Aclaraciones del Tribunal de Justicia de la Unión Europea sobre la imposición de multas con respecto a las brechas de seguridad

Nota informativa del área de Privacidad de ECIJA Madrid.

La reciente sentencia del TJUE (Asunto C-768/21) ha abierto un nuevo camino a la hora de aplicar por parte de las autoridades de control las medidas correctivas para las empresas que sufran brechas de seguridad

Una caja de ahorros alemana sufrió el pasado 15 de noviembre de 2019 una violación de seguridad de datos personales cuando uno de sus empleados accedió sin autorización a la información de uno de sus clientes. La entidad informó del incidente a la autoridad de control competente (“HBDI”, por sus siglas en alemán), pero no vio conveniente informar al cliente por entender que sus derechos y libertades no se habían visto afectados. Posteriormente, el afectado se enteró por otros medios del acceso a sus datos personales y presentó ante el HBDI una reclamación, solicitando expresamente la imposición de una
multa a la entidad bancaria.

La entidad reclamada contestó al requerimiento de la autoridad de control alegando que el motivo por el que no informó al afectado de la violación de seguridad era debido a que su Delegado de Protección de Datos consideró que no existía un riesgo significativo para sus derechos y libertades, ya que se habían tomado todas las medidas disciplinarias contra el empleado, haciéndole confirmar por escrito que no había copiado ni transmitido la información personal a la que accedió. El HBDI se pronunció considerando que no resultaba necesario adoptar medidas correctoras contra la caja de ahorros, ya que había actuado correctamente.

El afectado procedió entonces a recurrir la decisión ante el tribunal alemán competente, solicitando nuevamente la imposición de una multa.

Posteriormente, el tribunal alemán solicitó al Tribunal de Justicia que aclarase la interpretación del Reglamento General de Protección de Datos (“RGPD”) en este asunto, cuestionándole si el RGPD obliga a la autoridad de control a actuar siempre ante brechas de seguridad o si tiene discreción para no imponer sanciones.

Descargar el PDF completo más abajo.