Com implantar correctament les mesures de seguretat imposades pel RGPD i la LOPDGDD (Sentència del Tribunal Suprem de 15/2/22)

Han passat quatre mesos de la Resum Sentència del Tribunal Suprem de data 15 de febrer de 2022, dictada arran d'un recurs interposat per Auris Advocats, i mitjançant la qual l'alt Tribunal va fixar jurisprudència sobre com s'ha d'interpretar la normativa en matèria de protecció de dades en relació amb l'obligació d'implantar una sèrie de mesures de seguretat per protegir la informació de l'empresa.

Nombrosos i prestigiosos experts en matèria de protecció de dades s'han fet ressò d'aquesta Sentència, i hi ha unanimitat en destacar-ne la importància i les conseqüències que té a l'hora d'afrontar una implantació correcta de mesures, que ens garanteixi que no serem sancionats en cas de patir una incidència i/o una inspecció.

Recordem que la qüestió principal rau en si l'obligació d'implantar mesures de seguretat per protegir les dades era una obligació de mitjans o de resultat. Mentre l'Agència Espanyola de Protecció de Dades, avalada per l'Audiència Nacional, afirmaven que es tractava d'una obligació de resultat (cosa que comportava que per més que l'empresa implantés mesures seria sancionada sí o si en cas que es produís una bretxa de seguretat), Auris va arribar fins a l'alt Tribunal defensant que es tracta d'una obligació de mitjans i, per tant, l'empresa no ha de ser sancionada.

Tot i que el TS va acollir íntegrament a la seva Sentència el nostre raonament i es va posicionar clarament pel deure de mitjans, va incloure tres qüestions molt importants i que s'hauran de tenir en compte a l'hora d'adoptar els mitjans necessaris:

1.- El Tribunal Suprem confirma que no n'hi ha prou amb dissenyar els mitjans tècnics i organitzatius necessaris. També cal la seva correcta implantació i la seva utilització de manera apropiada, de manera que el responsable del tractament també respondrà per la manca de la diligència en la seva utilització.

Si el relacionem amb un dels principis bàsics del RGPD, que és la implantació de mesures des del disseny i per defecte, ja no hi ha dubte que per complir amb la normativa no n'hi ha prou amb implantar una sèrie de mesures de seguretat, sinó que haurem de poder demostrar una diligència constant, mitjançant comprovacions periòdiques que les mesures funcionen, i documentar aquestes comprovacions. També caldrà analitzar, en funció de cada cas concret, quines són les mesures adequades, no només tècniques, sinó també organitzatives, formatives i contractuals.

2.- El Tribunal Suprem afirma que quan som Encarregats de Tractament (quan tractem dades de terceres empreses per subcontractació) també haurem d'adoptar les mesures d'índole tècnica i organitzatives necessàries per garantir la seguretat de les dades de caràcter personal, això independentment que el sistema li vingui imposat íntegrament pel responsable. El Encarregat de tractament ha d'avaluar també les eines proporcionades o imposades pel responsable, ha de detectar si el sistema no té les mesures adequades i, en cas que sigui així, s'ha d'abstenir d'utilitzar-lo o cercar o promoure alternatives..

Quan optem per la subcontractació de serveis, o quan compartim el tractament de dades amb un tercer, és molt important triar col·laboradors que garanteixin nivells de compliment adequats, perquè en cas de no complir-ne un i es produeixi una bretxa, és molt possible que se sancioni tots els intervinents en el tractament.

3.- Es pronuncia sobre la necessitat d'implantar el sistema de doble opt-in o sistema de verificació del correu electrònic, entenent que és un sistema de doble verificació que assegura que els usuaris que han acceptat la política de privadesa abans de rebre qualsevol tipus de comunicació, evitant que la informació vagi a una adreça equivocada. En definitiva, es tracta de un mitjà per comprovar que la informació recollida és correcta i veraç que el TS considera necessària, ja que en cas de no ser-hi s'estaria incomplint l'obligació de mitjans en els termes establerts per la legislació.

Tot això obliga a les empreses a preguntar-se si ho està fent correctament i està preparada per al cas de patir una bretxa i/o una inspecció:

• Tinc implantades les mesures de seguretat (tècniques, organitzatives, formatives) adequades?
• Puc acreditar que en comprovo periòdicament l'eficàcia?
• Quines mesures compleixen els meus clients, col·laboradors o proveïdors amb què comparteixo un tractament de dades?

A Auris hem habilitat un qüestionari de diagnòstic de compliment que pot ajudar: Accedir al qüestionari.

Els qüestionaris 3 i 4 fan referència a les mesures de seguretat.