La Apdcat sanciona a la empresa encargada del tratamiento de datos de la Conselleria de Justicia

BARCELONA, 13 May. (EUROPA PRESS) -

La Autoritat Catalana de Protecció de Dades (Apdcat) ha acordado sancionar a la empresa Clece Seguridad SAU, encargada del tratamiento de datos de la Conselleria de Justicia, Derechos y Memoria al entender "que no adoptó las medidas técnicas y organizativas necesarias para preservar la seguridad de la información", según consta en un informe consultado por Europa Press.

En noviembre de 2022 la Conselleria de Justicia informó a la Apdcat de que había tenido conocimiento de que la empresa, a la que se le había encargado el "monitoreo, seguimiento y vigilancia remota de personas sometidas a medidas penales y a control de centros penitenciarios", había sufrido un robo.

En concreto, explicó que la compañía había sufrido un robo en el interior de una de sus furgonetas y le habían sustraído las hojas de instalación de pulseras GPT para personas en situación de libertad vigilada.

El departamento lo supo después de que los Mossos le comunicaran que, en el curso de una operación policial ordinaria, habían encontrado la documentación sustraída, motivo por el que se abrió una investigación interna.

LO DENUNCIARON AL DÍA SIGUIENTE

De acuerdo con la información facilitada por Clece Seguridad, el robo se produjo la noche del 15 de agosto de 2022, un hecho que se denunció ante los Mossos d'Esquadra a la mañana siguiente, y añadió que el 17 de ese mismo mes un técnico de la empresa recibió una llamada de la Policía Local de Pemià de Dalt (Barcelona) en la que se indicaba que se había recuperado "todo lo sustraído", por lo que dieron el caso por cerrado.

También alegó que la Conselleria sabía que la extracción de las fichas era una práctica "necesaria y operativamente indispensable" y que, antes de los hechos, no habían recibido órdenes que contravinieran o modificaran este método de manejo y transporte de los datos en formato físico.

Sin embargo, en el contrato suscrito con Clece aparecía una cláusula en la que se indicaba la obligación de notificar al departamento "sin dilación indebida y en cualquier caso antes de un término máximo de 24 horas" sobre cualquier violación de la seguridad de los datos.

Por eso, en agosto de 2024 la directora de la Apdcat acordó iniciar un procedimiento sancionador contra la empresa por dos presuntas infracciones: una de ellas prevista en el artículo 59.f de la Ley Orgánica de protección de datos personales tratados con fin de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales y otra del artículo 59.i.

UN PARKING PÚBLICO SIN VIGILANCIA

La Apdcat considera probado que uno de los técnicos extrajo del local dos pulseras de seguimiento telemático y las hojas de instalación de las mismas, con datos personales, que dejó "en el interior de su furgoneta durante toda la noche", en un aparcamiento público, abierto y sin ningún tipo de vigilancia.

Según la Apdcat la empresa "depositó información personal muy sensible en un vehículo ubicado en la vía pública, concretamente en un parking público de arena, sin ningún tipo de custodia o vigilancia" y que no informó a la Conselleria de Justicia del robo.

Concluye que Clece Seguridad no aplicó "ni tan solo las medidas técnicas de nivel básico para garantizar un nivel de seguridad adecuado al riesgo" tendente a evitar que estos datos pudiesen ser accesibles para personas no autorizadas.

Por todo ello, ha acordado imponer una sanción a la empresa de 120.002 euros, aunque precisa que, como la compañía reconoció su responsabilidad y pagó voluntariamente la sanción pecuniaria, el importe se reduce en un 20%.

RECURSOS

Si la empresa manifestase su intención de interponer un recurso contencioso administrativo, la resolución se suspendería, precisa la Apdcat, que confirma que la entidad puede interponer cualquier otro recurso que considere necesario "para defender sus intereses".

Preguntadas al respecto, fuentes de la Conselleria de Justicia han confirmado que el departamento mantiene el contrato con la citada empresa.