Protección de datos desde el diseño

Contexto y antecedentes del caso

La resolución de la Directora de la AEPD, dictada en el expediente EXP202213023, impuso a Orange las siguientes sanciones: 

• Una multa de 200.000 euros por infringir el artículo 6 del Reglamento General de Protección de Datos (RGPD). Este artículo establece la necesidad de contar con bases legales sólidas para cualquier actividad de tratamiento de datos personales.
• Una multa de 1.000.000 euros por infringir el artículo 25 del RGPD. Este artículo obliga a aplicar la protección de datos desde el diseño y por defecto, asegurando que los procesos de tratamiento de datos se realicen con medidas de seguridad adecuadas desde el inicio.

El incidente que llevó a la imposición de estas sanciones ocurrió en una tienda franquiciada de Orange, donde se duplicó la tarjeta SIM de un cliente sin su consentimiento. Según la AEPD, esto vulneró los derechos fundamentales de protección de datos de la persona afectada y puso de manifiesto que Orange no contaba con las medidas de seguridad necesarias para evitarlo, lo que llevó a una exhaustiva revisión del caso que culminó con la resolución sancionadora de la Directora de la AEPD.

Medidas adoptadas por Orange para prevenir futuros incidentes

Tras el incidente, Orange implementó una serie de medidas correctivas para prevenir la comisión de fraudes derivados de la suplantación de identidad de sus clientes o de la suplantación de agentes y empleados. Entre las acciones adoptadas destacan:

• Suspensión de la validación manual de documentos de identidad: Esta medida fue tomada para evitar posibles errores o fraudes en el proceso manual de verificación de la identidad de los clientes.
• Implementación de un sistema de doble factor de identificación: Esta acción refuerza la seguridad mediante la adición de una capa extra de protección en el proceso de autenticación, dificultando el acceso no autorizado a la información personal de los clientes.

Aunque estas acciones demuestran la voluntad de Orange de mejorar sus procedimientos internos de seguridad, la AEPD consideró que no fueron suficientes para contrarrestar las deficiencias detectadas en el tratamiento de los datos, lo que resultó en la confirmación de las sanciones impuestas.

Argumentos presentados por Orange y la postura de la AEPD

En su recurso de reposición, Orange defendió que actuó con la debida diligencia en el tratamiento de los datos personales de sus clientes. La compañía argumentó que las infracciones cometidas no eran de tal gravedad como para justificar las sanciones impuestas, y subrayó que, a pesar del incidente, se habían adoptado varias medidas para mejorar la seguridad y prevenir futuros fraudes.

Entre los principales puntos que presentó Orange en su recurso se incluyen: 

1. Prejudicialidad penal: Orange argumentó que al tratarse de un posible delito penal, las sanciones deberían ser evaluadas dentro del proceso judicial correspondiente.

–> La AEPD aclara que Orange es el sujeto responsable del presente procedimiento sancionador, mientras que el responsable penal sería el empleado que procedió al duplicado de la tarjeta SIM.

2. Consideración de la tarjeta SIM como dato personal: Orange cuestionó si la tarjeta SIM debía considerarse un dato personal bajo el RGPD. 

–> La AEPD remarca que la tarjeta SIM identifica un número de teléfono y este número, a su vez, identifica a su titular, y que los datos que se tratan para emitir un duplicado de tarjeta SIM que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal.

3. Relación de los responsables del delito con Orange: En su defensa, Orange subrayó que los empleados de la tienda franquiciada responsables del incidente no eran directamente empleados de la compañía, sino que trabajaban en una tienda de terceros. 

–> La AEPD aclara que la tienda donde se duplicó la tarjeta SIM actúa como encargado del tratamiento de datos de Orange. El cliente, al contratar los servicios de telefonía, lo hace directamente con Orange, que es la responsable del tratamiento de los datos. Orange es quien define los fines y medios del tratamiento, y tiene la responsabilidad de aplicar las medidas técnicas y organizativas adecuadas para garantizar y poder demostrar que el tratamiento de datos cumple con lo establecido en el Reglamento.

4. Falta de legitimidad en el tratamiento de datos: Orange también argumentó que no hubo falta de legitimidad en el tratamiento de los datos personales de los clientes, ya que la compañía cumplía con las bases legales establecidas por el RGPD para el tratamiento de datos. Según Orange, en ningún momento se produjo un uso indebido de la información personal de los usuarios, ya que la manipulación de los datos de los clientes fue un hecho aislado cometido por uno de sus encargados del tratamiento.

–> La AEPD considera que, con esta alegación, Orange intenta subrayar que los hechos que dieron lugar a las sanciones fueron cometidos por empleados de uno de sus encargados de tratamiento, y que la Agencia busca responsabilizar a Orange por la conducta de estos agentes, independientemente de que dicha conducta pueda constituir un ilícito penal. Por ello, la AEPD recordó que lo que se está evaluando en este caso es la falta de base de legitimación para el tratamiento de los datos personales al emitir un duplicado de la tarjeta SIM sin el consentimiento del cliente, y dado que la tarjeta fue emitida en nombre de Orange, esta empresa es responsable del tratamiento y de garantizar que se cumpla con las bases legales para procesar los datos personales.

