La autoridad de control ha impuesto a Caixabank una sanción de 500.000 euros por infringir el artículo 25 del RGPD (protección de datos desde el diseño y por defecto), reduciéndose el importe de la multa a 400.000 euros, por cuanto se ha hecho uso de una de las reducciones previstas (no reconociéndose, en consecuencia, la responsabilidad). Adicionalmente, la autoridad de control ha exigido a la compañía revisar en profundidad el funcionamiento de su Servicio de Atención al Cliente y presentar, en el plazo de nueve meses, un informe en el que se detallen las medidas implantadas que permitan garantizar que sus procedimientos se ajustan a las exigencias del citado artículo.
La primera reclamación presentada ante la AEPD se interpuso debido a que el afectado recibió por correo electrónico la respuesta que el SAC había elaborado para otro tercero que no guardaba relación alguna con él. La documentación remitida por la entidad incluía, entre otros, datos identificativos o económicos de este tercero (como, por ejemplo, su DNI), así como diversa información sobre su situación financiera. Durante la investigación se tuvo constancia además de que se había enviado un escrito con datos del reclamante a otro cliente. Asimismo, se presentó otra reclamación debido a que otro cliente también recibió documentación sobre deudas hipotecarias de dos personas distintas tras formular dos reclamaciones ante la entidad.
Una vez incoado el procedimiento sancionador, CaixaBank presentó escrito de alegaciones en el que afirmaba, entre otras cuestiones, que los hechos tuvieron lugar con ocasión de diversos errores humanos aislados, sin que este envío de información incorrecta se debiera a un problema estructural de sus procedimientos internos o a deficiencias de configuración o gestión del SAC. Asimismo, puso de manifiesto que su Servicio de Atención al Cliente disponía de protocolos de actuación, estando sometido a procesos de auditoría, y que sus empleados habían recibido formación suficiente para evitar este tipo de incidencias (a pesar de ello, el riesgo cero no existe), siendo las medidas adoptadas en todo momento adecuadas.
La AEPD ha declarado que el origen de esta brecha no se debió exclusivamente a las actuaciones individuales de los trabajadores de la compañía, sino que tuvieron lugar debido a un diseño insuficiente de los procesos internos. En este sentido, se indica que la atribución de las brechas a errores humanos puntuales no excluye la responsabilidad de la compañía. Así, la autoridad de control aprecia la existencia de fallos organizativos que favorecieron la confusión entre los expedientes, el envío de respuestas a destinatarios incorrectos o la ausencia de mecanismos eficaces que hubieran permitido prevenir este tipo de errores con anterioridad a que la información fuera enviada. En relación con estos errores (así como con las medidas adoptadas con posterioridad a la brecha de seguridad), la AEPD concibe la protección de datos desde el diseño y por defecto como una obligación integrada en los procesos, no como un procedimiento corrector posterior. Es por ello por lo que, a la vista de los fallos existentes, la autoridad de control aprecia un déficit estructural de diseño y control del SAC.
Respecto a la capacidad de detectar las brechas de seguridad, la resolución pone de manifiesto que la entidad ya había sufrido incidentes similares con anterioridad y que una parte muy relevante de ellos habían sido detectados por los clientes o por terceros, en lugar de ser identificados a través de los propios sistemas internos de control. En este sentido, la capacidad de detectar brechas de datos personales, identificar a todos los interesados afectados y determinar los datos a los que se ha tenido acceso es una deficiencia central del funcionamiento del SAC. Así, un responsable no puede valorar correctamente el riesgo, informar a los afectados ni mitigar las consecuencias de una brecha si desconoce que esta se ha producido, quiénes han resultado afectados o qué información se ha divulgado. Todo ello evidencia una insuficiencia de las medidas de seguridad implementadas para identificar y gestionar adecuadamente las violaciones de seguridad.
Asimismo, se hace constar que el cumplimiento de la normativa vigente no se logra exclusivamente mediante la aprobación de protocolos o a través de la formación del personal. Al contrario, cuando un procedimiento o tratamiento de datos puede presentar riesgos o tener un impacto sobre los derechos de los titulares de datos, el responsable debe diseñar sus procesos de forma que se incluyan medidas técnicas y organizativas que reduzcan de forma efectiva la probabilidad de que los errores humanos o los riesgos lleguen a materializarse. En conclusión, el principio del RGPD de privacidad desde el diseño y por defecto exige anticiparse al riesgo y no limitarse a reaccionar cuando este ya se ha producido.
La resolución archivó el procedimiento por infracción de artículo 5.1.f) del RGPD, evitándose así una doble sanción por los mismos hechos.
Puedes acceder a la resolución sancionadora de la autoridad de control aquí.
