El primer semestre del 2023 está a punto de terminar y, como cada año, comentamos las multas de la AEPD (Agencia Española de Protección de Datos) más importantes de los últimos meses.
Con este repaso pretendemos mostrar qué tipo de acciones pueden ser castigadas, para poder evitarlas, y concienciar acerca de la necesidad de cumplir los requerimientos legales del RGPD (Reglamento General de Protección de Datos).
Mobile World Congress (200.000 euros)
GSMA, la empresa organizadora del Mobile World Congress (MWC), la cita anual más importante a nivel internacional en torno a la comunicación móvil, ha recibido una sanción de 200.000 euros por la edición del congreso del año 2021. El artículo del RGPD que se considera incumplido es el 35, el que insta a realizar una evaluación del impacto de la protección de los datos personales. Y es que la empresa recopilaba los datos (en algunos casos incluso biométricos) de los usuarios al acceder al recinto del evento.
Vodafone (176.000 euros)
Vodafone ha recibido dos multas de la AEPD (una de 136.000 y otra de 40.000 euros, respectivamente) por dos vulneraciones legales diferentes:
- La ineficacia del sistema de verificación en dos pasos de la entidad, que hizo que un cliente fuera víctima de una suplantación de identidad.
- La consulta por parte de Vodafone del historial crediticio de una persona que ni era cliente ni tenía contrato con el operador.
BBVA (140.000)
En este caso, el BBVA solo tuvo que abonar 84.000 euros de los 140.000 que preveía la sanción de la AEPD, gracias a reconocer los hechos y pagar voluntariamente la multa, que se interpuso también por la comisión de dos infracciones:
- Ilicitud del tratamiento: el BBVA facilitó de forma incorrecta al CIRBE los datos de una clienta que dejó de serlo en el 2012.
- Negación del derecho de acceso: la misma clienta solicitó el acceso a sus datos y la entidad no se lo permitió.
Orange (100.000 euros)
Orange llevaba desde 2018 solicitando a sus repartidores que hicieran una fotografía del DNI de quienes recibían sus paquetes para verificar su identidad. Sin esa condición, los repartidores no podían entregar los paquetes. Y este es un procedimiento que la AEPD ha considerado desproporcionado, ya que existen otros métodos menos invasivos para realizar la misma verificación. En consecuencia, Orange ha recibido una sanción de 100.000 euros por incumplir el principio de minimización de datos.
Bankinter (80.000 euros)
Esta multa a Bankinter tiene origen en la denuncia de un cliente, que asegura que pudo ver reflejados en su cuenta personal los movimientos bancarios de un tercero. Bankinter se defendió alegando que se trataba de un error sin dolo ni culpa, que se produjo porque en el pasado el tercero fue cotitular de la cuenta del denunciante de los hechos. Sin embargo, la AEPD ve claramente la existencia de una infracción, en concreto del deber de confidencialidad.
UPS (70.000 euros)
Los hechos son los siguientes: un mensajero de UPS se disponía a entregar un paquete y, al no encontrarse el receptor en su domicilio, se lo entregó a un vecino. Aunque esta acción está prevista en el contrato entre UPS y Media Markt (quien realizaba el envío), según la AEPD vulnera los principios de integridad y confidencialidad. Y, por esta razón, se le ha interpuesto dos multas: una de 50.000 y otra de 20.000 euros.
Casmar Telecom (30.000 euros)
Nos encontramos ante un caso peculiar que, además, está pendiente de recurso en la Audiencia Nacional. La empresa que ha recibido esta multa de 30.000 euros es Casmar Telcom, en concreto por llamar al menos 37 veces a alguien que estaba inscrito en la Lista Robinson. Según la AEPD, esto se considera una infracción de la Ley General de Comunicaciones. No obstante, desde Casmar Telcom aseguran que no fueron ellos quienes realizaron la llamada, sino otros colaboradores de Vodafone, la empresa para la cual se estaba realizando la captación de clientes.
Heron City (10.000 euros)
El centro comercial y de ocio de Valencia recibió esta sanción por negarse a proporcionar a un cliente unas grabaciones que este solicitaba de él mismo y de su vehículo captadas por una cámara ubicada en el recinto. La empresa le dijo que este acceso solo podía permitirse a personal autorizado o a la policía, pero la AEPD confirmó que se trataba de una vulneración del derecho de acceso del solicitante, y por eso decidió sancionarle con 10.000 euros.
A través de estos ejemplos se puede comprobar cómo son muchas y muy diferentes las actuaciones que pueden terminar en sanción. Además, aunque aquí hemos destacado algunas de las de mayor importe, ninguna empresa, por pequeña que sea, está libre de recibir una multa si incumple la normativa referente a la protección de datos personales.