5. Medidas de privacidad desde el diseño y por defecto: Orange resaltó que, en línea con los principios establecidos por el RGPD, había implementado medidas adecuadas de privacidad desde el diseño y por defecto, aportando dos informes periciales. Además, señaló que el procedimiento de duplicados de tarjeta SIM había sido analizado en múltiples expedientes de la AEPD, los cuales fueron archivados, sin que en ningún momento se mencionara un posible incumplimiento del artículo 25.

–> La AEPD considera que la falta de medidas para asegurar que la solicitud de duplicado de tarjeta SIM fuera realizada por el titular y que la entrega se hiciera correctamente, infringe el principio de protección de datos desde el diseño, ya que Orange no identificó ni evaluó adecuadamente los riesgos asociados, ni aplicó las medidas necesarias para cumplir con el artículo 25 del RGPD. A pesar de las alegaciones de Orange y los documentos presentados en fase de recurso, la AEPD reafirma que la empresa no analizó los riesgos para los derechos y libertades de las personas afectadas por el incidente, y que los informes aportados no consideran estos riesgos desde la perspectiva de las personas físicas involucradas.

6. Concurso de infracciones: Orange argumentó que en el acuerdo de inicio se hace referencia a un único hecho, relacionado con la adopción de medidas en el procedimiento de duplicado de la tarjeta SIM en casos de intervención manual, lo cual, según la empresa, constituiría un concurso de infracciones, ya que ambas vulneraciones (artículo 6 y artículo 25 del RGPD) están directamente vinculadas. Según Orange, la infracción del artículo 6 sobre el tratamiento ilícito de datos fue necesaria para que ocurriera la vulneración del principio de privacidad desde el diseño y por defecto, ya que si se hubieran implementado medidas adecuadas, el duplicado de la tarjeta SIM no habría tenido lugar. Así, se trataría de un único ilícito, lo que haría inapropiado sancionar por ambas infracciones de manera independiente.

–> La AEPD rechaza el argumento de Orange, aclarando que los artículos 6.1 y 25 del RGPD están tipificados de manera diferenciada, tanto en el RGPD como en la LOPDGDD, y cada uno tiene su propia entidad. Si la afirmación de Orange fuera correcta, no se considerarían como infracciones distintas. Sin embargo, ambas infracciones requieren elementos diferentes para su comisión: la del artículo 6 implica un tratamiento de datos sin una base de legitimación, mientras que la del artículo 25 se refiere a la falta de implementación de medidas adecuadas de privacidad desde el diseño, lo que puede ocurrir incluso sin un tratamiento ilícito de datos. Aunque ambas infracciones comparten una falta de diligencia, se refieren a conductas distintas.

7. Medidas implementadas para prevenir fraudes: Además, Orange enfatizó las acciones correctivas implementadas tras el incidente, como la suspensión de la validación manual de documentos de identidad y la implementación de un sistema de doble factor de identificación, con el objetivo de acreditar su voluntad de proteger los derechos de sus clientes. Acciones que, según Orange, no se han tenido en cuenta por parte de la AEPD.

–> La AEPD remarca que las medidas implementadas por Orange sí que han sido analizadas y valoradas, pero que todas estas medidas no se encontraban implementadas de forma previa, sino que han sido aplicadas con posterioridad a los hechos, por lo que no se tuvieron en cuenta desde el diseño del tratamiento, y por ello no pueden ser tenidas tampoco en cuenta en el presente caso.

8. Desproporcionalidad de la sanción: Finalmente, Orange cuestionó la proporcionalidad de la sanción, considerando que las multas impuestas eran excesivas en relación con la gravedad de la infracción. Orange argumentó que, aunque reconocía el incidente, las medidas correctivas adoptadas debían ser suficientes para mitigar cualquier posible riesgo futuro, y que las sanciones no debían ser tan severas dadas las circunstancias.

–> La AEPD insiste en que la sanción impuesta a Orange es proporcional, ya que las infracciones cometidas, relacionadas con el tratamiento indebido de datos personales y la falta de medidas adecuadas desde el diseño, son graves y tienen un impacto significativo en los derechos de los afectados. La Agencia destaca que la multa tiene en cuenta tanto la gravedad de las infracciones como la responsabilidad de Orange como responsable del tratamiento, su capacidad económica y la necesidad de disuadir futuras infracciones. Además, la AEPD señala que las sanciones están dentro del marco establecido por el RGPD y que la respuesta de la empresa ante el incidente no fue suficiente para mitigar la gravedad de los hechos.

En resumen, la AEPD, tras un análisis detallado del caso, desestimó cada uno de los argumentos de Orange y decidió mantener las sanciones impuestas en la resolución original al considerar que no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada.

Conclusión

El caso de Orange se presenta como un recordatorio crucial para todas las empresas, especialmente aquellas que gestionan grandes volúmenes de datos personales, sobre la importancia de cumplir de forma rigurosa con las normativas de protección de datos. Algunas de las lecciones clave que se pueden extraer son:

• Actualización y revisión constante de protocolos de seguridad: Las medidas de protección deben ser dinámicas y adaptarse a nuevas amenazas y vulnerabilidades en el entorno digital.
• Importancia del consentimiento informado: Es esencial garantizar que los usuarios otorguen su consentimiento de manera clara y consciente antes de cualquier tratamiento de sus datos.
• Responsabilidad en la gestión de datos: Las empresas deben ser plenamente responsables del tratamiento de la información y adoptar una actitud proactiva en la prevención de fraudes o incidentes que puedan comprometer la privacidad de sus clientes.