La Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (en adelante, \u201cAEPD\u201d) ha sancionado a una empresa del sector de las telecomunicaciones por una infracci\u00f3n del art\u00edculo 32 del Reglamento General de Protecci\u00f3n de Datos (en adelante, \u201cRGPD\u201d), relativa a la falta de adopci\u00f3n de medidas de seguridad adecuadas en el tratamiento de datos personales.<\/p>\n
El procedimiento se inici\u00f3 a ra\u00edz de una reclamaci\u00f3n presentada por un cliente, quien manifest\u00f3 haber recibido un correo electr\u00f3nico inform\u00e1ndole de la actualizaci\u00f3n del \u00e1rea privada de clientes, en el que se inclu\u00edan sus credenciales completas de acceso (usuario y contrase\u00f1a), remitidas en texto plano y tras haberse modificado la contrase\u00f1a sin previo aviso. El acceso al \u00e1rea privada permit\u00eda consultar datos personales de car\u00e1cter sensible, sin que existiera autenticaci\u00f3n multifactor.<\/p>\n
En el an\u00e1lisis del expediente, la AEPD constata que las credenciales de acceso constituyen informaci\u00f3n especialmente sensible, al permitir el acceso a un conjunto amplio de datos personales. La Agencia recuerda que el env\u00edo de usuario y contrase\u00f1a mediante correo electr\u00f3nico ordinario supone una exposici\u00f3n indebida de elementos cr\u00edticos de autenticaci\u00f3n, generando un riesgo claro para la confidencialidad de los datos, con independencia de que finalmente se haya producido o no un acceso no autorizado.<\/p>\n
La resoluci\u00f3n rechaza los argumentos de la entidad relativos al car\u00e1cter puntual y humano del error, as\u00ed como la inexistencia de perjuicio efectivo, se\u00f1alando que el art\u00edculo 32 RGPD impone una obligaci\u00f3n de adoptar medidas adecuadas al riesgo, sin que sea necesario que el da\u00f1o llegue a materializarse. Adem\u00e1s, la AEPD indica que la adopci\u00f3n de medidas correctoras con posterioridad al incidente no elimina el incumplimiento producido en el momento de los hechos.<\/p>\n
La AEPD fundamenta la sanci\u00f3n en los siguientes extremos:<\/p>\n
Con esta resoluci\u00f3n, la AEPD reitera que la gesti\u00f3n de credenciales de acceso requiere medidas de seguridad reforzadas, y que pr\u00e1cticas como el env\u00edo de contrase\u00f1as por correo electr\u00f3nico no resultan compatibles con las exigencias del RGPD, aun cuando se adopten medidas correctoras inmediatas.<\/p>\n","protected":false},"excerpt":{"rendered":"