AEPD multa a una empresa con 600.000 euros por una brecha de seguridad que afectó a 9.500 clientes

La compañía de crédito Vivus deberá pagar una multa por una brecha de seguridad que comprometió información personal de sus clientes. EXP202304633

La Agencia Española de Protección de Datos ha impuesto una multa de 600.000 euros a la empresa de crédito 4Finance Spain Financial Services, conocida como Vivus, por una grave brecha de seguridad que comprometió la información personal de 9.497 clientes. 

La empresa se enfrentó a suplantaciones de identidad y un uso fraudulento de los datos afectados. Los ciberdelincuentes accedían al área personal del cliente para solicitar un préstamo, el cual se aceptaba automáticamente, recibían el ingreso en la cuenta del cliente. Tras ello, se comunicaban con las víctimas a través de WhatsApp, haciéndose pasar por representantes de Vivus, solicitando la devolución del dinero a cuentas controladas por los delincuentes.

Vivus, ocho meses después de descubrir la brecha, finalmente notificó el incidente el 17/02/2024, según revela la resolución emitida por la AEPD. Esta demora en la notificación resultó en que al menos 427 clientes fueran defraudados durante ese tiempo.

La justificación de Vivus ante la AEPD

La empresa se justifica alegando que ha implementado varias medidas correctivas, incluyendo el cambio de contraseñas para todos los usuarios, la adopción de un sistema de autenticación de doble factor y la revisión de sus procedimientos internos. Además, la empresa ha categorizado a los afectados por fraude para prevenir futuras consecuencias y ha ajustado su política de contraseñas. No obstante, la AEPD considera que las medidas correctivas implementadas no son suficientes para garantizar la identidad de los usuarios que solicitan préstamos.

La AEPD considera que Vivus vulneró el artículo 5.1 del RGPD al no garantizar la confidencialidad de los datos personales, lo que resultó en una multa de 200.000 euros. También se impuso una multa de 400.000 euros por no aplicar medidas de seguridad técnicas y organizativas adecuadas, según lo estipulado en el artículo 32 del RGPD. En la cuantificación se ha tenido en cuenta como agravante la vinculación de la actividad empresarial con el tratamiento continuo de datos personales.

La multa inicial de 600.000 euros quedó reducida a 360.000 euros. La empresa reconoció los hechos y pagó de forma voluntaria el 25 de abril de 2024. 

Derecho a impugnar nombramientos de fiscales

El Tribunal de Justicia de la Unión Europea ha resuelto que el Derecho de la Unión no requiere que las normativas nacionales concedan a las asociaciones profesionales de jueces y fiscales el derecho a impugnar decisiones relativas al nombramiento de fiscales. Especialmente en contextos donde dichos nombramientos afecten a la instrucción de procedimientos penales contra jueces y fiscales. Este dictamen surge a raíz de una consulta realizada por el Tribunal de Apelación de Pitești, Rumanía.  Viene de una disputa donde asociaciones profesionales de jueces y fiscales rumanos cuestionaban los nombramientos de ciertos fiscales encargados de investigar casos de corrupción. Argumentaban que la normativa nacional subyacente era incompatible con el Derecho de la Unión.

Derecho a impugnar nombramientos de fiscales por parte de las asociaciones de fiscales

Las asociaciones alegaban que dicha normativa, al exigir un interés legítimo privado para la admisibilidad de un recurso, restringía indebidamente su capacidad para impugnar nombramientos que consideraban contrarios a los estándares de la Unión Europea. Particularmente en lo referente a la independencia judicial y la lucha contra la corrupción. Sin embargo, el Tribunal de Justicia estableció que el Derecho de la Unión no impone a los Estados miembros la obligación de permitir que estas asociaciones desafíen las decisiones de nombramiento.

Precedentes donde se permite a las asociaciones acciones judiciales en áreas específicas

El Tribunal ha señalado que la Unión Europea ha establecido precedentes que permiten a las asociaciones representativas presentar acciones judiciales en áreas específicas. Estas áreas incluyen la protección del medio ambiente y la lucha contra las discriminaciones. No obstante, el Tribunal también aclara que no existe una normativa que extienda esta capacidad a todas las decisiones administrativas en conflicto con el Derecho de la Unión. Este punto es especialmente significativo en casos que afectan el estatus y la autonomía de los jueces.

Derecho a impugnar decisiones | El hecho de que las asociaciones no estén autorizadas a interponer recursos no suscita dudas sobre la independencia judicial

El Tribunal señaló que la falta de autorización para que las asociaciones interpongan recursos en ciertos casos no debería, por sí sola, generar dudas sobre la independencia judicial en Rumanía. Este fallo destaca la discreción que tienen los Estados miembros para determinar quién está legitimado para iniciar acciones judiciales. Sin embargo, estas decisiones deben respetar el derecho a la tutela judicial efectiva, el cual está garantizado por el Derecho de la Unión.

