El passat mes de maig el Tribunal Suprem va admetre un recurs de cassaci\u00f3 per determinar si la protecci\u00f3 de dades \u00e9s una obligaci\u00f3 de mitjans o de resultat, enfocant-se especialment en les obligacions establertes en relaci\u00f3 amb la necess\u00e0ria implantaci\u00f3 de mesures de seguretat que mantinguin les dades protegides davant d\u2019atacs externs o p\u00e8rdues fortu\u00eftes.<\/p>\n\n\n\n
La sent\u00e8ncia de l\u2019Audi\u00e8ncia Nacional recorreguda establia una obligaci\u00f3 de resultat, consistent en qu\u00e8 s\u2019adoptin les mesures necess\u00e0ries per evitar que les dades es perdin, extravi\u00efn, o acabin en mans de tercers. El Tribunal requeria una explicaci\u00f3 adequada i<\/p>\n\n\n\n
raonable de com les dades personals han anat a parar a un lloc en el que s\u00f3n susceptibles de recuperaci\u00f3 per part de tercers, sent insuficient amb acreditar que s\u2019adopten una s\u00e8rie de mesures.<\/p>\n\n\n\n
En el recurs presentat davant la Sala Contenci\u00f3s-Administratiu del Tribunal Suprem s\u2019argumentava que aquesta obligaci\u00f3 de resultat entra en contradicci\u00f3 amb la legislaci\u00f3 i jurisprud\u00e8ncia, que venen a establir una obligaci\u00f3 de mitjans, considerant que el subjecte obligat a complir amb la normativa de protecci\u00f3 de dades ha de dissenyar i implantar una s\u00e8rie de mesures de seguretat per no ser sancionat, i si les compleix no ser\u00e0 sancionat, al marge de per un fet fortu\u00eft o un esdeveniment d\u2019impossible previsi\u00f3 es cre\u00ef una violaci\u00f3 de seguretat que el subjecte no hagu\u00e9s pogut evitar ni tan sols aplicant les mesures m\u00e9s estrictes.<\/p>\n\n\n\n
El Tribunal Suprem ha dictat sent\u00e8ncia amb data 15 de febrer de 2022, la qual es posiciona indicant que es tracta d\u2019una obligaci\u00f3 de mitjans, al\u00b7legant que \u201cl\u2019obligaci\u00f3 d\u2019adoptar les mesures necess\u00e0ries per garantir la seguretat de les dades personals no pot considerar-se una obligaci\u00f3 de resultat, que impliqui que produ\u00efda una filtraci\u00f3 de dades personals a un tercer existeixi responsabilitat amb independ\u00e8ncia de les mesures adoptades i de l\u2019activitat desplegada pel responsable del tractament.<\/p>\n\n\n\n
La difer\u00e8ncia radica en la responsabilitat en un i altre cas, doncs mentre que en l\u2019obligaci\u00f3 de resultat es respon davant d\u2019un resultat lesiu per l\u2019error del sistema de seguretat, qualsevol que sigui la causa i la dilig\u00e8ncia utilitzada, en l\u2019obligaci\u00f3 de mitjans \u00e9s suficient amb establir mesures t\u00e8cnicament adequades i implantar-les i utilitzar-les amb una dilig\u00e8ncia raonable.<\/p>\n\n\n\n
Afegeix el Tribunal que \u201cen aquestes \u00faltimes, la sufici\u00e8ncia de les mesures de seguretat que el responsable ha d\u2019establir ha de posar-se en relaci\u00f3 amb l\u2019estat de la tecnologia en cada moment i el nivell de protecci\u00f3 requerit en relaci\u00f3 amb les dades personals tractades, per\u00f2 no es garanteix un resultat\u201d.<\/p>\n\n\n\n
A m\u00e9s, la sent\u00e8ncia del Tribunal Suprem es pronuncia sobre tres q\u00fcestions molt importants i que hauran de ser tingudes en compte a l\u2019hora d\u2019adoptar els mitjans necessaris:<\/p>\n\n\n\n
No \u00e9s suficient amb dissenyar els mitjans t\u00e8cnics i organitzatius necessaris. Tamb\u00e9 \u00e9s necess\u00e0ria la seva correcta implantaci\u00f3 i utilitzaci\u00f3 apropiades, de manera que el responsable del tractament tamb\u00e9 respondr\u00e0 per la manca de dilig\u00e8ncia en la seva utilitzaci\u00f3.<\/p>\n\n\n\n
L\u2019encarregat de tractament haur\u00e0 d\u2019adoptar les mesures t\u00e8cniques i organitzatives necess\u00e0ries per garantir la seguretat de les dades de car\u00e0cter personal, aix\u00f2 amb independ\u00e8ncia de que el sistema li vingui imposat \u00edntegrament pel responsable. L\u2019encarregat de tractament haur\u00e0 d\u2019avaluar tamb\u00e9 les eines proporcionades o imposades pel responsable, haur\u00e0 de detectar si el sistema no disposa de les mesures adequades i, en cas de que aix\u00ed sigui, haur\u00e0 d\u2019abstenir-se d\u2019utilitzar-lo o buscar o promoure alternatives.<\/p>\n\n\n\n
Per \u00faltim, es pronuncia sobre la necessitat d\u2019implantar el sistema de doble opt-in (i.e. correus electr\u00f2nics, tel\u00e8fon,\u2026), com a mitj\u00e0 per comprovar que la informaci\u00f3 recollida \u00e9s correcta i vera\u00e7, ja que en cas de no estar s\u2019estaria incomplint les mesures de seguretat com una obligaci\u00f3 de mitjans en els termes establerts per la regulaci\u00f3.<\/p>\n","protected":false},"author":3,"featured_media":10747,"menu_order":0,"template":"","meta":{"_acf_changed":false,"inline_featured_image":false},"etiqueta":[],"tipus":[105],"topic":[17],"class_list":["post-13730","noticia","type-noticia","status-publish","has-post-thumbnail","hentry","tipus-dpd-salut","topic-dpd"],"acf":{"autor":"Lluis Sabat\u00e9","textos_destacats":[{"texte":"La sufici\u00e8ncia de les mesures de seguretat que el responsable ha d\u2019establir ha de posar-se en relaci\u00f3 amb l\u2019estat de la tecnologia en cada moment i el nivell de protecci\u00f3 requerit en relaci\u00f3 amb les dades personals tractades"}]},"yoast_head":"\n