La Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (en adelante, \u201cAEPD\u201d) ha sancionado a una entidad p\u00fablica por infracciones de los art\u00edculos 5.1.f) y 38 del Reglamento General de Protecci\u00f3n de Datos (en adelante, \u201cRGPD\u201d), relativas, respectivamente, a la vulneraci\u00f3n del principio de integridad y confidencialidad y a la falta de garant\u00eda de independencia del Delegado de Protecci\u00f3n de Datos (en adelante, \u201cDPD\u201d).<\/p>\n
El procedimiento se inici\u00f3 a ra\u00edz de una reclamaci\u00f3n en la que se puso en conocimiento de la AEPD la existencia de una carpeta digital accesible a m\u00faltiples empleados que conten\u00eda datos personales. La entidad verific\u00f3 la incidencia, constatando accesos no autorizados, notificando la brecha a la AEPD y comunic\u00e1ndola a las personas afectadas.<\/p>\n
En el an\u00e1lisis del expediente, la AEPD constata que la brecha de seguridad permiti\u00f3 el acceso por parte del personal a una carpeta que deb\u00eda estar restringida al personal administrativo y directivo. Asimismo, se acredita que entre los datos afectados se encontraban tanto datos identificativos como datos de categor\u00edas especiales, lo que incrementa el riesgo para los derechos y libertades de las personas afectadas.<\/p>\n
La resoluci\u00f3n rechaza las alegaciones de la entidad sobre la suficiencia de las medidas de seguridad, se\u00f1alando que, aunque no existe una obligaci\u00f3n de resultado, s\u00ed deben implantarse medidas t\u00e9cnicas y organizativas apropiadas al riesgo. En este caso, la AEPD aprecia deficiencias en la prevenci\u00f3n y el control de accesos que favorecieron la brecha, determinando la infracci\u00f3n del art\u00edculo 5.1.f) del RGPD.<\/p>\n
Por otro lado, la AEPD analiza la compatibilidad de funciones del DPD, constatando que la entidad hab\u00eda designado a dicha figura como responsable del Sistema Interno de Informaci\u00f3n (en adelante, RSII) previsto en la Ley 2\/2023. La AEPD concluye que esta acumulaci\u00f3n de funciones puede comprometer la independencia exigida al DPD, en la medida en que puede dar lugar a un conflicto de intereses contrario a lo dispuesto en el art\u00edculo 38 del RGPD.<\/p>\n
La AEPD fundamenta la sanci\u00f3n en los siguientes extremos:<\/p>\n
Con esta resoluci\u00f3n, la AEPD refuerza la exigencia de implementar medidas de seguridad efectivas que eviten accesos indebidos a los datos personales, as\u00ed como la necesidad de garantizar la independencia del DPD dentro de la organizaci\u00f3n, evitando la acumulaci\u00f3n de funciones que puedan comprometer su labor de supervisi\u00f3n.<\/p>\n","protected":false},"excerpt":{"rendered":"