nos ha trasladado los perjuicios de la actuación del personal de la oficina, resultarían estimables unas eventuales consecuencias con un nivel de severidad bajo. De acuerdo con la anterior evaluación de los oportunos factores de riesgo, realizada de la mano de la “Guía para la notificación de brechas de datos personales” publicada por esta Agencia, únicamente cabe concluir que el suceso acontecido no constituye una brecha de seguridad comunicable, ni a la Autoridad de Control, ni al titular de los datos. En contestación a dicha alegación, esta Agencia debe hacer referencia a lo preceptuado en el artículo 5.1
9. f)del RGPD, El artículo 5.1.
10. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
11. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de la parte reclamante, obrantes en la base de datos de CAIXA, fueron indebidamente difundidos a terceros, vulnerándose el principio de confidencialidad; al haberse facilitado a su exmarido la información fiscal del 2021 de todos los productos de Caixabank, de los cuales era titular la parte reclamante, teniendo conocimiento de lo ocurrido porque, con posterioridad, su exmarido le entregó dicha documentación a la hija de ambos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/35 El RGPD define, de un modo amplio, las “brechas de datos personales” como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. Es evidente que estamos ante una brecha de datos personales; puesto que, se ha producido un acceso no autorizado a la información fiscal del 2021 de todos los productos de Caixabank, de los cuales era titular la parte reclamante. Resaltar que dicha definición se encuentra recogida en la “Guía para la notificación de brechas de datos personales” publicada por esta Agencia. Aclarado el concepto de brecha de datos personales conviene subrayar que; en ningún momento, se ha imputado a la parte reclamada ni la vulneración del artículo 33 del RGPD ni la vulneración del artículo 34 del RGPD, que es donde se regula la comunicación de las brechas de seguridad a la autoridad de control y a los interesados respectivamente. SEGUNDA. – SOBRE LAS MEDIDAS ADOPTADAS PARA EVITAR QUE SE PRODUZCAN SUCESOS SIMILARES y SOBRE LAS MEDIDAS ADOPTADAS PARA EVITAR QUE SE PRODUZCAN SUCESOS SIMILARES 2.1. MEDIDAS ADOPTADAS PARA EVITAR QUE SE PRODUZCAN SUCESOS SIMILARES El suceso objeto de la presente reclamación se ha producido por la actuación contraria a las normas internas, por parte de un empleado de la Entidad en una actuación individual y aislada. CaixaBank ha adoptado las oportunas medidas preventivas técnicas y organizativas con el objetivo de evitar incidencias como la acontecida, A este efecto, la Entidad tiene implementado un cuerpo normativo y un programa de formación y concienciación de sus empleados, que contempla, entre otras actuaciones y documentos, los siguientes: • Un Código Ético (Código Ético y Principios de Actuación de CaixaBank), que resulta de aplicación a todos los empleados de la Entidad, que deben conocer y cumplir, en el que se contemplan específicamente las obligaciones de los empleados en relación con el acceso a los datos e información de los clientes de la Entidad que contempla, entre otras, las siguientes previsiones: “1. El presente Código es de aplicación a CaixaBank y a todos los/las empleados/as, directivos/as y miembros de los Órganos de Gobierno de CaixaBank (en lo sucesivo, las “Personas Sujetas”). Todos ellos deberán conocer y cumplir el presente Código.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/35 “3.6 Confidencialidad Preservamos la confidencialidad de la información que nos confían nuestros accionistas y clientes. 1. La confidencialidad de la información relativa a nuestros clientes, empleados, miembros de los órganos de gobierno y dirección, proveedores y accionistas constituye el pilar fundamental sobre el que asienta la relación de confianza que constituye la esencia de nuestra actividad. 2. Deberá respetarse la normativa vigente y las normas internas sobre tratamiento y confidencialidad de los datos personales y sobre privacidad. 3. CaixaBank protege al máximo la información personal de sus clientes, accionistas, personas empleadas, miembros de sus Órganos de Gobierno o de cualquier persona física o jurídica con la que se relaciona. CaixaBank exige, asimismo, a terceras empresas proveedoras o con las que tenga relación, que preserven la confidencialidad de la información a la que puedan acceder con ocasión de la relación contractual que mantengan con CaixaBank. 