//
you're reading...
Guía sobre protección de datos, Sanciones

Sanción a un gimnasio por enviar un fichero adjunto al correo con datos de 9.293 personas


La AEPD ha sancionado a un gimnasio (O2 CENTRO WELLNESS PLENILUNIO, S.L.) por enviar un correo electrónico enviado a 334 destinatarios con un fichero adjunto que contenía los datos personales de 9.293 personas, incluidos los datos del denunciante.

El fichero contenía el nombre y apellidos, domicilio, teléfono (línea fija y móvil o celular), dirección email, NIF y sexo.

El gimnasio, una vez detectado el error, realizó un envío de un correo pidiendo disculpas por el error producido e indicando que la empresa cumple con la ley de protección de datos personales.

Aunque la empresa tenía establecido una política de confidencialidad y protección de datos, una empleada de la misma, que tenía firmado el compromiso de confidencialidad, realizó el envío de la comunicación como parte de una campaña de marketing contra la BBDD de clientes del gimnasio, que previamente habían consentido en ceder sus datos de contactos con estos fines.

La AEPD abrió procedimiento sancionador por vulneración del deber de secreto, y, según consta en el PS/00559/2011, son hechos probados los siguientes:

* Mayo del 2011 se realizó una campaña de marketing.

* Dentro de esa campaña, se realizó el envío del correo con el fichero adjunto que ha motivado la denuncia.

* La denunciante está incluida en el listado adjunto en ese correo.

* Que el gimnasio envió un correo de disculpas por el error en el envío.

* Que la empresa tiene establecida una política de confidencialidad y que la trabajadora que realizó el envío tenía firmado el parte de confidencialidad.

El artículo 10 de la LOPD dispone:
“El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”.

El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”.

La disposición final quincuagésima sexta “cuatro” de la Ley 2/2011, de 4 de marzo, de Economía Sostenible (BOE 5-3-2011), ha añadido un nuevo apartado 6 al artículo 45 de la LOPD, en lugar del existente hasta su entrada en vigor, del siguiente tenor:

“Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:

a) Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
b) Que el infractor no hubiese sido sancionado o apercibido con anterioridad.

No obstante, en el presente caso, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el mismo, considerando el número de afectados incluidos en el listado de abonados (9293 afectados) y la difusión realizada del mismo (334 destinatarios del correo electrónico que adjuntó el fichero en cuestión).

En vista de estos hechos probados, la AEPD impone sanciona por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.d. de dicha norma, una multa de 3.000€.

Este procedimiento sancionador pone sobre la mesa la realidad del riesgo que corre toda entidad o responsable de ficheros que traten datos de carácter personal. No solo es necesario establecer una política de protección de datos correcta o legal, sino que es necesario ir mas allá, es decir, es necesario analizar adecuadamente los riesgos que el tratamiento de la información comporta: cuáles son las amenazas, cuáles las vulnerabilidades del sistema, cuales serían los impactos y, a partir de aquí, establecer las medidas de seguridad y las contramedidas suficientes para garantizar la integridad, disponibilidad y confidencialidad de la información de la cuál somo garantes por imperativo legal.

No hay que olvidar que la mayor parte de los errores o incidencias de seguridad, son producidas conscientes o inconcientemente por los usuarios del sistema. Por tanto, el factor humano es el principal causante de estos incidentes de seguridad. ¿Qué nos dice esto?

1.- Que no es suficiente con establecer medidas de seguridad físicas o perimetral, siendo estas obligatorias.

2.- No es suficiente con formar al personal en materia de seguridad de la información y protección de datos. Aunque esta sea una obligación que el legislador imponga al responsable del fichero sobre los usuarios que traten datos personales, en el supuesto de que se hubiera realizado las acciones formativas precisas.

3.- Es vital, no solo realizar los pasos anteriores, aspectos previstos en la Ley 15/1999 y su reglamento de desarrollo RD 1720/20007, sino ir mas allá. En esto la norma ISO 27001 lo encontramos en el punto de control 8.2, en especial el 8.2.2., ya que este punto de control establece que durante el empleo hay que concienciar, formar y entrenar sobre la seguridad de la información. Es evidente que este control no se puede limitar a una sola acción formativa, en el caso que se hubiera hecho en el caso comentado de este gimnasio. Tampoco se puede limitar a la simple firma de un protocolo o pacto de confidencialidad, en el que  el responsable del fichero comunique al usuario que hay establecida una política de seguridad y que éste deberá cumplirla.

Este punto de control va mas allá, habla de la concienciación, formación y entrenamiento. Para entender bien lo que en el fondo se quiere controlar, hay un refrán popular que dice que “la repetición es la madre de la retención”, este es el espíritu de este control. No puede haber concienciación si no hay repetición. No hay formación sin repetición. No hay entrenamiento válido sin repetición. Dicho en otras palabras, la concienciación, formación y entrenamiento deberá ser una medida de seguridad continuada en el tiempo, mantenida en el espacio, porque desde el momento en que esa repetición cese, estaremos exponiendo nuestros activos de información a la mayor de las amenazas, el factor humano.

Moraleja: Hay que concienciar, formar y entrenar… “la repetición es la madre de la retención”.

Fuente: AGPD.

Anuncios

Comentarios

Aún no hay comentarios.

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión /  Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión /  Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión /  Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión /  Cambiar )

Conectando a %s

Estadística del blog

  • 131.059 Visitas

Agujero de seguridad; incidente de seguridad APEP ASNEF auditoría técnica cesión de datos sin consentimiento cifrado consentimiento informado conservación historia clínica cumplimiento lopd custodiar mal historias clínicas datos confidenciales deber de secreto denuncia destructoras de papel difundir lista de morosos envío de publicidad envío sin copia oculta estudio seguridad redes wifi facebook fichero de información y solvencia fondos de formación fraude fundación tripartita gestión de continuidad del negocio google Grupo de trabajo del Artículo 29 guía de protección de datos historia clínica incidencia de seguridad incluir a moroso sin requerir la deuda informe de auditoría infraestructuras en la pyme lista de morosos lista robinson lopd lopd canarias LOPD COSTE CERO LSSI marco legal marketing medidas de seguridad MOVISTAR plan de contingencia política de privacidad principio de calidad principio de consentimiento principio de seguridad privacidad privacidad objeto de garantía problema de seguridad propuesta de la Unión Europea protección de datos proteger menores publicación en internet publicación sin consentimiento de datos personales reconocimiento facial redes sociales redes sociales y menores reputación online robo de datos robo de identidad sancionada protección de datos Sanciones LOPD Canarias sanción seguridad seguridad en la nube seguridad informática servicios cloud smartphone smartphone con android usurpación de personalidad videovigilancia Whatsapp WhatsApp problemas seguridad wifi
Anuncios
A %d blogueros les gusta esto: