La reclamante contrató los servicios fiscales de la ahora reclamada para solucionar una reclamación ante la Agencia Tributaria. Transcurrido el tiempo y ante la respuesta de la Agencia Tributaria, la reclamante solicitó a la reclamada los justificantes de las gestiones y los documentos presentados ante dicho organismo.

La parte reclamada le facilitó lo que califica como un justificante falso en el que constan los datos de otro cliente y no los suyos, quedando acreditado que en el recibo de presentación aportado por la reclamante consta el correspondiente a un documento electrónico emitido por la Agencia Tributaria, en referencia a otro expediente y a otro administrado.

La AEPD considera que en el presente caso se ha vulnerado el art. 5.1.f) RGPD, pues consta que los datos personales de otro cliente, obrantes en la base de datos de la parte reclamada, fueron indebidamente expuestos a la parte reclamante.

Además, existe una vulneración del art. 32 RGPD, ya que, en el momento de producirse la brecha, las medidas de seguridad que disponía la parte reclamada eran del todo insuficientes para garantizar la confidencialidad, de los datos personales de los clientes.

Así, se ha facilitado el acceso a los datos personales y financieros de otro cliente, haciendo constar en el recibo de presentación de documentos ante la Agencia Tributaria, en referencia a otro expediente y a otro administrado, constando los datos personales del mismo.

Esto evidencia que no se disponían de las medidas adecuadas para garantizar la confidencialidad, integridad y disponibilidad de los sistemas y servicios del tratamiento.

Por tanto, impone a la reclamada una sanción de 2.000 euros por infracción del art. 5 y de 1.000 euros por infracción del art. 32 RGPD, y requiere a la reclamada a que implante, en el plazo de tres meses, las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, que impidan que en el futuro se repitan hechos similares, así como que informe a la Agencia en el mismo plazo sobre las medidas adoptadas.

Resolución AEPD 6 junio 2023 PS-00475-2022