Condena al SERGAS | 15.000 euros por daño moral a herederos de paciente con ceguera que podría haberse evitado

El Tribunal Superior de Justicia de Galicia ha condenado al Servicio de Salud de la comunidad autónoma (SERGAS) a indemnizar con 15.000 euros a los herederos de una paciente que terminó sufriendo ceguera debido a un diagnóstico erróneo. [TOL9.992.199]

El SERGAS deberá pagar 15.000 euros en concepto de indemnización por daño moral, a raíz de la mala praxis de los facultativos que diagnosticaron erróneamente una conjuntivitis a la paciente, provocando finalmente su ceguera. 

La paciente, con antecedentes de retinopatía diabética no proliferativa y diabetes, acudió hasta en seis ocasiones a los servicios médicos del SERGAS por un cuadro ocular doloroso y rojizo. En todas las visitas se le diagnosticó erróneamente conjuntivitis, ignorando sus antecedentes médicos.

El retraso en la atención adecuada y el diagnóstico preciso llevó a un deterioro progresivo de la visión de la paciente. Cuando finalmente acudió a un especialista oftalmólogo de urgencia, el glaucoma ya estaba avanzado, resultando en una pérdida total e irreversible de la visión en ambos ojos. Debido a la pérdida permanente de la visión, se le reconoció un grado de discapacidad del 89%.

Los herederos reclamaron a la Administración

Los herederos de la paciente interpusieron una reclamación administrativa, al considerar que la ceguera podía haberse evitado si se hubiera actuado con la diligencia debida. Los 6 diagnósticos erróneos impidieron que la paciente tuviera el tratamiento correcto, generando finalmente un daño irreversible. La Administración denegó la reclamación, al negar que los profesionales no hubiesen tenido en cuenta los antecedentes. 

La misma respuesta otorgó el Juzgado de lo Contencioso – Administrativo, el cual desestimó el recurso planteado. El juez argumentó que la paciente debía seguir un control de su patología previa (diabetes), ya que no acudió a una cita programada dos años atrás.

Finalmente, el Tribunal Superior de Justicia estima el recurso, al considerar que sí existió error en el diagnóstico y una atención médica inadecuada. La Sala establece la responsabilidad patrimonial de la administración, condena al pago de una indemnización de 15.000 euros.

Indemnización por daño moral

El tribunal otorga una indemnización de 15.000 euros por mala praxis de los servicios médicos. Así, considera que el tiempo transcurrido desde el primer diagnóstico erróneo demuestra un retraso en la atención sanitaria. No se trata de que la Administración sea la responsable de la ceguera, sino de la pérdida de oportunidad que ha experimentado la paciente al no aplicarle el tratamiento adecuado. 

Por lo tanto, la indemnización acordada no es el daño correspondiente por la pérdida de visión, sino por la incertidumbre generada por los hechos. Este monto se basa en varios factores, incluida la falta de prueba de probabilidades y el tiempo vivido con las secuelas del caso, ya que la mujer ya falleció, son los herederos quienes reclaman. El tribunal también ha tenido en cuenta lo dispuesto por otros tribunales al respecto. Así, estima el recurso presentado por los herederos de la paciente que sufrió la ceguera y concede la indemnización por daños morales.

Cambio de nombre y género adquiridos en otro Estado miembro

El Abogado General de la Unión Europea, Jean Richard de la Tour, ha expresado que la negativa de un Estado miembro a reconocer el cambio de nombre y género adquiridos en otro Estado miembro contraviene los derechos de los ciudadanos de la Unión Europea. Este pronunciamiento se relaciona con el caso de un ciudadano rumano que, tras obtener la nacionalidad británica y cambiar legalmente su nombre y género en el Reino Unido, enfrentó la negativa de las autoridades rumanas para reconocer estos cambios en su país natal.

Reconocer el cambio de nombre y género y la legislación de la Unión Europea

La cuestión aborda si la negativa de reconocer los cambios de identidad, obtenidos en un estado donde regía el Derecho de la Unión, es fundada. Además, se requiere claridad sobre las implicancias de la retirada del Reino Unido en este contexto.

La legislación de la Unión Europea actual no regula directamente la actualización de registros de estado civil en el país de origen de un ciudadano, basada en documentos de otro Estado miembro. Sin embargo, el Derecho de la Unión ha facilitado la circulación de certificados de estado civil sin abordar específicamente sus efectos. Esto subraya un vacío legislativo en cuanto a la actualización de registros nacionales basados en decisiones extranjeras.

