PS-00348-2021

1/14  Expediente Nº: PS/00348/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante la reclamante) con fecha 24/06/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la COMUNIDAD DE PROPIETARIOS B.B.B., con NIF ***NIF.1 (en adelante el reclamado). Los motivos en que basa la reclamación son los siguientes: la comunidad de propietarios a la que pertenece ha puesto a disposición de los vecinos que la conforman un espacio en el portal https://konvoko.com donde se almacenan documentos de la comunidad incluidas las actas de las juntas de propietarios; este portal dispone de una aplicación móvil para su acceso desde los smartphones a los documentos puestos a disposición de la comunidad además de poder acceder vía web. Según el reclamante, una vez descargada la aplicación se puede acceder libremente y sin ningún tipo de contraseña o restricción a las actas de dicha comunidad pudiéndose visualizar documentos en los que estarían accesibles los datos personales del interesado y aporta enlaces que conducen a documentos de la comunidad sin restricción ninguna: Señala también que no se habría comunicado a los vecinos la existencia de un fichero de registro de actividades de tratamiento por parte de la comunidad. Asimismo, manifiesta que se ha realizado el visionado de las cámaras del sistema de videovigilancia por persona no autorizada. Por otra parte, añade que no consta documento alguno aprobado por la junta de propietarios donde se recoja la persona autorizada para el acceso a las cámaras. El reclamante aporta Acta de Presencia en la que el notario da fe de que se puede acceder a varios documentos relativos a la comunidad de propietarios reclamada a través de la aplicación móvil sin restricción alguna, encontrándose entre estos, actas de juntas de propietarios donde se reflejan, entre otros asuntos, datos personales y situaciones de impago de los propietarios. Se aneja a esta acta notarial, impresión de un acta de una junta de propietarios obtenida sin restricción alguna. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/05334/2020, se dio traslado de dicha reclamación al reclamado el 31/07/2020, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Fue reiterada la solicitud el día 13/08/2020. TERCERO: Con fecha 16/12/2020, la Directora de la AEPD acuerda la admisión a trámite de la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Respecto a la publicación de datos en la plataforma de KONVOKO TECHNOLOGY, S.L. (en lo sucesivo Konvoko): Con respecto al portal https://konvoko.com donde se almacenan diversos documentos de la comunidad, se comprueba que, al instalarse la aplicación señalada en la reclamación, ya no se puede acceder a los documentos de la comunidad de propietarios por el simple hecho de realizar una búsqueda con el término (...) como recoge en el acta notarial aportada por el reclamante. Se concluye, por tanto, que este aspecto ha quedado subsanado. No obstante, el inspector actuante comprueba, con fecha de 03/02/2020 que pese a lo señalado por Konvoko en la contestación al traslado de la reclamación sobre la seguridad de la información publicada en esta plataforma, se sigue pudiendo acceder vía web a los documentos señalados en la reclamación, entre los que constan actas con datos personales y situaciones de impago, de acceso público y sin restricción. Solicitada información sobre estos hechos a la mercantil Konvoko, con fecha de 17/02/2021 se recibe en esta Agencia contestación al requerimiento manifestando que mediante la posibilidad que ofrecía el sistema de “compartir” un documento, se creaba un enlace de acceso de forma libre saltándose las medidas establecidas generándose un problema de seguridad que no habían detectado. Añaden que en cuanto recibieron el requerimiento de esta Agencia con fecha de 04/02/2021 procedieron a subsanar este problema quedando resuelto. Se comprueba que ya no es posible acceder a los documentos señalados en la reclamación. Así mismo, presentan en esta Agencia informe de Evaluación de Impacto de este tratamiento concluyendo que se puede llevar a cabo sin riesgos significativos pues ninguna de las amenazas detectadas tiene un riesgo inherente “alto” o “muy alto”. Respecto a la visualización de las imágenes captadas por el sistema de videovigilancia: Sobre la utilización incorrecta de las imágenes grabadas por el sistema de videovigilancia de la comunidad, el reclamante no aporta evidencia alguna, sino suposiciones sobre un uso ilícito del sistema basándose en las declaraciones realizadas por el presidente de la comunidad en junta de vecinos sobre determinado comportamiento del reclamante que bien pudieron ser observados de cualquier otra forma. En ningún momento se cita en esta acta, que este comportamiento haya sido observado mediante la visualización de imágenes grabadas por el sistema de videovigilancia o que existan estas imágenes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 No obstante, realizado requerimiento a la presidenta de la comunidad de propietarios respecto a la manifestación del reclamante de que no se recoge en documento alguno la persona autorizada