Guardadas en una furgoneta en la calle: Multan a una empresa a la que robaron datos de presos

BarcelonaLa Autoridad Catalana de Protección de Datos (APDCAT) ha sancionado a la empresa Clece Seguridad con 96.004 euros por no haber tomado medidas suficientes para preservar la información crítica sobre el sistema penitenciario que trata por encargo del departamento de Justicia. En concreto, esta empresa se ocupa del servicio de monitorización, seguimiento y vigilancia remota de los presos que están en libertad vigilada y que llevan una pulsera telemática que los geolocaliza. A la empresa le sustrajeron documentos sobre la instalación de estas pulseras en agosto del 2022, cuando los papeles pasaron toda una noche en una furgoneta en un parking de arena. La empresa denunció el robo al día siguiente, pero no alertó al departamento del robo de información.

De hecho, Justicia no se enteró del caso hasta el mes de noviembre, tres meses después. Y no fue porque Clece Seguridad se lo comunicara, sino que fueron los Mossos d'Esquadra. Tal y como recoge el expediente de la APDCAT que ha consultado el ARA, la policía recuperó los documentos durante una operación policial ordinaria. Había documentación, en soporte físico, de la instalación de las pulseras GPS, que incluye nombre y apellidos, DNI y firma manuscrita del interno, además del lugar en el que se colocó la pulsera y la cárcel donde había sido tomado. Los Mossos también recuperaron dos pulseras de seguimiento telemático sin ningún dato personal grabado.

A partir del aviso de los Mossos, el departamento inició una investigación interna. Según alegó la empresa ante la APDCAT, al día siguiente de denunciar el robo recibieron una llamada de la Policía Local de Premià de Dalt indicándoles que se había "recuperado lo sustraído", por lo que la empresa "dio el tema por cerrado".

Dos infracciones

Clece Seguridad sigue prestando este servicio para Justicia y mantiene en vigor el mismo contrato que ya tenía en el momento del robo. Fuentes del departamento consultadas por el ARA defienden que el incidente "no fue por mala gestión" de la empresa, sino porque "un empleado actuó mal". Se refieren al técnico de Clece Seguridad que el 15 de agosto de 2022 sacó de la empresa dos pulseras y las hojas de instalación para poder realizar, al día siguiente, el servicio de cambio y desinstalación de equipos. El trabajador dejó el material dentro de su furgoneta durante toda la noche, en un aparcamiento público y sin vigilancia, y se fue a casa. Al día siguiente a las nueve de la mañana, cuando regresó a la furgoneta, constató el robo y lo denunció.

Por todo ello, la APDCAT ha sancionado a la empresa por dos infracciones de la ley de protección de datos personales tratadas con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. Una infracción se debe a la ausencia de medidas técnicas y organizativas para proteger los datos, y la otra es por incumplimiento de las estipulaciones recogidas en el contrato, que incluían el deber de informar en un máximo de 24 horas de cualquier violación de la seguridad de los datos. Ambas sanciones suman 96.004 euros, y la empresa ya les ha pagado.