La empresa filtró las direcciones de correo electrónico en un mensaje masivo, sin poner en copia oculta los destinatarios. EXP202308752

La Agencia Española de Protección de Datos ha impuesto una multa de 3.000 euros a la empresa Clidea Desarrollo por infringir el Reglamento General de Protección de Datos. La infracción ocurrió al enviar un correo electrónico masivo a 349 destinatarios sin emplear la función de copia oculta (CCO), lo que permitió a todos los receptores ver las direcciones de correo de los demás, muchas de ellas compuestas por nombres y apellidos.

El artículo 5.1.f) del RGPD establece la obligación de las empresas de garantizar la confidencialidad de los datos personales que tratan. Esto incluye adoptar medidas adecuadas para evitar accesos no autorizados. En el caso de Clidea Desarrollo, el hecho de enviar un correo electrónico con las direcciones visibles para todos los destinatarios constituye una violación directa de este principio de confidencialidad, lo que se tradujo en la filtración no autorizada de datos personales.

Además, el artículo 32 del RGPD exige que los responsables y encargados del tratamiento apliquen medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales. Esto incluye la implementación de herramientas y procedimientos que mitiguen los riesgos asociados al tratamiento de dichos datos. En este contexto, el uso de la función de copia oculta en correos masivos es una medida organizativa simple y esencial para evitar la exposición indebida de datos personales.

El procedimiento sancionador

La sanción impuesta a Clidea Desarrollo se originó tras una reclamación interpuesta ante la AEPD en mayo de 2023. Entre los datos revelados se encontraban las direcciones de email de freelancers que colaboraban con la empresa, muchos de ellos con sus nombres y apellidos expuestos en las direcciones.

Tras recibir la reclamación, la AEPD solicitó a la empresa que proporcionara explicaciones y tomara las medidas correctivas necesarias. Sin embargo, Clidea Desarrollo no respondió a la solicitud en el plazo indicado, lo que llevó a la AEPD a iniciar el procedimiento sancionador. En su resolución, la AEPD constató que la empresa había infringido tanto el artículo 5.1.f) como el artículo 32 del RGPD, imponiendo una sanción económica.

La multa impuesta

La AEPD concluyó que los hechos constituían una vulneración de la normativa de protección de datos e impuso una multa de 3.000 euros:

• 2.000 euros por infringir el artículo 5.1.f) del RGPD, al no proteger adecuadamente la confidencialidad de los datos personales.
• 1.000 euros por infringir el artículo 32 del RGPD, al no implementar las medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos.

Fuente. AEPD.