para el visionado de las imágenes, con fecha de 24/04/2021 se recibe en esta Agencia escrito de contestación manifestando que el sistema de videovigilancia fue aprobado en diversas juntas de propietarios según consta en las actas con fechas de marzo de 2012, donde se recoge la motivación de la instalación, y julio de 2012, donde se aprueba por unanimidad la instalación de las cámaras de videovigilancia en su apartado 6.2.e. Añaden que existe un acuerdo tácito en que sean las juntas directivas que vayan ocupando la representación de la comunidad de propietarios quien ejerza las debidas responsabilidades respecto a la visualización de las cámaras de videovigilancia. El equipo de grabación y el monitor de visualización se encuentran en el cuarto de telecomunicaciones dentro de un armario metálico cerrado con llave, siendo ésta custodiada por la junta. Señalan que las imágenes no se visualizan por ningún tercero. Y adjuntan, entre otros, los siguientes documentos relevantes: - Actas de fecha 15/03/2012 y 12/07/2012 - Fotografías de los carteles informativos de zona videovigilada donde se indica el lugar donde ejercitar los derechos del interesado. - Reportaje fotográfico de localización de las cámaras y alcance de visualización. Entre ellas, fotografía de la cámara situada en el cuarto de telecomunicaciones en el que se encuentra el armario que contiene el equipo grabador y el monitor de visualización. - Captura de pantalla de la aplicación de gestión de las grabaciones donde se aprecia que tienen un ciclo de vida de un mes. QUINTO: En fecha 18/08/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, por la presunta infracción de los artículos 5.1.

1. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
2. a)y 83.4.
3. a)del citado reglamento. SEXTO: Notificado el citado acuerdo de inicio, el 20/09/2021 el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: su disconformidad con la apertura del acuerdo de inicio del procedimiento sancionadora considerando que es nulo de pleno derecho; que no se le ha dado traslado de documentación a fin de ejercitar su derecho a la defensa y esgrimir los argumentos y pruebas que pudieran contrarrestar las afirmaciones vertidas por el denunciante dejando a la parte reclamante en situación de indefensión; que es la empresa Konvoco la responsable del tratamiento de los datos personales del usuario; que en modo alguno se puede hacer responsable al reclamado de tener que tomar decisiones destinadas a implementar de manera efectiva las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo; que es a la empresa Konvoco a la que hay que dirigir el procedimiento por ser el responsable de los hechos. SEPTIMO: Con fecha 28/09/2021 se inició la apertura de un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/10201/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. OCTAVO: El 24/01/2022 fue notificada al reclamado Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionara al reclamado por infracción de los artículos 5.1.
4. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
5. a)y 83.4.
6. a)del RGPD, con apercibimiento. Transcurrido el plazo establecido el reclamado, al tiempo de la presente Resolución, no había presentado escrito de alegación alguno. NOVENO: De las actuaciones practicadas han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO. El 24/06/2020 tiene entrada en la Agencia Española de Protección de Datos escrito del reclamante manifestando que la comunidad de propietarios a la que pertenece ha puesto a disposición de los vecinos que la forman un espacio en el portal https://konvoko.com donde se almacenan documentos de la comunidad incluidas las actas de las juntas de propietarios; este portal dispone de una aplicación móvil para el acceso desde los smartphones a los documentos de la comunidad además de poder acceder vía web; señala el reclamante, que una vez descargada la aplicación se puede acceder libremente y sin ningún tipo de contraseña o restricción a las actas de dicha comunidad pudiéndose visualizar documentos en los que estarían accesibles los datos personales del interesado y aporta enlaces que conducen a documentos de la comunidad sin restricción ninguna: Señala también que no se habría comunicado a los vecinos la existencia de un fichero de registro de actividades de tratamiento por parte de la comunidad. SEGUNDO. Consta aportada Diligencia del notario de Las Palmas de fecha 08/05/2020 en la que se señala entre otras que “El mismo día del requerimiento, es decir, el siete ocho de mayo de dos mil diecinueve, siendo las doce horas cuarenta y cinco minutos, y con la presencia del requirente en mi despacho en la calle ***DIRECCIÒN.1, me bajo desde mi teléfono móvil la aplicación gratuita “KONKOVO”. Una vez descargado, escribo en el buscador la palabra (...) y me salen varios archivos en formato PDF. Accedo a la primera de ellas, que imprimo e incorporo a esta matriz. Doy fe de que no me ha pedido en ningún momento contraseñas o claves para acceder, es decir, que el acceso es completamente abierto y libre”. TERCERO. Se aporta incorporada a la Diligencia copia del Acta