Ho hem de reconèixer. A tots ens ha passat, per anar amb presses i no fixar-nos o simplement perquè en el moment suprem d’enviar el correu una distracció –truquen al mòbil o algú ens interromp – fa que enviem els correus a un conjunt de destinataris sense posar-los en còpia oculta (CCO). I un cop premuda la tecla d’Enviar, surt, inevitablement del més profund de la nostra gola, un “Ay!” que es fa sentir per tota l’estància. Però, ja és tard. Irremeiablement tard.
Doncs això és el que li va passar a una immobiliària aquí, a casa nostra. I, com no pot ser d’altre manera, amb conseqüències no desitjades (veure resolució AEPD). Per l’empresa i, el que és pitjor, per els destinataris que van veure exposades les seves dades personals. Anem a explicar-ho.
Els fets
Una empresa immobiliària remet un correu electrònic, a una pluralitat de destinataris, sense utilitzar la modalitat de còpia oculta, la qual cosa permet que tercers tinguin coneixement de la direcció de correu electrònic del reclamant. Fàcil d’entendre? Doncs sí. No es poden desvetllar dades personals, ni tant sols el correu, perquè vulnera l’article 5.1.f) del RGPD. I el 32 també, com ara veurem.
Les consideracions de l’AEPD
L’Agència considera que l’entitat reclamada, amb la seva actuació, ha cedit les dades a tercers sense causa que ho legitimi i, per tant, ha realitzat un tractament de les dades personals, la custòdia del qual té encomanada, contrari a dret. L’empresa ha violat el principi de integritat i confidencialitat (article 5.1.f) RGPD), així com no haver adoptat les mesures de seguretat necessàries per garantir la protecció de dades de caràcter personal dels seus clients (article 32 RGPD), al no fer servir la modalitat de còpia oculta del correu electrònic.
Multa per dos conceptes
La primer multa, per la infracció de l’article 5.1.f) RGPD, es quantifica (després de la graduació de la sanció) en 6.000€.
La segona, per infracció de l’article 32 RGPD, és de 3.000€.
Fan un total de 9.000€.
No està gens malament una multa de 9.000€ per una acció que es podria haver evitat només enganxant el llistat en el camp CCO del editor de correu. A més, l’empresa, de forma inusitada, no va contestar al requeriment de l’AEPD ni va presentar cap al·legació (de les comunicacions amb l’AEPD en parlarem un altre dia).
Apunts
Però més enllà del fet puntual, dolorós però assumible, està el bé jurídic que es vol protegir que no es altre que la privacitat de les dades personals. I aquí sí hem de parar atenció. Es tracta de fer un tractament escrupolós de les dades personals que ens encomanen. Aplicar els principis del RGPD com la transparència, la minimització, la integritat, la confidencialitat i la resta, i, sobretot, el de la lleialtat amb l’interessat.
Com sempre, cuideu-vos!
