![](\"https:\/\/tecnobitt.com\/wp-content\/uploads\/2022\/03\/datcon-norte-habla-sobre-la-importancia-de-la-proteccion-de-datos-en-las-empresas.jpg\")
<\/div>\nEste mes ha habido una gran expectaci\u00f3n acerca de una sentencia de la Sala Contencioso-Administrativo del Tribunal Supremo, en concreto de la Sentencia 188\/2022 de 15 de febrero, de la que es ponente el Magistrado Diego C\u00f3rdoba. En ella, se iba a aclarar si la seguridad de los datos personales es una obligaci\u00f3n de medios o una obligaci\u00f3n de resultado. El Tribunal ha establecido que es una obligaci\u00f3n de medios. Entendiendo que cada entidad es un universo complejo en cuanto a sus bases de datos, la compa\u00f1\u00eda\u00a0Datcon Norte<\/a> ofrece informaci\u00f3n acerca de la protecci\u00f3n datos empresa<\/a>. Para hacerlo, lo ejemplifica con el siguiente caso.<\/p>\n El alto tribunal considera acreditado que una conocida empresa de telecomunicaciones es la distribuidora oficial y exclusiva de una empresa de telefon\u00eda m\u00f3vil, entidad con la que tiene suscritos los correspondientes contratos para dichos servicios. Los clientes que adquieren productos en la tienda tienen la opci\u00f3n de financiar su compra, financiaci\u00f3n que se realiza a trav\u00e9s de una entidad con la que la empresa de telecomunicaciones ha suscrito los correspondientes contratos de prestaci\u00f3n de servicios. Para la realizaci\u00f3n del contrato de financiaci\u00f3n, esta dispone de una aplicaci\u00f3n web, facilitada por esa entidad, a trav\u00e9s de la cual gestiona las solicitudes. El acceso a dicha aplicaci\u00f3n requiere la introducci\u00f3n de un c\u00f3digo de usuario y una contrase\u00f1a que es \u00fanico para tienda. El formulario exige rellenar diversos datos: del producto, econ\u00f3micos y personales del solicitante de financiaci\u00f3n. Entre ellos, se incluye la direcci\u00f3n de correo electr\u00f3nico, obligatoria para poder continuar con la operaci\u00f3n, ya que es a dicho correo al que se env\u00eda la copia del contrato de financiaci\u00f3n y las condiciones generales.<\/p>\n El denunciante (un particular) recibi\u00f3 14 contratos de financiaci\u00f3n de productos en los que figuran datos de los solicitantes de financiaci\u00f3n (nombres, domicilios, tel\u00e9fonos, estado civil, familiares a cargo, ingresos, situaci\u00f3n laboral, cargos, n\u00famero de cuentas corrientes, importes financiados, mensualidades y la firma del contratante). La distribuidora aleg\u00f3 que todo apunta a que lo acontecido es que, a la hora de rellenar el formulario de solicitud de financiaci\u00f3n de algunos clientes, una de las trabajadoras introdujo la direcci\u00f3n de correo electr\u00f3nico del denunciante, cuenta que la trabajadora crey\u00f3 inexistente, con la \u00fanica intenci\u00f3n de no ver bloqueado el procedimiento de financiaci\u00f3n.<\/p>\n La resoluci\u00f3n administrativa de la AEPD imputa a la distribuidora la vulneraci\u00f3n del principio de seguridad de los datos personales<\/strong>, establecido en el art. 9.1 de la LOPD. Argumenta que esta estaba obligada a adoptar, de manera efectiva, las medidas t\u00e9cnicas y organizativas que impidan el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros <\/strong>y la entidad incumpli\u00f3 esta obligaci\u00f3n como lo demuestra que las solicitudes de financiaci\u00f3n fueran remitidas a la direcci\u00f3n del correo del denunciante, afirmando que en esta materia se impone una obligaci\u00f3n de resultado. Por ello, la resoluci\u00f3n impugnada considera que se ha cometido la infracci\u00f3n grave prevista en el art. 44.3 h) de la LOPD por la vulneraci\u00f3n del principio de seguridad de los datos, recogido en el art\u00edculo 9.<\/p>\n La cuesti\u00f3n que\u00a0reviste inter\u00e9s casacional\u00a0consiste en determinar si las infracciones de la Ley de Protecci\u00f3n de Datos por fallos de las medidas de seguridad que puedan cometer los empleados de una persona jur\u00eddica deben examinarse en atenci\u00f3n al resultado y, por lo tanto, imputarse a la persona jur\u00eddica de la que dependa el empleado, con independencia de los medios y medidas de prevenci\u00f3n que hubiera podido adoptar.<\/p>\n La Sala confirma\u00a0que la obligaci\u00f3n de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligaci\u00f3n de resultado<\/strong> que implique que, producida una filtraci\u00f3n de datos personales a un tercero, exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento.<\/p>\n En las obligaciones de resultado existe un compromiso consistente en el cumplimiento de un determinado objetivo, asegurando el logro o resultado propuesto, en este caso garantizar la seguridad de los datos personales y la inexistencia de filtraciones o quiebras de seguridad.<\/strong><\/p>\n En las obligaciones de medios, el compromiso que se adquiere es el de adoptar los medios t\u00e9cnicos y organizativos, as\u00ed como desplegar una actividad diligente en su implantaci\u00f3n y utilizaci\u00f3n que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de id\u00f3neos y suficientes para su consecuci\u00f3n, por ello se las denomina obligaciones \u00abde diligencia\u00bb o \u00abde comportamiento\u00bb<\/strong>. La diferencia radica en la responsabilidad en uno y otro caso<\/strong>, pues mientras que en la obligaci\u00f3n de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y la diligencia utilizada, en la obligaci\u00f3n de medios basta con establecer medidas t\u00e9cnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable.<\/strong><\/p>\n En estas \u00faltimas, la suficiencia de las medidas de seguridad que el responsable ha de establecer ha de ponerse en relaci\u00f3n con el estado de la tecnolog\u00eda en cada momento y el nivel de protecci\u00f3n requerido en relaci\u00f3n con los datos personales tratados, pero no se garantiza un resultado.<\/p>\n En este sentido, en la actualidad, el art. 31 del Reglamento de la Uni\u00f3n Europea 2016\/679, del Parlamento y del Consejo relativo a la protecci\u00f3n de las personas f\u00edsicas en lo que respecta al tratamiento de datos personales y a la libre circulaci\u00f3n de estos datos, establece, respecto a la seguridad del tratamiento, que las medidas t\u00e9cnicas y organizativas apropiadas lo son \u201cteniendo en cuenta el estado de la t\u00e9cnica, los costes de aplicaci\u00f3n, y la naturaleza, el alcance, el contexto y los fines del tratamiento, as\u00ed como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas f\u00edsicas [\u2026]\u00bb.<\/p>\n Y as\u00ed debe interpretarse el art\u00edculo 9 de la derogada LOPD cuando establec\u00eda que: \u00ab1. El responsable del fichero, y, en su caso, el encargado del tratamiento deber\u00e1 adoptar las medidas de \u00edndole t\u00e9cnica y organizativas necesarias que garanticen la seguridad de los datos de car\u00e1cter personal y eviten su alteraci\u00f3n, p\u00e9rdida, tratamiento o acceso no autorizado<\/strong>, habida cuenta del estado de la tecnolog\u00eda, la naturaleza de los datos almacenados y los riesgos a que est\u00e1n expuestos, ya provengan de la acci\u00f3n humana o del medio f\u00edsico o natural\u00bb. No basta con dise\u00f1ar los medios t\u00e9cnicos y organizativos necesarios, tambi\u00e9n es necesaria su correcta implantaci\u00f3n y su utilizaci\u00f3n de forma apropiada<\/strong>, de modo que tambi\u00e9n responder\u00e1 por la falta de la diligencia en su utilizaci\u00f3n, entendida como una diligencia razonable atendiendo a las circunstancias del caso.<\/p>\n Es un hecho no controvertido que fallaron las medidas de seguridad y los contratos de financiaci\u00f3n de 14 particulares que conten\u00edan datos personales -nombres, domicilios, tel\u00e9fonos, estado civil, familiares a cargo, ingresos, situaci\u00f3n laboral, cargos, n\u00fameros de cuentas corrientes, importes financiados, mensualidades y la firma del contratante- se enviaron a un tercero ajeno a la relaci\u00f3n contractual. La empresa denunciada apunt\u00f3, como explicaci\u00f3n m\u00e1s probable, que una de las trabajadoras de la tienda, a la hora de rellenar el formulario de solicitud de financiaci\u00f3n de algunos clientes, incluy\u00f3 la direcci\u00f3n de correo electr\u00f3nico del denunciante, correo que la trabajadora crey\u00f3 inexistente al referirse a la provincia donde se encuentra situada la tienda, con la \u00fanica intenci\u00f3n de no ver bloqueado el procedimiento de financiaci\u00f3n, dado que el sistema t\u00e9cnico dise\u00f1ado no le permit\u00eda continuar con el contrato de financiaci\u00f3n si no se introduc\u00eda una direcci\u00f3n de correo electr\u00f3nico.