de la Junta Ordinaria de la Comunidad de propietarios celebrada el 25/04/2019, donde figuran datos de carácter personal de propietarios de la comunicad. CUARTO. Constan aportada copia del Acta de la Junta Ordinaria de la Comunidad de propietarios celebrada el 14/03/2016 en cuyo punto 9 se indica que “Se informa que el Presidente de la Comunidad contrata en el mes de octubre de 2015, por un importe anual de 96 € igic incluido, la aplicación para móviles Konvoco…”.; comunicación inC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 sertada en el Tablón de Anuncios de la Comunidad informando de que el acceso a la información vecinal se realizara a través de la aplicación de Konvoco y mediante contraseña, así como los enlaces: ***URL.1 ***URL.2 ***URL.3 ***URL.4 que nos llevan a documentos de la comunidad, actas, acuerdos y documentos de la Comunidad conteniendo datos personales sin restricción. QUINTO. Konvoko en escrito de 20/08/2020 ha manifestado que “Creemos que no existe ninguna incidencia que motive esta reclamación ya que para acceder a la información de cualquier comunidad de propietarios que publica o cualquier otra entidad de perfil privado en Konvoko previamente se ha de conocer la contraseña facilitada y ser validada la solicitud por el responsable de la comunidad... Desconocemos cual ha sido el canal de comunicación entre la Comunidad y los vecinos para hacerles llegar dicha contraseña puesto que la actual junta nos manifiesta que llevan poco tiempo al frente de la misma y fue la antigua junta quien se registró el 13-10-2015 y puso en marcha la app con los vecinos…” SEXTO. Consta la Diligencia del inspector señalando “… que el 3 de febrero de 2021 se obtiene impresión de las páginas del sitio web https://www.konvoko.com de los documentos reclamados: ***URL.1 ***URL.2 correspondientes a dos actas de junta de propietarios en la que se revelan datos personales y situaciones de impago de los propietarios”. El inspector actuante en su Informe ha señalado que: “No obstante, el inspector actuante comprueba, con fecha de 03/02/2021 pese a lo señalado por KONVOKO en la contestación al traslado de la reclamación sobre la seguridad de la información publicada en esta plataforma, que se sigue pudiendo acceder vía web a los documentos señalados en la reclamación, entre los que constan actas con datos personales y situaciones de impago, de acceso público y sin restricción”. SEPTIMO. Konvoko en escrito de 17/02/2021 manifiesta que “La misma noche del jueves 4 de febrero, fecha de la recepción del requerimiento en el que la AEPD informó de la incidencia, quedó resuelto y bloqueado el acceso a través de enlaces compartidos por usuarios con acceso a emisores en privado, aunque solo para dispositivos que NO tuvieran la app Konvoko instalada. - El día siguiente, 5 de febrero, quedó ya también bloqueado el acceso para los dispositivos que SI tienen la app instalada. - El lunes 8 se detectó que, aunque el acceso a los textos ya estaba restringido, todavía era posible acceder a un pdf adjunto, quedando esto resuelto e inaccesible el mismo día 8 de febrero”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 OCTAVO. El inspector actuante en Diligencia de 09/03/2021 ha señalado que “en esta fecha se obtiene impresión de los resultados al dirigir el navegador a los enlaces indicados en la reclamación. Se comprueba que ya no se accede a la documentación de la comunidad de propietarios mostrando como resultado la página principal de la plataforma KONVOKO”. Concluyendo en su Informe que “por tanto, este aspecto ha quedado subsanado”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.”. II Con carácter previo al examen de la cuestión de fondo del asunto, procede analizar la excepción alegada por el reclamado que de prosperar invalidarían las consideraciones de fondo o materiales. Alega el reclamado que el procedimiento es nulo de pleno derecho en virtud del artículo 47.1
7. a)y
8. g)de la Ley 39/2015 al no darle traslado de la documentación integrante en el expediente, en especial el acta notarial “Acta de Presencia del Notario”, a fin de ejercitar su derecho a la defensa y esgrimir los argumentos y pruebas que pudieran contrarrestar las afirmaciones vertidas por el reclamante, dejándole en situación de indefensión. Hay que señalar que de conformidad con el artículo 67 de la LOPDGD, antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. Y que tanto la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/10201/2020 han sido incorporados al mismo mediante la práctica de la prueba. El artículo 67 de la LOPDGDD, Actuaciones previas de investigación, establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica”. Por tanto, la infracción que se imputa al reclamado en el presente procedimiento sancionador no se ha realizado en base a meras sospechas o indicios, sino en razón de las pruebas obtenidas que acreditan los hechos reclamados. No obstante, se informa a la parte reclamada que la Ley 39/2015, en su Título IV, De las disposiciones sobre el procedimiento administrativo común, Capítulo I, Garantías del procedimiento, en su artículo 53.1.
