La sanción de mayor cuantía el pasado año es la impuesta a Endesa de seis millones por una brecha de seguridad. Los expertos prevén que en 2024 habrá menos multas, pero de mayor importe
La Agencia Española de Protección de Datos (AEPD) ha impuesto 357 sanciones en 2023 por un importe total que asciende a más de 16 millones de euros, según la información recogida por LA LEY a partir de lo publicado por la AEPD hasta el 24 de enero de 2024. Unas cifras que se espera que aumenten ligeramente cuando la agencia termine de publicar todas sus resoluciones del pasado año y lance su memoria anual de 2023, prevista para la próxima primavera.
La videovigilancia sigue siendo la materia con más sanciones, aunque sus multas no son ni de lejos las de mayor cuantía. El motivo, según Leandro Núñez, socio de Audens y experto en protección de datos, es que “las cámaras son cada vez más baratas y fáciles de instalar, lo que provoca que, en vez de contar con profesionales para su colocación, pymes y particulares las monten por su cuenta y riesgo”.
El primer puesto en cuanto al importe de sus sanciones es para las quiebras de seguridad, con 43 resoluciones sancionadoras que suman más de 8 millones de euros. Este resultado se debe, en gran medida, a que la mayor multa, de 6.100.000 euros, es la impuesta el pasado mes de octubre a Endesa por una brecha en la seguridad de sus sistemas de protección de datos en las plataformas utilizadas por los clientes, lo que provocó el acceso de terceros a la información de más de seis millones de personas. En agosto de 2021, Endesa detectó que se estaban publicando en Facebook claves de acceso para acceder a su plataforma Sales Folder, pero en ese momento no tomó las medidas pertinentes ni avisó a las autoridades. Posteriormente, la empresa de energía rectificó: se puso en contacto con Facebook Spain para que retirase los anuncios e informó a la AEPD y a los usuarios afectados.
“La importancia de esta sanción radica en que se impuso por la falta de diligencia de la compañía al adoptar medidas demasiado tarde”, remarca Paloma Bru, socia del departamento de TMT de Pinsent Masons en Madrid. La abogada añade que, a pesar de que se trata de una multa muy elevada, aún está lejos de las cuantías que imponen otros Estados de la Unión Europea por infracciones del Reglamento General de Protección de Datos (RGPD), como la sanción de 1.200 millones a Meta o la de 345 millones a TikTok, ambas en Irlanda.
Sanciones elevadas
La segunda multa de mayor cuantía, 2,5 millones de euros, recayó en Openbank, también en el mes de octubre. La entidad financiera no aplicó un enfoque de protección de datos en el diseño de su proceso para solicitar y recabar la documentación que necesitaba para cumplir con los protocolos contra el blanqueo de capitales.
La agencia concluyó que Openbank no tuvo en cuenta la privacidad de sus clientes ni antes ni durante la realización del tratamiento de sus datos financieros al emplear este procedimiento. “Un usuario reclamó porque consideraba que el e-mail no es una vía apropiada para enviar según qué documentación, al ser una tecnología intrínsecamente insegura y fácil de interceptar por terceros”, comenta Leandro Núñez.
Otra de las sanciones millonarias de 2023 fue la impuesta a BBVA. En un primer momento, la multa fijada por la AEPD ascendió a 1,6 millones de euros. Sin embargo, tras la rectificación de errores en la contratación no autorizada de productos, la multa se redujo al millón de euros para sancionar la persistente falta de medidas de seguridad en sus procedimientos de comunicación, inclusión y mantenimiento en los sistemas de información crediticia de datos personales. Finalmente, gracias al uso de las reducciones previstas en la normativa, la sanción a la entidad financiera quedó en 800.000 euros.
“Las sanciones recibidas por estos dos grandes bancos españoles (Openbank y BBVA), son destacables no solo por su cuantía”, afirma Núñez, “sino también porque analizan el incumplimiento de una de las obligaciones más importantes, y menos conocidas por las empresas, del RGPD: la protección de datos desde el diseño”.
Además del financiero o del energético, otro sector muy sancionado por la agencia ha sido el de las telecomunicaciones. “Sigue habiendo una tendencia muy elevada de sanción a las empresas de telecomunicaciones por no prevenir acciones de fraude a sus clientes, como el duplicado de tarjetas SIM (SIM swapping)”, apunta Paula Garralón, abogada de privacidad y nuevas tecnologías en Bird & Bird. Por ejemplo, Vodafone y Digi han sido sancionadas, con multas de entre 40.000 y 140.000 euros por infracciones relacionadas con este motivo de manera reiterada en 2023.
Fuente. Cinco Días