<\/p>\n Ya se ha razonado que la obligaci\u00f3n que recae sobre el responsable del fichero y sobre el encargado del tratamiento respecto a la adopci\u00f3n de medidas necesarias para garantizar la seguridad de los datos de car\u00e1cter personal no es una obligaci\u00f3n de resultado sino de medios<\/strong>, sin que sea exigible la infalibilidad de las medidas adoptadas. Tan solo resulta exigible la adopci\u00f3n e implantaci\u00f3n de medidas t\u00e9cnicas y organizativas, que conforme el estado de la tecnolog\u00eda y en relaci\u00f3n con la naturaleza del tratamiento realizado y los datos personales en cuesti\u00f3n, permitan razonablemente evitar su alteraci\u00f3n, p\u00e9rdida, tratamiento o acceso no autorizado.<\/strong><\/p>\n Pues bien, el programa utilizado para la recogida de los datos de los clientes no conten\u00eda ninguna medida de seguridad que permitiese comprobar si la direcci\u00f3n de correo electr\u00f3nico introducida era real o ficticia y si realmente pertenec\u00eda a la persona cuyos datos estaban siendo tratados y prestaba el consentimiento para ello. El estado de la t\u00e9cnica en el momento en el que se produjeron estos hechos permit\u00eda establecer medidas destinadas a comprobar la veracidad de la direcci\u00f3n de email, condicionando la continuaci\u00f3n del proceso a que el usuario recibiese el contrato en la direcci\u00f3n proporcionada y solo desde ella prestase el consentimiento necesario para su recogida y tratamiento. Medidas que no se adoptaron en este caso.<\/p>\n La propia empresa en el escrito de alegaciones presentado a la propuesta de resoluci\u00f3n puso de manifiesto que el programa no dispon\u00eda de un sistema de verificaci\u00f3n del correo electr\u00f3nico. En efecto, en el 2018 exist\u00eda un sistema de verificaci\u00f3n del correo electr\u00f3nico conocido como \u201cdoble opt-in<\/em>\u201c<\/strong> consistente en un proceso de aceptaci\u00f3n de unas normas o condiciones de uso cuyo principal objetivo es el de verificar que los usuarios son quienes dicen ser y no son ni robots creando suscripciones autom\u00e1ticas, ni correos spam<\/em>, o terceras personas generando suscripciones fraudulentas utilizando correos electr\u00f3nicos que no son de su propiedad. Se trata de un proceso de doble verificaci\u00f3n que asegura que los usuarios han aceptado la pol\u00edtica de tratamiento de datos y\/o las condiciones de privacidad antes de recibir cualquier tipo de comunicaci\u00f3n y evita que los documentos vayan a una direcci\u00f3n equivocada.<\/strong> En definitiva, se trata de comprobar que la informaci\u00f3n recogida es correcta y veraz.<\/p>\n La propia empresa recurrente considera este sistema como b\u00e1sico en materia de seguridad de la informaci\u00f3n a\u00f1adiendo que \u201c[\u2026] sin duda hubiera evitado que se hubiera producido la fuga objeto de autos\u201d. Ello implica que las medidas t\u00e9cnicas adoptadas incumpl\u00edan las condiciones de seguridad en los t\u00e9rminos exigidos en el art. 9.1 de la LO 15\/1999, incurri\u00e9ndose, por tanto, en la infracci\u00f3n prevista en el art. 44.3.h) consistente en \u00abMantener los ficheros, locales, programas o equipos que contengan datos de car\u00e1cter personal sin las debidas condiciones de seguridad que por v\u00eda reglamentaria se determinen [\u2026]\u201d.<\/p>\n Se afirma que las medidas t\u00e9cnicas de seguridad referidas en el programa inform\u00e1tico incumb\u00edan a quien dise\u00f1\u00f3 el programa y era la responsable del fichero y del tratamiento, y que la empresa sancionada tan solo actuaba por cuenta de esta, recabando los datos de los clientes que optaban por la financiaci\u00f3n. Lo cierto es que el encargado del tratamiento -la persona f\u00edsica o jur\u00eddica que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento art. 4 apartado 8 del Reglamento como el art. 3.g) de la LOPD 15\/1999, y la recogida de datos implica un tratamiento (art. 3.c) -tambi\u00e9n deber\u00e1 adoptar las medidas de \u00edndole t\u00e9cnica y organizativas necesarias para garantizar la seguridad de los datos de car\u00e1cter personal, as\u00ed lo dispone el art. 32.1 del Reglamento (UE) 2016\/679 del Parlamento y del Consejo y el art. 9.1 de la LOPD y est\u00e1 sujeto al r\u00e9gimen sancionador establecido en la Ley (art. 43 dela LOPD 15\/1999).<\/p>\n La empresa recurrente trataba los datos de los clientes por cuenta del responsable del fichero, por lo que implant\u00f3 y utiliz\u00f3 dicho programa siendo conocedora, o hubiera debido serlo, de que este carec\u00eda de las medidas de seguridad necesarias para comprobar la veracidad y exactitud de la direcci\u00f3n de email a la que se enviaba la copia del contrato de financiaci\u00f3n<\/strong>. Pero lo que es m\u00e1s importante, el programa de tratamiento de datos dise\u00f1ado tampoco se utiliz\u00f3 de forma adecuada, lo cual hubiese evitado la filtraci\u00f3n. La empresa encargada de recopilar los datos que se inclu\u00edan en el fichero estaba obligada a controlar que no se burlaban las medidas de seguridad existentes para registrar los datos de los usuarios. Sin embargo, una empleada hizo un mal uso reiterado del programa. El hecho de que fuese la actuaci\u00f3n negligente de una empleada no le exime de su responsabilidad en cuanto encargado de la correcta utilizaci\u00f3n de las medidas de seguridad que deber\u00edan haber garantizado la adecuada utilizaci\u00f3n del sistema de registro de datos dise\u00f1ado.<\/p>\n Como ya se sostuvo en la STS n\u00ba 196\/2020, de 15 de febrero de 2021 (rec. 1916\/2020), el encargado del tratamiento responde tambi\u00e9n por la actuaci\u00f3n de sus empleados y no puede excusarse en su actuaci\u00f3n diligente,<\/strong> separadamente de la actuaci\u00f3n de sus empleados, sino que es la actuaci\u00f3n \u00abculpable\u00bb de estos, consecuencia de la violaci\u00f3n de las medidas de seguridad existentes la que fundamenta la responsabilidad de la empresa en el \u00e1mbito sancionador por actos \u00abpropios\u00bb de sus empleados o cargos, no de terceros.<\/p>\n Por \u00faltimo, resulta oportuno recordar que las personas jur\u00eddicas responden por la actuaci\u00f3n de sus empleados o trabajadores. No se establece por ello una responsabilidad objetiva, pero s\u00ed es trasladable a la persona jur\u00eddica la falta de diligencia de sus empleados.<\/p>\n En consonancia con la AEPD y la Audiencia Nacional, el Tribunal Supremo confirma que no basta con dise\u00f1ar los medios t\u00e9cnicos y organizativos necesarios<\/strong>. Tambi\u00e9n es necesaria su correcta implantaci\u00f3n<\/strong> y su utilizaci\u00f3n de forma apropiada<\/strong>, de modo que el responsable del tratamiento tambi\u00e9n responder\u00e1 por la falta de la diligencia en su utilizaci\u00f3n.<\/p>\n The post Datcon Norte habla sobre la importancia de la protecci\u00f3n de datos en las empresas<\/a> appeared first on TecnoBitt :- Un bit de tecnolog\u00eda diaria<\/a>.<\/p>\n![](\"https:\/\/tecnobitt.com\/wp-content\/uploads\/2022\/03\/datcon-norte-habla-sobre-la-importancia-de-la-proteccion-de-datos-en-las-empresas-768x513.jpg\")
<\/p>\n","protected":false},"excerpt":{"rendered":"Datcon Norte habla sobre la importancia de la protecci\u00f3n de datos en las empresas Este mes ha habido…","protected":false},"author":2,"featured_media":22181,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"csco_display_header_overlay":false,"csco_singular_sidebar":"","csco_page_header_type":"","csco_page_load_nextpost":"","csco_post_video_location":[],"csco_post_video_location_hash":"","csco_post_video_url":"","csco_post_video_bg_start_time":0,"csco_post_video_bg_end_time":0,"footnotes":""},"categories":[554,522,75,428],"tags":[114],"class_list":["post-22180","post","type-post","status-publish","format-standard","has-post-thumbnail","category-actualidad","category-agencianinja","category-internet","category-prensa","tag-destacado","cs-entry","cs-video-wrap"],"_links":{"self":[{"href":"https:\/\/iberopress.es\/index.php\/wp-json\/wp\/v2\/posts\/22180","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/iberopress.es\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/iberopress.es\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/iberopress.es\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/iberopress.es\/index.php\/wp-json\/wp\/v2\/comments?post=22180"}],"version-history":[{"count":0,"href":"https:\/\/iberopress.es\/index.php\/wp-json\/wp\/v2\/posts\/22180\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/iberopress.es\/index.php\/wp-json\/wp\/v2\/media\/22181"}],"wp:attachment":[{"href":"https:\/\/iberopress.es\/index.php\/wp-json\/wp\/v2\/media?parent=22180"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/iberopress.es\/index.php\/wp-json\/wp\/v2\/categories?post=22180"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/iberopress.es\/index.php\/wp-json\/wp\/v2\/tags?post=22180"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}