Cuestión relacionada con los derechos el derecho de la Unión | libertad de circulación y residencia

El Tribunal de Justicia ha mantenido que, aunque las regulaciones sobre transcripción de nombres y apellidos son competencia de los Estados miembros, estos deben ejercer dicha competencia respetando el Derecho de la Unión. Especialmente en lo que concierne a la libertad de circulación y residencia.

Adicionalmente, aunque el estado civil, incluyendo el matrimonio y la filiación, es competencia de los Estados miembros, deben reconocer el estado civil establecido en otro Estado miembro conforme a su derecho nacional. Esto resalta un principio de reconocimiento mutuo que se extiende a la identidad de género registrada en otro Estado miembro. Aunque no existe una directriz clara al respecto.

Por otra parte, el Acuerdo de Retirada del Reino Unido establece un período transitorio durante el cual el Derecho de la Unión seguía siendo aplicable. Relevante para documentos como el GRC (Gender Recognition Certificate) emitido durante dicho período. Este documento, según el análisis, debería ser reconocido como válido por otros Estados miembros.

Inscripción de un cambio de nombre y género adquiridos legalmente en otro Estado miembro

La discusión sugiere que el artículo 21 TFUE y ciertos artículos de la Carta de los Derechos Fundamentales se interpretan en sentido de que las autoridades no deberían negar el reconocimiento y la inscripción de un cambio de nombre y género adquiridos legalmente en otro Estado miembro. Aún cuando este Estado ya no pertenezca a la Unión. Además, la falta de regulación específica en un Estado miembro sobre el reconocimiento de cambios de género no justifica la denegación de reconocimiento e inscripción.

Conclusión ante las cuestiones prejudiciales planteadas

En conclusión, el análisis propone una respuesta afirmativa a las cuestiones prejudiciales. Sugiriendo que el Derecho de la Unión apoya el reconocimiento automático del cambio de nombre y género en el registro civil. Sin restringir cómo los Estados miembros regulan los efectos de tal reconocimiento en otras áreas del estado civil. Esto enfatiza la autonomía de los Estados miembros para regular el reconocimiento y sus efectos dentro de sus propios sistemas legales. Manteniendo el principio de libre circulación y el respeto a la vida privada y familiar.

Transferencias y las relaciones contractuales entre los jugadores de fútbol y los clubes en la FIFA

El Abogado General Maciej Szpunar ha presentado sus conclusiones ante el Tribunal de Justicia de la Unión Europea en relación con ciertas normas de la FIFA que rigen las transferencias y las relaciones contractuales entre los jugadores de fútbol y los clubes. Estas normas, contenidas en el Reglamento sobre el Estatuto y la Transferencia de Jugadores (RETJ), han sido cuestionadas por un exjugador profesional que enfrentó dificultades al tratar de unirse a un nuevo club después de que su contrato con el Lokomotiv de Moscú fuera rescindido.

Leyes de la Unión Europea sobre competencia y la libre circulación de trabajadores

Según el Abogado General, las normas del RETJ podrían ser contrarias a las leyes de la UE sobre competencia y la libre circulación de trabajadores. Szpunar señaló que las disposiciones del RETJ son restrictivas. Ya que pueden disuadir a los clubes de contratar a jugadores por temor a tener que asumir responsabilidades económicas significativas. Y, asimismo,  enfrentarse a sanciones deportivas si se determina que el jugador terminó su contrato anterior sin causa justificada. Esto, a su vez, limita la capacidad de los jugadores para cambiar de club y afecta la competencia entre los clubes en el mercado de fichajes de jugadores profesionales.

Transferencias y las relaciones contractuales entre club y jugador

El Abogado General Szpunar sostuvo que el RETJ es restrictivo en términos de la libre circulación de trabajadores y la competencia. Pues este desincentiva a los clubes a contratar jugadores por el riesgo económico involucrado y limita la posibilidad de que los jugadores cambien de club. Argumentó que estas restricciones solo podrían estar justificadas si contribuyen a alcanzar objetivos legítimos y son estrictamente necesarias para ese fin.

Destacó que cualquier restricción a la competencia debe evaluarse para determinar si realmente restringe la competencia entre clubes por efecto y no solo por objeto. Y que las restricciones a la libre circulación de jugadores deben poder justificarse demostrando que el nuevo club no participó en la terminación injustificada del contrato anterior.

Transferencias y las relaciones contractuales

Además, mencionó que las normas que regulan la expedición de certificados de transferencia internacional deberían permitir medidas provisionales que sean eficaces y rápidas. Especialmente en casos donde sólo se alegue que el jugador no respetó los términos de su contrato.

Estas observaciones del Abogado General son preliminares y no vinculantes. Sin embargo, proporcionan una dirección importante sobre cómo el TJUE podría abordar el caso cuando emita su decisión definitiva.