Opinió

La Sala contenciosa-administrativa del Tribunal Suprem, en la Sentència 188/2022, de 15 de febrer, va ratificar la sanció de 40.001 € a un encarregat de tractament per la falta d’adopció de les mesures tècniques necessàries per garantir la seguretat de les dades.

Els fets es poden sintetitzar en els següents: L’entitat Commcenter, S.A. és una empresa distribuïdora de telecomunicacions que presta serveis en qualitat de responsable del tractament i també, tramita altes en nom de la financera, Telefónica Consumer Finance, S.A.U, com encarregada del tractament. Per gestionar un finançament s’havia d’acudir a la plataforma de la financera i entre altres camps, era requisit obligatori introduir un correu electrònic del client, on s’enviaria la còpia del contracte. Una de les treballadores de Commcenter, com que no disposava de les dades del correu electrònic dels clients, va optar per introduir un correu electrònic inventat. El titular del correu electrònic va rebre 14 contractes de finançament de productes. En els contractes figuraven dades dels sol·licitants del finançament, com: noms, domicilis, telèfons, estat civil, familiars a càrrec, ingressos, situació laboral, càrrecs, números de comptes correntes, imports finançats, mensualitat i la signatura del contractant. El receptor dels correus va posar en coneixement els fets a l’Agència Espanyola de Protecció de Dades (AEPD).

Principals aspectes a destacar de la sentència del Tribunal Suprem:

          1. Obligació de mitjans i no de resultat

El Tribunal Suprem assenyala que l’obligació d’adoptar les mesures necessàries per garantir la seguretat de les dades personals no pot considerar-se una obligació de resultat, que impliqui que produïda una filtració de dades a un tercer existeixi responsabilitat amb independència de les mesures adoptades i de l’activitat desplegada. Si no que es tracta d’una obligació de mitjans, no només dissenyar mitjans tècnics i organitzatius i implementar unes mesures de seguretat, sinó establir mecanismes de control, disposar d’una cultura de seguretat i realitzar controls i proves per verificar la seguretat de les mesures.

La persona jurídica respon de les actuacions dels seus treballadors. Encara que l’empresa hagi provat que realitza formacions sobre protecció de dades als treballadors, aquests signen un compromís de confidencialitat i se’ls proporcionen unes indicacions de bon ús del tractament de dades personals, el mal ús de la treballadora en introduir unes dades inexactes (correu electrònic inventat, tenint coneixement que s’enviaria el contracte de finançament) comporta que es traslladi a la persona jurídica la falta de diligència dels seus treballadors. 

2. Obligació de mitjans i en relació amb l’estat de la tecnologia

Les mesures de seguretat s’han de definir en relació amb l’estat de la tecnologia de cada moment. El Tribunal Suprem assenyala que el programa utilitzat per a la recollida de dades dels clients no contenia cap mesura de seguretat que permetés comprovar si l’adreça de correu electrònic introduïda era real o fictícia o si realment pertanyia a la persona que estaven tractant les seves dades i prestava el consentiment pel tractament de les dades. El Tribunal indica que s’hauria d’haver establert una mesura de verificació, per comprovar la veracitat de l’adreça de correu electrònic. En el moment dels fets, l’any 2018, existia el sistema de verificació de correu electrònic conegut com a “doble opt-in”. Que consisteix en un procés de doble verificació. En concret, en l’enviament d’un correu electrònic per tal que l’usuari verifiqui el compte i accepti la política de tractament de dades o les condicions de privacitat abans de rebre qualsevol comunicació.

 3. Obligació del responsable i de l’encarregat, l’encarregat del tractament respon per les incorreccions o faltes de seguretat dels sistemes del responsable del tractament

L’obligació d’adoptar les mesures de seguretat tècniques i organitzatives necessàries que garanteixin la seguretat de les dades de caràcter personal i evitin que les dades no es perdin, s’alterin, s’extraviïn o acabin en mans de tercers és tant del responsable del tractament com de l’encarregat del tractament.

Per tant, encara que en molts casos els sistemes utilitzats vinguin imposats per part del responsable del tractament, l’encarregat del tractament respon de les incorreccions de seguretat del sistema. L’encarregat del tractament ha de verificar les mesures de seguretat i vetllar perquè les mesures imposades siguin adequades, o pel contrari haurà de traslladar-ho al responsable del tractament i en cas que no siguin corregides haurà d’abstenir-se d’actuar per compte del responsable del tractament.