Confirmada la sanción de 500.000 euros a una empresa del Grupo Iberdrola
La mercantil disponía de un sistema de chat que obligaba a los trabajadores a atender a varios clientes a la vez, lo que favorecía filtrar datos personales por error al mezclar conversaciones
(Imagen: E&J)
Confirmada la sanción de 500.000 euros a una empresa del Grupo Iberdrola
La mercantil disponía de un sistema de chat que obligaba a los trabajadores a atender a varios clientes a la vez, lo que favorecía filtrar datos personales por error al mezclar conversaciones
(Imagen: E&J)
La Agencia Española de Protección de Datos (AEPD) ha desestimado el recurso de reposición interpuesto por Curenergía Comercializador de Último Recurso, empresa del Grupo Iberdrola —que vende luz y gas en el mercado regulado a tarifas oficiales fijadas por el Gobierno— contra la resolución dictada el pasado mes de diciembre por la propia AEPD y que multaba a la mercantil con 500.000 euros por infringir el artículo 25 del Reglamento General de Protección de Datos (RGPD).
Según recoge la resolución (disponible en el botón ‘descargar resolución’), la empresa contaba con un canal de atención al cliente mediante mensajería chat que permitía que los agentes de la mercantil atendieran simultáneamente a dos clientes. Dicho canal no exigía que una conversación se cerrara previamente para poder atender otra, sino que ambas podían permanecer abiertas y ser gestionadas de forma concurrente por el mismo agente.
Así, mientras un empleado atendía al mismo tiempo a dos clientes, cometió un error: en el momento de la incorporación al sistema de la dirección de correo electrónico atribuyó erróneamente a uno de los clientes la dirección de correo electrónica del otro, haciéndole llegar un mail que contenía datos personales del otro cliente, tales como nombre, apellidos, existencia de una deuda frente a la empresa, la cuantía de la deuda, el número de referencia del contrato, así como el número y fecha de factura.
(Imagen: E&J)
Suscríbete a nuestra
NEWSLETTER
La AEPD entendió que esa peculiaridad del canal de mensajería chat, de permitir que un mismo agente comercial mantuviera al menos dos conversaciones abiertas al mismo tiempo, lo que obligaba al trabajador a alternar entre al menos dos clientes, aumentaba el riesgo de error humano. Y era justo esa permanencia simultánea de conversaciones activas lo que favorecía la posibilidad de confundir información, mensajes o actuaciones correspondientes a los clientes.
A ello se sumó el hecho de que Curenergía disponía de determinados mecanismos de control destinados a detectar posibles errores en la introducción de datos asociados a los clientes, sin embargo, dichos mecanismos únicamente se activaban cuando un mismo dato se repetía un número determinado de veces, por lo que su alcance era limitado. Dicho de otro modo, la entidad no tenía establecido algún procedimiento o algún tipo de medidas que permitiese advertir de inexactitudes o errores en el tratamiento de los datos personales de sus clientes, como la duplicidad de datos atribuidos a distintos clientes.
Por tanto, aunque esas medidas podían resultar adecuadas para prevenir determinadas conductas fraudulentas o para detectar patrones anómalos de uso, no lo eran para “evitar errores que pudieran derivar en una pérdida de confidencialidad y ello debido a errores aislados en la consignación de los datos de contacto. En consecuencia, dicha medida no evitaba de forma efectiva el riesgo de que información personal de un cliente fuera puesta en conocimiento de otro como consecuencia de una incorrecta asociación de datos”, sentencia la Agencia Española de Protección de Datos.
(Imagen: E&J)
En base a lo expuesto, la AEPD consideró que la mercantil era responsable de no contar con las medidas adecuadas para mitigar el riesgo de que, debido a la introducción de un dato de contacto inexacto, se produjera una pérdida de confidencialidad. Pues, “la pérdida de confidencialidad por el envío de un correo electrónico a destinatarios no autorizados para acceder a la información no es un riesgo excepcional o de baja frecuencia, sino un riesgo habitual en las relaciones entre responsables y sus clientes. En consecuencia, estos deben establecer medidas para evitar que ocurra”, recordó al respecto la Agencia. Y esa falta de previsión puede derivar en comunicaciones no autorizadas de datos personales a terceros, como sucedió en este caso.
Así, la Agencia Española de Protección de Datos apreció culpabilidad de la empresa en lo ocurrido por no contar con medidas necesarias para prevenir los riesgos derivados de la inexactitud de los datos, en particular el relativo a la perdida de confidencialidad, y dictó resolución imponiendo a la mercantil una multa de medio millón de euros por cometer una infracción del artículo 25 del RGPD.
El citado precepto legal impone al responsable del tratamiento de los datos personales la obligación proactiva y preventiva de implementar, desde la fase de diseño del tratamiento y por defecto, las garantías necesarias para minimizar los riesgos para los derechos y libertades de los interesados; evitar la inexactitud de los datos desde el origen, mediante procedimientos que impidan o minimicen errores humanos o técnicos; y asegurar el cumplimiento de los principios del RGPD (como la exactitud y la confidencialidad).
Curenergía, por su parte, recurrió la resolución, no obstante, la AEPD ha desestimado el recurso tras examinar que la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada.