9. a)señala que: “1. Además del resto de derechos previstos en esta Ley, los interesados en un procedimiento administrativo tienen los siguientes derechos:
10. a)A conocer, en cualquier momento, el estado de la tramitación de los procedimientos en los que tengan la condición de interesados; el sentido del silencio administrativo que corresponda, en caso de que la Administración no dicte ni notifique resolución expresa en plazo; el órgano competente para su instrucción, en su caso, y resolución; y los actos de trámite dictados. Asimismo, también tendrán derecho a acceder y a obtener copia de los documentos contenidos en los citados procedimientos. (…). III El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
11. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” En el presente caso, los hechos expuestos consistentes en que la comunidad de propietarios a la que pertenece el reclamado ha puesto a disposición de los vecinos una plataforma para acceso desde los smartphones a los documentos de la comunidad, si bien el acceso es libre y sin ningún tipo de contraseña a los mismos pudiéndose visualizar los datos personales del interesado, constituyendo infracción de la norC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 mativa de protección de datos, concretamente el principio de confidencialidad de los mismos. El artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. El citado artículo señala que: “1. Los datos personales serán: (…)
12. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. (…) IV Hay que señalar que a finalidad de los tratamientos de datos realizados por las comunidades de propietarios en su gestión es la de asegurar el cumplimiento por los propietarios de las obligaciones impuestas por la LPH, así como garantizar el adecuado ejercicio de los derechos que corresponden a los comuneros y a los “terceros” en la comunidad. La condición de responsable del tratamiento recae sobre la comunidad de propietarios. La documentación obrante en el expediente evidencia que el reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al posibilitar el acceso a través de aplicación móvil a los documentos comunitarios sin restricción alguna, entre los que constan actas con datos personales y situaciones de impago. Considera el reclamado que ha sido el propio reclamante quien ha propiciado que sus datos llegaran a terceros sin autorización. Sin embargo tal argumento no puede ser admitido y se compadece poco con lo señalado en el hecho probado quinto donde figura extractada la Diligencia del notario de Las Palmas, de fecha 08/05/2020, en la que se señala que “El mismo día del requerimiento, es decir, el siete ocho de mayo de dos mil diecinueve, siendo las doce horas cuarenta y cinco minutos, y con la presencia del requirente en mi despacho en la calle ***DIRECCIÒN.1, me bajo desde mi teléfono móvil la aplicación gratuita “KONKOVO”. Una vez descargado, escribo en el buscador la palabra (...) y me salen varios archivos en formato PDF. Accedo a la primera de ellas, que imprimo e incorporo a esta matriz. Doy fe de que no me ha pedido en ningún momento contraseñas o claves para acceder, es decir, que el acceso es completamente abierto y libre”. Es decir, que existía la posibilidad de que los datos personales de los que son titulares los propietarios fueran conocidos por terceras personas ajenas a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 Comunidad, mediante el acceso sin obstáculos a los mismos al no ser necesaria contraseña o clave de seguridad, lo que supone una vulneración del deber de confidencialidad, contemplado en el artículo 5.1.
13. f)del RGPD. Estableciendo en el artículo 5.1.
14. f)del referido RGPD que: Los datos personales serán (...)
15. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad». Deber de confidencialidad o secreto, que constituye una de las manifestaciones esenciales del derecho fundamental de protección de datos personales (artículo 18.4 CE). Deber de confidencialidad o de sigilo que incumbe a todo aquel que intervenga en cualquier fase del tratamiento, obligación que es complementaria del deber de secreto profesional y que comporta que no puedan revelar ni dar a conocer su contenido teniendo el deber de guardarlos. V El artículo 83.5
16. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Por otro lado, la LOPDGDD, a efectos de prescripción, en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
17. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI En segundo lugar, hay que señalar que la seguridad de los datos personales viene regulada en los artículos 32 del RGPD. El artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
18. a)la seudonimización y el cifrado de datos personales;
19. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
20. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
21. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
22. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
23. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
24. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…)” Los hechos puestos de manifiesto en la presente reclamación se materializan en suponen el quebrantamiento de las medidas técnicas y organizativas vulnerando la confidencialidad de los datos. VII El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. De la documentación obrante en el expediente se ofrecen indicios evidentes de que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad puesto que a través portal https://konvoko.com, donde se almacenan diversos documentos de la comunidad, y de la aplicación que puede descargarse en el móvil permite el acceso a dichos documentos puestos a disposición de los vecinos. No obstante, descargada la aplicación permite el acceso libre, sin ningún tipo de contraseña, pudiéndose visualizar los datos personales al no existir medidas de seguridad adecuadas que eviten el acceso indiscriminado a la información de la Comunidad de Propietarios. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “