1/53 Expediente N.º: EXP202213638 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES.......................................................................................................... 2 HECHOS.................................................................................................................... 2 PRIMERO:.............................................................................................................. 3 SEGUNDO:............................................................................................................. 3 TERCERO:............................................................................................................. 4 CUARTO:................................................................................................................ 4 QUINTO:................................................................................................................. 8 SEXTO:................................................................................................................... 9 SEPTIMO:............................................................................................................... 9 OCTAVO:.............................................................................................................. 12 HECHOS PROBADOS................................................................................................ 12 PRIMERO:............................................................................................................... 12 SEGUNDO:.............................................................................................................. 13 TERCERO:............................................................................................................... 13 CUARTO:................................................................................................................. 13 QUINTO:.................................................................................................................. 14 SEXTO:.................................................................................................................... 14 SEPTIMO:................................................................................................................ 14 OCTAVO:.................................................................................................................. 14 FUNDAMENTOS DE DERECHO................................................................................. 15 I Competencia.......................................................................................................... 15 II Terminación del procedimiento.............................................................................. 15 III Contestación a las alegaciones formuladas frente al acuerdo de inicio................16 Acerca de las inexactitudes contenidas en el acuerdo de inicio del presente procedimiento sancionador............................................................................... 16 Alegación segunda: Sobre la afectación a los principios del derecho sancionador derivados de la interpretación efectuada por la AEPD..............19 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/53 Alegación tercera: Sobre las supuestas infracciones imputadas a Generali ............................................................................................................................. 26 Alegación cuarta: sobre la vulneración del principio de proporcionalidad...32 IV Obligación incumplida del artículo 5.1 f)............................................................... 33 V Tipificación y calificación de la infracción del artículo 5.1.
(83)A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. En el presente supuesto, las investigaciones llevadas a cabo por la presente autoridad de control han revelado que, con independencia de la brecha producida, si bien la parte reclamada había implementado ciertas medidas de seguridad de datos, las mismas no eran suficientes para cumplir con las exigencias previstas en el citado artículo 32. Como se ha indicado, dicho precepto establece la necesidad de implementar medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo. La inadecuación o insuficiencia en este caso se desprende de varias manifestaciones realizadas por la propia parte reclamada en el curso de las citadas actuaciones de investigación. De la misma forma, dicha entidad ha confirmado carencias en las medidas técnicas desplegadas (…). Esta deficiencia impide que la parte reclamada pueda realizar un análisis de la actividad que se está desarrollando en la citada aplicación. Ello supone una mayor dificultad en identificar patrones de uso anómalos, acceso no autorizado, o cualquier otra forma de abuso o mal uso de los datos personales, incluyendo el que pueda realizar su propio personal. Por otro lado, conviene hacer referencia a las numerosas medidas reactivas adoptadas por la parte reclamada tras el incidente y que fueron puestas en conocimiento de la presente autoridad durante las actuaciones de investigación. La adopción de tales medidas reactivas pone de manifiesto la ausencia de ciertas medidas de seguridad básicas teniendo en cuenta el riesgo derivado de su actividad. (…). Así, por ejemplo, (…), medida de seguridad insuficiente e independiente de la brecha de datos personales. Si bien las medidas reactivas son esenciales para resolver las vulnerabilidades y prevenir futuras brechas, la necesidad de su adopción resalta una inadecuación o insuficiencia de las medidas adoptadas, lo que implícitamente implica un reconocimiento por la parte reclamada de la existencia de deficiencias en su enfoque de seguridad de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/53 Por último, no puede esconderse el considerable número de usuarios que gestiona la parte reclamada al ejercer su actividad, circunstancia que conlleva intrínsicamente un riesgo elevado en términos de protección de datos personales y, en consecuencia, la implementación de medidas de seguridad apropiadas al nivel de riesgo. Debe de tenerse en cuenta que, en ese contexto, los riesgos asociados al tratamiento se amplifican debido a la cantidad de datos gestionados y a la potencial gravedad de cualquier brecha. Ello implica que cualquier fallo en las medidas de seguridad no solo afectaría a un mayor número de individuos, sino que también podría tener consecuencias más graves, tanto en términos de impacto para los posibles afectados como de responsabilidad para la parte reclamada. Asimismo, nos remitimos respecto del incumplimiento de esta obligación a lo que se ha contestado en la alegación tercera en relación con la falta de medidas técnicas y organizativas de seguridad apropiadas al nivel de riesgo. Por lo expuesto, de las mencionadas actuaciones de investigación y afirmaciones de la propia entidad, con independencia del incidente producido y de las consecuencias del mismo, se desprende una falta de adecuación al riesgo de las medidas de seguridad adoptadas por la parte reclamada, teniendo en cuenta la cantidad de datos que gestionaba esta última. VIII Tipificación y calificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/53 IX Sanción por la infracción del artículo 32 del RGPD En los términos indicados por el mencionado artículo 83.4 del RGPD la infracción del artículo 32 se sancionará, “con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” Teniendo en cuenta el ya mencionado artículo 82.2 del RGPD en el presente supuesto se considera que procede graduar la sanción a imponer en los siguientes términos:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; En el presente caso la gravedad de la infracción se desprende del potencial riesgo que existe en la protección de datos personales con la falta de adopción de medidas seguridad básicas por la parte reclamada, teniendo en cuenta el considerable volumen de datos que gestiona y la naturaleza de los mismos. Dichas circunstancias hacen que los efectos de cualquier brecha de datos personales que pueda acontecer se amplifiquen con perjuicios considerables a los posibles afectados resultantes de la misma.
- b)la intencionalidad o negligencia en la infracción; Teniendo en cuenta la doctrina anteriormente indicada, esta agravante deriva de una falta de debida diligencia en la adopción de las medidas de seguridad adecuadas al riesgo por la parte reclamada. Debe tenerse en cuenta que en el presente caso, teniendo en cuenta la naturaleza y volumen de datos gestionados por la parte reclamada, se exige un especial deber legal de cuidado que, en el presente caso, no ha concurrido, lo que conlleva una negligencia grave en su actuación. (Sentencia de la Audiencia Nacional de 17 de octubre de 200, número de recurso 63/2006). Teniendo en cuenta las condiciones generales para la imposición de multas administrativas establecidas por el ya mencionado artículo 83.2 del RGPD, atendiendo a las circunstancias del presente supuesto, en el acuerdo de inicio se proponía como posible sanción una multa de cuantía de 1.000.000 € (UN MILLÓN DE EUROS) X Obligación incumplida del artículo 25 del RGPD Por su parte el artículo 25 del RGPD, en relación a la Protección de datos desde el diseño y por defecto, establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/53 las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. 3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo.” En consonancia con estas previsiones, el co