4. Las personas sujetas sólo harán uso de la información recibida de los accionistas, clientes, proveedores, Órganos de Gobierno y personas empleadas para la finalidad para la que fue transmitida, todo ello de conformidad con la normativa vigente en esta materia. Nunca se accederá a información que no sea estrictamente exigida para el desempeño de nuestro trabajo. Antes de transmitir información a terceros, las personas sujetas deberán asegurarse de que están autorizados y que existe una una razón legítima para dicha transmisión. Incluso en el caso de estar autorizados, es preciso limitar a lo estrictamente necesario el volumen de información a revelar. En caso de cualquier duda, deberán consultar con el superior jerárquico o, atendiendo a la identidad de la misma, con el Departamento de Seguridad de la Información de CaixaBank.” • Una Norma Interna sobre tratamiento y confidencialidad de los datos de los clientes (Norma 47: Confidencialidad y tratamiento de datos de carácter personal), que trata específicamente el aspecto del acceso a datos por parte de los empleados, que contempla, entre otras, las siguientes previsiones: “ 2.9. Obligaciones generales de los empleados de CaixaBank Los empleados de CaixaBank están obligados a: • Custodiar y mantener el secreto profesional y la confidencialidad de los datos personales que tratan lo que implica: o NO revelar a terceros aquella información a la que tienen acceso en su condición de empleados y para el desempeño de las funciones que tiene atribuidas. o PROHIBICIÓN de cualquier consulta que no sea necesaria para el desempeño de las mencionadas funciones y esté justificada por la operativa que se está realizando. • Usar en su día a día únicamente las herramientas y aplicaciones corporativas que pone a su disposición la Entidad.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/35 • Un protocolo de formación continua y obligatoria en materia de privacidad y protección de datos para apoyar este cuerpo normativo. Se adjunta como Documento nº 1 el contenido de la formación realizada por el empleado. • Una implementación de indicadores, por parte de Auditoria de la Red de Oficinas que, en base a indicadores de actividad ordinaria y de alertas de actividades no relacionadas a los roles de los empleados, tales como consultas a clientes no asignados a la cartera de la oficina o gestor, personas relevantes, horarios de consulta o similares, promueve investigaciones recurrentes sobre operativas sospechosas de no ser adecuadas al puesto de trabajo desempeñado. En el caso que nos ocupa en esta reclamación, el hecho de que la oficina y persona empleada involucrados en la incidencia fueran los habituales de la reclamante, impidió que el sistema de alertas de actividades anómalas detectara la incidencia antes de la reclamación de la clienta. • Un programa continuo de concienciación mediante la publicación de notas y noticias en la intranet corporativa de la Entidad, para recordar a los empleados sus obligaciones en materia de confidencialidad. Se adjuntan un ejemplo de los contenidos periódicos que se publican. 2.2. MEDIDAS ADOPTADAS PARA EVITAR QUE SE PRODUZCAN SUCESOS SIMILARES Por parte de esta Entidad, y a la vista de los hechos acontecidos, se procedió a adoptar dos tipos de medidas: - se ha procedido a reiterar a los empleados de la oficina la relevancia de los contenidos indicados en el anterior apartado 2.1. en la interlocución con los clientes. - respecto la persona empleada de la oficina involucrada en el suceso, se ha procedido a la incoación del correspondiente expediente por esta falta confidencialidad. De acuerdo con lo anterior, resulta probado que CaixaBank aplica diligentemente medidas técnicas y organizativas apropiadas que garantizan la seguridad adecuada de los datos de sus clientes; si bien, obviamente, la adopción de dichas medidas no puede eliminar un suceso singular causado por un empleado de la entidad, por lo que no existe infracción ninguna del artículo 5.1.f RGPD. En contestación a dicha alegación, debemos insistir en que, efectivamente, los hechos ocurridos constituyen una infracción del artículo 5.1.f RGPD. El artículo 5.1.
12. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/35
13. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de la parte reclamante, obrantes en la base de datos de CAIXA, fueron indebidamente difundidos a terceros, vulnerándose el principio de confidencialidad; al haberse facilitado a su exmarido la información fiscal del 2021 de todos los productos de Caixabank, de los cuales era titular la parte reclamante, teniendo conocimiento de lo ocurrido porque, con posterioridad, su exmarido le entregó dicha documentación a la hija de ambos. Cuestión distinta es que, la CAIXA, como responsable del tratamiento de datos, está obligado a aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que presente el tratamiento de datos. Dichas medidas no solo son medidas de los sistemas informáticos sino también medidas de organizativas de factor humano. La formación de los empleados que tienen acceso o disponibilidad a datos personales disponibles en sus bases de datos es un control esencial que toda organización diligente debe asegurar y acreditar. Por otro lado, debe resaltarse que el reconocimiento por parte de CaixaBank de que ha adoptado las oportunas medidas preventivas técnicas y organizativas con el objetivo de evitar incidencias como la acontecida, denota que las medidas de seguridad implantadas eran insuficientes o no lo suficientemente robustas. Por último, alegar que “El suceso objeto de la presente reclamación se ha producido por la actuación contraria a las normas internas, por parte de un empleado de la Entidad en una actuación individual y aislada” no exime de responsabilidad a la organización ni justifica el incumplimiento de la normativa vigente en materia de protección de datos como responsable del tratamiento de datos. TERCERA. – SOBRE LA PRESUNTA INFRACCIÓN DEL ARTÍCULO 32 RGPD Esta Entidad está en absoluto desacuerdo con esta imputación realizada por la Agencia en el Acuerdo de inicio. En primer lugar, cúmplenos señalar que parecería que esta Agencia está imputando doblemente a CaixaBank por la misma presunta infracción: presunta falta de medidas de seguridad adecuadas o apropiadas, por lo que podía estar incurriendo en una vulneración de los principios del procedimiento sancionador (en concreto, el principio non bis in idem), y, por ende, vulnerando los derechos de mi representada. En segundo lugar, traemos a colación todos los aspectos ya indicados en la anterior alegación SEGUNDA, para reiterar que CaixaBank aplica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/35 medidas técnicas y organizativas apropiadas para garantizar la seguridad adecuados de los datos que trata. A este efecto, debemos incidir en el hecho que los protocolos, procedimientos, sistemas y medidas establecidas por CaixaBank están encaminados a evitar que nadie acceda a información de la que no tiene derecho a conocer, evitando así quiebras de confidencialidad. Una única actuación singular ignorando dichos protocolos, procedimientos, sistemas y medidas, en el contexto del volumen de datos e información que diariamente es gestionado todos los empleados de CaixaBank, es la prueba que los protocolos, procedimientos, sistemas y medidas funcionan apropiadamente porque son conocidos y aplicados por los empleados de la Entidad. Además, nos encontramos que esta Agencia realiza una extrapolación de una situación estrictamente singular para, sin realizar ninguna actividad probatoria al respecto, imputar a mi representada el incumplimiento de las obligaciones de responsabilidad proactiva a las que está sometida por la normativa de protección de datos. Efectivamente, el Acuerdo de Inicio incurre en el maximalismo de entender que acontecido un suceso estrictamente singular, dicha circunstancia determina, a ojos de la Agencia, pero sin prueba que lo refute, que mi mandante no ha adoptado medidas de seguridad suficientes para preservar los derechos de los interesados y garantizar la confidencialidad e integridad de los datos. De este modo, la Agencia en el Acuerdo de inicio, vincula el supuesto incumplimiento de lo dispuesto en el artículo 32 RGPD con la producción del resultado que aconteció como consecuencia de un mero y fortuito error humano. Esta imputación ni se ajusta ni se corresponde a los hechos objetivos acontecidos, y resulta, aparte de desmesurada, totalmente contraria al ordenamiento jurídico, puesto que supone inseguridad jurídica y nula predictibilidad de las normas jurídicas de aplicación. En este sentido, se considera necesario traer a colación una