La respuesta es SÍ, por ello vamos a analizar una reciente resolución de la AEPD en la que se sanciona a la empresa de desarrollo en la cantidad de 50.000 euros, por entender la Autoridad competente que existió “Negligencia en la infracción (artículo 83.2.b) del RGPD). Debe considerarse especialmente grave la negligencia cometida en la producción de la brecha. En primer lugar, por tratarse de la vulneración de instrucciones que se encontraban expresamente establecidas como medidas de seguridad en el contrato de encargo”.
Los hechos probados parten del robo de la base de datos por un ciberdelincuente y el envío al Responsable del tratamiento de un correo electrónico donde se publica en un foro los datos comprometidos. Ante la gravedad de tales hechos la empresa encarga un análisis forense para detectar cual ha sido el origen de la brecha de privacidad.
En el objeto del contrato del desarrollo de software, consta expresamente el servicio prestado y las obligaciones que tiene el desarrollador como Encargado de tratamiento, en cuanto al tratamiento de los datos del cliente.
La AEPD entiende que la empresa desarrolladora de software “… realiza esta actividad en su condición de encargado del tratamiento, dado que trata los datos personales por cuenta del responsable del tratamiento ***EMPRESA.1 en virtud del artículo 4.8 del RGPD”.
En este mismo sentido, continua la Resolución aludiendo a que “Es posible exigir responsabilidad o sancionar a un encargado cuando no cumpla con dichas obligaciones o actúe al margen o en contra de las instrucciones legales del responsable […] 150. Si un encargado del tratamiento infringe el Reglamentoal determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento (artículo 28, apartado 10, del RGPD)”.
La Agencia especial mención en cuanto al tratamiento de un dato que podría entenderse básico, como es el número del DNI, sin embargo, la Autoridad se postula en que esta categoría de datos:
“… permite considerar el número del DNI como un dato particularmente sensible, atendiendo a su capacidad de provocar perjuicios significativos en caso de uso no autorizado”.
Del estudio de la Resolución se deduce la importancia de firmar contratos profesionales de prestación de servicio, en el que se cubra el objeto del desarrollo, así como las obligaciones en materia de protección de datos. Por ello desde el despacho de abogados TECNOGADOS especialistas en derecho tecnológico, protección de datos y ciberseguridad, ayudamos a los desarrolladores a cubrir sus necesidades y obligaciones legales.
