Banco alega error de empleado en tratamiento de datos pero es sancionado con 40.001€
Imagen geralt en Pixabay
No es el primer caso ni será el último, en el que la actuación incorrecta, indebida, imprudente o como la queramos calificar de un empleado, suponga a la empresa para la que trabaja, una sanción en materia de protección de datos.
Cuestiones como si un “simple” comentario en el texto de un correo electrónico puede considerarse un tratamiento de datos, van a quedar disipadas en esta resolución, si bien nuestra impresión es que la Agencia Española de Protección de Datos (AEPD), que normalmente se caracteriza por ser bastante coherente en sus resoluciones, en este caso creemos que no lo ha sido. Pero mejor, juzguen ustedes mismos
En definitiva, si queréis saber cómo puede un comentario desafortunado en un email de un empleado a otro, que luego éste se olvida de suprimir en la respuesta a una clienta, llega a suponer una sanción de 40.001€ para su empresa deberéis leer esta artículo hasta el final.
La denuncia:
Por parte de una clienta contra su Entidad Bancaria, manifestando que un empleado de la sucursal de la que es cliente ha comunicado datos de salud de su persona al Servicio Jurídico de la entidad con motivo de una solicitud de información realizada por la misma ante dicho servicio, información que fue remitida por correo electrónico sin su consentimiento.
En dicho email, el Servicio Jurídico y un empleado de la sucursal hacían referencia al modo de obtener y facilitar la información solicitada por la clienta, y en el último párrafo del correo el empleado afirmaba sobre la cliente: “Comentarte que esta mujer en los 2 últimos meses nos ha solicitado 3 ó 4 veces las claves de acceso y la tarjeta de claves porque dice perderlas o que las tiene su abogada, comentarte que al parecer tiene un trastorno de bipolaridad del que se trata.”
Las respuestas de la entidad denunciada a la solicitud de información y alegaciones de la AEPD:
A lo largo del proceso, la AEPD solicitó a la entidad bancaria determinada información y que presentase alegaciones, pero básicamente en las tres ocasiones se manifestó en los mismos términos de manera reiterada y solicitando el archivo de las actuaciones, alegaciones que la Agencia no admitió y que fueron:
- Inexistencia de Datos: Que no contaba con datos de salud de la denunciante y por tanto “La entidad no ha podido vulnerar la normativa de protección de datos al no haber obtenido de la denunciante o de terceros ni haber tratado nunca ni cedido datos de salud de la misma”.
- Que el comentario que aparece en el correo electrónico entregado a la denunciante por error, fue un comentario desafortunado de un empleado, que “se trató de una mera y desafortunada e innecesaria conjetura del empleado, resultado de su trato previo en aquellos días con la afectada”.
- Inexistencia de tratamiento e inexistencia de un fichero. “no cabe decir, que además, es un dato susceptible de tratamiento ni que, de hecho, haya habido un tratamiento de ese dato ….. que tampoco habría habido en ningún caso cesión o comunicación a un tercero.”
La AEPD decide iniciar procedimiento sancionador por la presunta infracción del artículo 7.3 de la LOPD, tipificada como muy grave (de 300.001 a 600.000€)
Recordemos que el artículo 7.3 LOPD, en relación a los datos especialmente protegidos (en este caso datos de salud), señala que: “sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente”.
También hemos de recordar, sobre los datos especialmente protegidos, la exigencia de consentimiento expreso del afectado salvo que pueda acreditarse de otra manera y que corresponde siempre al responsable del tratamiento comprobar que tiene dicho consentimiento.
La AEPD inicia periodo de práctica de pruebas, solicitando a la entidad información sobre los datos de carácter personal de la denunciante que figuran en los ficheros de la entidad, que aclare si la denunciante ha facilitado información relativa a la afirmación realizada por el empleado “al parecer tiene un trastorno de bipolaridad del que se trata” y una “declaración testifical del empleado”.
De igual modo, la AEPD solicita a la denunciante que aporte información sobre si en algún momento ha manifestado a alguna persona vinculada a la entidad denunciada que padecía y se trataba de la patología a la que se refiere el correo electrónico referido al mencionado dato de salud.
Las respuestas a la AEPD fueron que mientras, la denunciante indicó que “en ningún momento manifestó a persona vinculada a la entidad denunciada cuestión alguna referente a su estado de salud o a circunstancias propias de su esfera personal e íntima”, la entidad bancaria reiteró sus alegaciones sobre que se trató de un comentario desafortunado de un empleado y de la inexistencia de dato, de un tratamiento y de un fichero.
La AEPD formuló propuesta de resolución de sanción de 40.001 por la comisión de una infracción del artículo 7.3 de la LOPD, tipificada como muy grave.
Ante la resolución, la entidad denunciada, presento nuevo escrito de alegaciones, que podéis leer en detalle en la resolución, reiterando los argumentos expuestos sobre la inaplicabilidad de la LOPD y adjuntando declaración firmada del empleado en la que manifiesta: “Que fue producto de una mera y desafortunada apreciación personal por mi parte, una simple suposición no basada en ninguna información médica ni de ningún otro tipo obtenida ni de la denunciante ni de ningún tercero”
La AEPD considera probado que en los correos electrónicos intercambiados además de mencionar “trastorno de bipolaridad del que se trata” también se hace otra mención a la salud de la denunciante al referirse a los “problemas de salud que pueda tener” y que dichos correos permiten vincular el nombre, apellidos y NIF de la denunciante, es decir, sus datos identificativos y que por lo tanto, se ha producido un tratamiento automatizado de datos personales de salud, sin que la entidad bancaria haya acreditada el consentimiento expreso de la denunciante.
También considera probado que los datos han sido incluidos en una cuenta corporativa del dominio de la entidad bancaria y por tanto implica que existe un tratamiento de datos en un fichero automatizado, remarcando la diligencia que la entidad bancaria no ha tenido.
La sanción no fue mayor ya que la Agencia aplica los criterios de graduación de sanciones
Aunque la AEPD dicta en su resolución que existen agravantes, es decir, la mencionada diligencia que por su actividad no ha acreditado, si aprecia la concurrencia dos circunstancias recogidas en el Artículo 45.4 de la LOPD, que permiten dejar la sanción en 40.001€, en concreto:
- Que el volumen de los tratamientos referidos se circunscribe a un único uso y
- A que no hay constancia de la obtención de beneficios derivados de la infracción.
Conclusiones:
En definitiva, la Agencia pone de manifiesto que un comentario en un correo electrónico supone que existe un tratamiento de datos o fichero automatizado, no aceptando que se tratase de un “error” cometido y asumido por un empleado, fruto de su desafortunada apreciación personal.
Debemos informar y concienciar a nuestros empleados sobre este tipo de comentarios o anotaciones que se realizan sobre clientes, candidatos, evaluaciones de personal, etc. si bien entendemos que seguramente la entidad recurrirá ya que la misma nos parece un tanto desproporcionada.
Enlace a la resolución de la AEPD
En todo caso, quedamos a la espera de vuestros comentarios.