sentencia del Tribunal Supremo de 15 de febrero de 2022 (recurso de casación 7359/2020), donde el Alto Tribunal señala de forma clara que la obligación impuesta por el artículo 32 RGPD de adoptar medidas técnicas y organizativas encaminadas a garantizar la confidencialidad, disponibilidad e integridad de la información, es una obligación de medios y no de resultado, como tradicionalmente venía considerando la Agencia y respaldando la doctrina de la Audiencia Nacional. “En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/35 razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia " o "de comportamiento". La diferencia radica en la responsabilidad en uno y otro caso, pues mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y la diligencia utilizada. En la obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable. En estas últimas, la suficiencia de las medidas de seguridad que el responsable ha de establecer ha de ponerse en relación con el estado de la tecnología en cada momento y el nivel de protección requerido en relación con los datos personales tratados, pero no se garantiza un resultado.” Consecuencia de todo lo anterior es que, en opinión de esta parte, las premisas que sientan el juicio de valoración de las circunstancias del caso y que conducen a la Agencia a la imposición de la infracción por la supuesta vulneración del artículo 32 RGPD, decaen ante la realidad del hecho singular acontecido y la jurisprudencia del Tribunal Supremo, circunstancias que necesariamente deberían conducir al archivo del presente expediente sancionador. En contestación a esta alegación, es evidente que la CAIXA no disponía de medidas de seguridad razonables en función de los posibles riesgos estimados, vulnerándose lo previsto en el artículo 32 “Seguridad del tratamiento” del RGPD que establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
14. a)la seudonimización y el cifrado de datos personales;
15. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
16. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
17. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/35 para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Insistimos en lo argumentado en la contestación a la anterior alegación, CaixaBank, como responsable del tratamiento de datos, está obligado a aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que presente el tratamiento de datos. Dichas medidas no solo son medidas de los sistemas informáticos sino también medidas de organizativas de factor humano. En relación al principio non bis in idem alegado, la Sentencia de la Audiencia Nacional de 23 de julio de 2021 (rec. 1/2017) dispone que, “(…) Conforme a la legislación y jurisprudencia expuesta, el principio non bis in ídem impide sancionar dos veces al mismo sujeto por el mismo hecho con apoyo en el mismo fundamento, entendido este último, como mismo interés jurídico protegido por las normas sancionadoras en cuestión. En efecto, cuando exista la triple identidad de sujeto, hecho y fundamento, la suma de sanciones crea una sanción ajena al juicio de proporcionalidad realizado por el legislador y materializa la imposición de una sanción no prevista legalmente que también viola el principio de proporcionalidad. Pero para que pueda hablarse de "bis in ídem" debe concurrir una triple identidad entre los términos comparados: objetiva (mismos hechos), subjetiva (contra los mismos sujetos) y causal (por el mismo fundamento o razón de castigar):
18. a)La identidad subjetiva supone que el sujeto afectado debe ser el mismo, cualquiera que sea la naturaleza o autoridad judicial o administrativa que enjuicie y con independencia de quién sea el acusador u órgano concreto que haya resuelto, o que se enjuicie en solitario o en concurrencia con otros afectados.
19. b)La identidad fáctica supone que los hechos enjuiciados sean los mismos, y descarta los supuestos de concurso real de infracciones en que no se está ante un mismo hecho antijurídico sino ante varios.
20. c)La identidad de fundamento o causal, implica que las medidas sancionadoras no pueden concurrir si responden a una misma naturaleza, es decir, si participan de una misma fundamentación teleológica, lo que ocurre entre las penales y las administrativas sancionadoras, pero no entre las punitivas y las meramente coercitivas.” En consecuencia, no se ha vulnerado el principio non bis in idem; puesto que, si bien entendido grosso modo los hechos se detectan consecuencia de una brecha de datos personales, la infracción del art. 5.1.
21. f)del RGPD se concreta en una clara pérdida de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/35 confidencialidad y disponibilidad, mientras que la infracción del art. 32 del RGPD se reduce a la ausencia y deficiencia de las medidas de seguridad (solo de seguridad) detectadas, presentes independientemente de la brecha de datos personales. De hecho, si estas medidas de seguridad que tenía implantadas CAIXA se hubieran detectado por la AEPD sin que se hubiera producido la pérdida de confidencialidad y de disponibilidad, únicamente hubiera sido sancionada por el art. 32 del RGPD. CAIXA considera que en ambos preceptos se exige una única conducta que es implantar la seguridad adecuada. No es cierto, puesto que el art. 5.1.
22. f)del RGPD no se constriñe a la garantía de la seguridad adecuada al riesgo, sino a la garantía de la integridad y disponibilidad. Y no sólo mediante medidas de seguridad, sino mediante todo tipo de medidas técnicas u organizativas apropiadas. Como hemos indicado, mediante el art. 5.1.
23. f)del RGPD se sanciona una pérdida de disponibilidad y confidencialidad, únicamente, y mediante el art. 32 del RGPD la ausencia y deficiencia de las medidas de seguridad implantadas por el responsable del tratamiento. Medidas de seguridad ausentes o deficientes, añadimos, que infringen el RGPD independientemente de que no se hubiera producido la pérdida de confidencialidad y de disponibilidad. En cuanto a la duda sobre si el art. 5.1.
24. f)del RGPD impone al igual que el art. 32 del RGPD una obligación de medios, o si se trata de una obligación de resultado, mencionar que el art. 5.1.
25. f)del RGPD recoge el principio de integridad y confidencialidad y determina que los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Establece una obligación de resultado. Por otra parte, el art. 32 del RGPD reglamenta cómo ha de articularse la seguridad del tratamiento en relación con las medidas de seguridad concretas que hay que implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que incluya entre otras cuestiones, la capacidad de garantizar la confidencialidad de los datos. Puede ocurrir que las medidas no sean adecuadas sin que por ello se haya producido una pérdida de integridad y/o confidencialidad. Se trata de una obligación de medios. El artículo 32 del RGPD impone a los responsables de un tratamiento de datos personales la obligación de determinar y establecer las medidas de seguridad técnicas y organizativas apropiadas para garantizar el nivel de seguridad adecuado al riesgo en función del estado de la técnica, los costes de aplicación y, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/35 A fin de mantener la seguridad de los tratamientos se exige al responsable evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos. En dicha evaluación del riesgo deben tenerse en cuenta los riesgos que atenten contra los derechos y libertades de los interesados, especialmente sus derechos y libertades fundamentales. CUARTA. - DE LA APLICACIÓN DE LAS AGRAVANTES Los apartados PRIMERO, y CUARTO de la parte dispositiva del Acuerdo de Inicio del presente Procedimiento Sancionador señalan (transcribimos textualmente) que la Directora de la AEPD, acuerda lo siguiente: “PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a CAIXABANK, S.A., con NIF A08663619, por las presuntas infracciones de los artículos 5.1.
26. f)y 32 del RGPD, tipificadas, respectivamente, en los artículos 83.5.
27. a)y 83.4.
28. a)del RGPD. (…) CUARTO: QUE a los efectos previstos en el art. 64.2
29. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería: - Por la supuesta infracción del artículo 5.1.
30. f)del RGPD, tipificada en el artículo 83.5.
31. a)de dicha norma, multa administrativa de cuantía 50.000€ (CINCUENTA MIL EUROS). - Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
32. a)de dicha norma, multa administrativa de cuantía 20.000€ (VEINTE MIL EUROS).” La AEPD refiere en su FUNDAMENTO DE HECHO V y VIII, determinadas circunstancias concurrentes en la actuación de Caixabank, determinando que deben ser consideradas como factores agravantes de su responsabilidad. Todo ello, unilateralmente y sin haber escuchado previamente la defensa de mi mandante sobre los hechos imputados. En el presente Procedimiento Sancionador, esta Agencia considera que concurren las siguientes circunstancias agravantes: Sanción por la infracción del artículo 5.1.
33. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -
34. b)la intencionalidad o negligencia en la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/35 Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -
35. b)la intencionalidad o negligencia en la infracción; Mi mandante considera que en el presente caso no existe infracción ninguna del artículo 5.1.f RGPD ni del artículo 32 RGPD, por lo que menos resultarían aplicables las agravantes que, indebida e improcedentemente, considera concurrentes esta Agencia. En contestación a dicha alegación y, en relación al agravante aplicado a las sanciones por las infracciones cometidas, esta Agencia Española de Protección de Datos reproduce el criterio adoptado por el Tribunal Supremo por falta de la diligencia exigible. QUINTA. – CAMBIO DE CRITERIO EN EL EJERCICIO DE LA POTESTAD SANCIONADORA Finalmente, esta Agencia en un expediente anterior (EXP 202300974) con idéntico objeto, resolvió el archivo de actuaciones, en fecha 9 de mayo del presente. Es decir, en un suceso similar al que nos ocupa, donde se constata un error humano e involuntario, esta Agencia procedió al archivo de actuaciones. señalando que Caixabank tiene implementadas aquellas medidas necesarias, proporcionadas y adecuadas, requeridas por la normativa de protección de datos. El hecho que el organismo administrativo cambie el criterio de su interpretación, sin actividad probatoria ninguna, y por lo mismo, adopte medidas opuestas a las que venía realizando con anterioridad, supone la vulneración de los principios del Derecho Administrativo sancionador, así como las garantías constitucionales de mi representada, circunstancia que implica la nulidad plena y radical del procedimiento administrativo que nos ocupa, en el supuesto que esta Agencia pretenda persistir en el mismo. En contestación a dicha alegación, hay que subrayar que el citado expediente no tiene idéntico objeto; por tanto, no procede el archivo del expediente que nos ocupa. En aquel momento ya manifestó CAIXABANK que tenía implementado un cuerpo normativo y un programa de formación y concienciación que contempla, entre otras actuaciones y documentos, los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/35 - Un Código Ético (Código Ético y Principios de Actuación), que resulta de aplicación a todos los empleados de la Entidad, que deben conocer y cumplir, en el que se contemplan específicamente las obligaciones de los empleados en relación con el acceso a los datos e información de los clientes, la confidencialidad de la información y no acceder nunca a información que no sea estrictamente exigida para el desempeño de nuestro trabajo. - Una Norma Interna sobre tratamiento y confidencialidad de los datos de los clientes, que trata específicamente el aspecto del acceso a datos por parte de los empleados, que contempla, entre otras, obligaciones el custodiar y mantener el secreto profesional y la confidencialidad de los datos personales que tratan lo que implica, no revelar a terceros aquella información a la que tienen acceso en su condición de empleados y para el desempeño de las funciones que tiene atribuidas, prohibición de cualquier consulta que no sea necesaria para el desempeño de las mencionadas funciones y esté justificada por la operativa que se está realizando, y usar en su día a día únicamente las herramientas y aplicaciones corporativas que pone a su disposición la Entidad." - Un protocolo de formación continua y obligatoria en materia de privacidad y protección de datos para apoyar este cuerpo normativo - Una implementación de indicadores, por parte de Auditoria de la Red de Oficinas que, en base a indicadores de actividad ordinaria y de alertas de actividades no relacionadas a los roles de los empleados, tales como consultas a clientes no asignados a la cartera de la oficina o gestor, personas relevantes, horarios de consulta o similares, promueve investigaciones recurrentes sobre operativas sospechosas de no ser adecuadas al puesto de trabajo desempeñado. Curiosamente, las mismas medidas alegadas en el presente expediente como medidas adoptadas para evitar que se produzcan sucesos similares. En consecuencia, es evidente la insuficiencia y debilidad de las medidas de seguridad técnicas y organizativas de CAIXABANK apropiadas para garantizar el nivel de seguridad adecuado al riesgo en el tratamiento de los datos de carácter personal de sus clientes. Por todo lo expuesto, SE DESESTIMARON las alegaciones presentadas. III Alegaciones a la propuesta de resolución En respuesta a las alegaciones presentadas, según el orden expuesto por la entidad reclamada, se debe señalar lo siguiente: ALEGACIONES PRIMERA. - LA AEPD NO PUEDE DEDUCIR, POR EL ACONTECIMIENTO DE UN HECHO SINGULAR, QUE LAS MEDIDAS TÉCNICAS Y ORGANIZATIVAS IMPLEMENTADAS POR EL RESPONSABLE NO ERAN APROPIADAS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/35 Indica la CAIXA lo siguiente: En el anterior escrito de alegaciones, mi representada abrió el mismo con la siguiente citación literal de las palabras de la misma AEPD, recogidas en el Acuerdo de inicio (Apartado II, Cuestiones Previas): De acuerdo con tal premisa, en el escrito de alegaciones al Acuerdo de Inicio, remitido a la AEPD en fecha 11 de septiembre de 2023, CaixaBank procedió a describir todas las medidas, técnicas y organizativas, implementadas por CaixaBank que acreditan y prueban que se trata de medidas apropiadas para que no se produzca una comunicación no autorizada como la acontecida en el procedimiento que nos ocupa, y que enunciamos nuevamente, si bien ya ampliamente detalladas en nuestro anterior escrito, al que oportunamente nos remitimos: (
36. i)Medidas técnicas - Acceso de las personas gestoras únicamente a los datos de los clientes de la cartera de clientes de su oficina. - Implementación de indicadores y alertas por parte de Auditoría Interna destinados a detectar actividades de las personas gestoras no relacionadas con sus roles y/o con sus clientes gestionados. (
37. ii)Medidas organizativas - Cuerpo normativo de obligado cumplimiento para todas las personas empleadas en Caixabank, integrado por (
38. i)un Código Ético y Principios de Actuación de CaixaBank, y también (
39. ii)la Norma 47 (Confidencialidad y Tratamiento de datos de carácter personal). - La eventual infracción de las disposiciones del cuerpo normativa anterior son objeto de incoación de expediente disciplinario, que puede conllevar la imposición de sanciones que van desde la suspensión de empleo y sueldo hasta el despido del empleado o empleada. - Programa de formación en materia de protección de datos de carácter personal con afectación a Bonus (es decir, que aquellos empleados o empleadas que no llevan a cabo o no superan el curso no cobran este concepto de retribución variable). - Programa continuo de concienciación sobre el tratamiento de los datos de carácter personal de nuestros clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/35 Como es de ver, CaixaBank, en su condición de responsable diligente del tratamiento, ha demostrado que tiene implementadas múltiples y diversas medidas técnicas y organizativas apropiadas, destinadas a: (
40. i)prevenir y evitar que sus empleados y empleadas realicen operaciones de tratamiento que no resulten conformes con el RGPD, y (
41. ii)garantizar que el tratamiento de datos de sus clientes se realiza de conformidad con los principios del artículo 5 del RGPD, En cambio, esta Agencia, en su propuesta de resolución, no realiza examen ni valoración ninguna en cuanto al fondo de las medidas (ni en relación con la naturaleza de las mismas, ni en lo que concierne a su contenido, ni tampoco a su forma de aplicación), limitándose a “insistir en los hechos recurridos” (página 11/23) o la simple manifestación “es evidente que la CAIXA no disponía de medidas de seguridad razonables” (página 12/23). Esta necesidad de examen o valoración objetiva no es un requerimiento de mi representada, sino que se encuentra expresamente exigido por la reciente jurisprudencia del Tribunal de Justicia de la Unión Europea, que en su Sentencia en el Asunto C-340/21 (Natsionalna agentsia za prihodite, dictada en fecha 14 de diciembre de 2023). Esta Sentencia resulta totalmente extrapolable al procedimiento que nos ocupa, y en ella, el Tribunal Europeo señale expresamente lo siguiente: “45 Por consiguiente, para controlar el carácter apropiado de las medidas técnicas y organizativas adaptadas con arreglo al artículo 32 del RGPD, un órgano jurisdiccional nacional no debe limitarse a comprobar de qué manera el responsable del tratamiento ha procurado cumplir con las obligaciones que le incumben en virtud de dicho artículo, sino que debe llevar a cabo un examen en cuanto al fondo de estas medidas, a la luz de todos los criterios a que hace referencia el mencionado artículo, así como de las circunstancias propias del caso y de los elementos de prueba de que dispone el órgano jurisdiccional. 