Para cumplir la exigencia legal de adoptar las medidas técnicas y organizativas que garanticen la seguridad de los datos de carácter personal no basta con la aprobación formal de las medidas de seguridad, sino que se exige que estas medidas se instauren y se pongan en práctica de manera efectiva.
Los hechos
Un particular contrató a través de la página web de la aseguradora un contrato de seguro para su moto, para lo cual rellenó varios formularios con sus datos personales, bancarios y de salud. Al teclear la url en el navegador de su ordenador, descubrió que aparecían todos los datos personales que él había facilitado al contratar el seguro. Repitió la prueba varios días y desde distintos ordenadores y siempre pudo acceder a sus propios datos sin que se le solicitara ninguna contraseña, por lo que denunció a la aseguradora ante la AEPD.
Investigación
La AEPD hizo pruebas haciendo cambios en la dirección URL, que le permitieron visualizar los datos personales de un muestreo de otros doce clientes. La aseguradora había contratado para el desarrollo de su página web a la empresa de diseño y mantenimiento, cuyos servicios incluían la adecuación a la normativa de protección de datos personales, incluyendo como medida de seguridad el cifrado de los datos personales. La empresa tenía en marcha procedimientos de seguridad, pero por un error en la funcionalidad de la página web éstos fallaron. Por ello ha sido sancionada por vulnerar el principio de seguridad de los datos.
Resumen
La empresa recurrió ante la Audiencia Nacional. pero ésta ha ratificado de forma contundente el criterio de la AEPD. «De nada sirve que se instauren instrucciones si luego se produce la inobservancia de esas instrucciones», argumentó la Audiencia, quien recalca que cuando se trata de implantar medidas de seguridad no es suficiente cualquier medida, sino que tendrán que ser las necesarias para cumplir el precepto de mantener la seguridad de los datos. Y no basta con su mera aprobación formal, sino que deben ser eficaces en la práctica, pues se trata de una obligación de resultado.
Pidan presupuesto sin compromiso de implantación de la normativa vigente
