Brechas de Seguridad en las empresas

El TS delimita la responsabilidad de las empresas ante la existencia de brechas de seguridad

El alto Tribunal establece y acota el deber de diligencia, y el control de la efectividad de las políticas de seguridad.

La publicación de la reciente Sentencia dictada por el Tribunal Supremo, Sentencia núm. 188/2022, de 15 de febrero (JUR/2022/78935), ha sido recibida con una gran expectación, ante la influencia que su contenido y pronunciamientos pueden tener en los futuros criterios que sean adoptados por la Agencia de Protección de Datos (AEPD), y la Audiencia Nacional sobre brechas de seguridad.

La incertidumbre generada en distintos posicionamientos de la AEPD, ha conllevado que el empresario que cumple escrupulosamente con la normativa, que ha adoptado controles periódicos y aplica las medidas de seguridad técnicas y organizativas en función del riesgo, ante circunstancias ajenas a su control que pudieran provocar una brecha de seguridad, pudiera sufrir un resultado lesivo y por tanto la imposición de una muy importante sanción.

La Sala confirma una sanción de 40.000 € impuesta por la Agencia de Protección de Datos, a una empresa distribuidora de productos de telefonía, como responsable de una infracción grave, que fue confirmada a su vez por la Audiencia Nacional, y lo que es más importante, entra en profundidad a analizar el fondo de la cuestión jurídica planteada, razonando si las medidas de seguridad, son una obligación de medios o una obligación de resultado.

• En la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad cualquiera que sea la causa y la diligencia utilizada. En la obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas con una diligencia razonable de conformidad con la tecnología con que se cuente en cada momento.

La Sala en su Fundamentación Jurídica (Tercera, Cuarta y Quinta), establece una serie de consideraciones y pronunciamientos de gran transcendencia práctica y jurídica, que destacamos en el siguiente documento así como las conclusiones:

En definitiva, tal y como puede interpretarse de esta resolución, los riesgos se expanden entre los diferentes negocios y tecnologías, obligando a las compañías a ir un paso adelante, replanteándose las tecnologías actuales y llevando a cabo enfoques diligentes, ágiles, que entiendan la seguridad desde una óptica viva y cambiante, no confiando en paradigmas de seguridad estáticos y establecidos.