46 Un examen de este tipo requiere que se proceda a un análisis concreto tanto de la naturaleza como del contenido de las medidas que han sido adoptadas por el responsable del tratamiento, de la forma en la que se han aplicado dichas medidas y de sus efectos prácticos en el nivel de seguridad que este estaba obligado a garantizar, habida cuenta de los riesgos inherentes a ese tratamiento.” Es decir, que la Agencia no puede limitarse a manifestar, sin más (página 8/23 del escrito de Propuesta de Resolución), que “debemos insistir en que efectivamente los hechos ocurridos constituyen una infracción del artículo 5.1.f RGPD”, o que “la CAIXA no disponía de medidas de seguridad razonables” (página 11/23), sin realizar ninguna valoración ni argumentación objetiva de las múltiples y diversas medidas implementadas por mi representada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/35 Este hecho constituye una vulneración flagrante del derecho fundamental a la tutela judicial efectiva, y, en consecuencia, vicia al presente procedimiento administrativo de nulidad absoluta. Por todo lo anterior, mi representada únicamente puede concluir en el mismo sentido de la Sentencia del TJUE anteriormente citada: 1. Que no se ha producido infracción ninguna del artículo 5.1.f, RGPD porque el RGPD no exige infalibilidad, sino la adopción de medidas apropiadas para garantizar la protección adecuada de los datos personales tratados por el responsable. La previsión de adopción de medidas regulada por el RGPD carecería de todo sentido si la exigencia al responsable por parte del RGPD consistiera, simple y llanamente, en impedir toda infracción: “50 En particular, el responsable del tratamiento debe, de conformidad con los principios de integridad y de confidencialidad de los datos personales establecidos en el artículo 5, apartado 1, letra f, de dicho Reglamento, garantizar que estos datos son tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas y debe ser capaz de demostrar la conformidad con los referidos principios” 2. Que la AEPD no puede pretender que las medidas técnicas y organizativas implementadas por el responsable no son apropiadas porque se ha producido el hecho denunciado, sin valoración probatoria ninguna de las citadas medidas: “39 (…) los artículos 24 y 32 del RGPD deben interpretarse en el sentido de que una comunicación de autorizada de datos personales o un acceso no autorizado a tales datos por parte de “terceros” a los efectos del artículo 4, punto 10, del mencionado Reglamento, no bastan por sí solos, para considerar que las medidas técnicas y organizativas adoptadas por el responsable del tratamiento no eran “apropiadas” con arreglo a los citados artículos 24 y 32”. En contestación a dicha alegación, esta Agencia debe recordar que las medidas técnicas y organizativas hay que adoptarlas, implantarlas por el responsable del tratamiento y seguirlas por el personal que presta servicios en la organización. En el presente caso, no sólo consta que las medidas técnicas y organizativas impuestas por el responsable del tratamiento se pudieron quebrantar por un empleado de la organización que actuó negligentemente, sino que también se ha puesto de manifiesto una falta de medidas apropiadas, pues las medidas que se adopten deben ser eficaces para garantizar el cumplimiento del RGPD, lo que habrá de valorarse caso por caso. Se han de adoptar las medidas apropiadas teniendo en cuenta los riesgos para los derechos y libertades de los interesados lo que incluirá la aprobación de protocolos, políticas y la toma de decisiones, pero también será necesaria la adopción de medidas técnicas que mitiguen el riesgo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/35 Tal y como razona el TJUE en la sentencia que se cita: “27. Todo el Reglamento se basa en la prevención del riesgo y la responsabilidad proactiva del responsable del tratamiento y, por tanto, en un enfoque teleológico que persigue el mejor resultado posible en términos de eficacia, es decir, muy lejos de la lógica formalista vinculada a la mera obligación de cumplir procedimientos específicos que eximan de responsabilidad.