Introducción(

La Dirección Nacional de Protección de Datos Personales de la Agencia de Acceso a la Información Pública (en adelante, la “AAIP”) sancionó a Cencosud S.A. (en adelante, Cencosud”) por incumplimiento del deber de seguridad previsto en el artículo 9 (1) de la Ley 25.326 (en adelante, la “LPDP”).

Las actuaciones que dieron lugar a la multa fueron iniciadas de oficio por la AAIP por haber tomado conocimiento -a través de hechos públicos- de una vulneración de seguridad en los sistemas informáticos de Cencosud que podría haber ocasionado una filtración masiva de datos personales de titulares de datos argentinos.

Procedimiento Administrativo

La AAIP intimó a Cencosud para que un plazo de 10 días hábiles informe: (i) si existió el incidente de seguridad y, en caso afirmativo, detalle las vulnerabilidades, las medidas adoptadas para su mitigación y las medidas adoptadas para evitar futuros incidentes; (ii) si existió una filtración de datos personales y, en caso afirmativo, confirme desde cuándo tenía conocimiento, qué medidas se adoptaron, la cantidad de datos comprometidos y si notificó tal circunstancia a los titulares de datos personales; (iii) las medidas técnicas y organizativas implementadas para garantizar la seguridad y confidencialidad de los datos personales en los términos del artículo 9 de la LPDP y la Resolución AAIP 47/2018; y (iv) la existencia de procesos judiciales en relación a esta cuestión.

Cencosud respondió la intimación e informó que fue objeto de un malware (2) que afectó levemente la infraestructura argentina, no habiendo comprometido las operaciones y explicó las medidas tomadas frente a dicha situación. Pero no especificó en qué consistieron las vulneraciones.

La AAIP consideró que la respuesta de Cencosud fue insuficiente ya que no detalló las medidas técnicas y organizativas implementadas (ni preventivas ni correctivas) ni tampoco desarrolló un plan de contingencia para la prevención y gestión para este tipo de incidentes. Asimismo, la AAIP entendió que Cencosud no respondió concretamente si, a raíz del incidente, existió una filtración de datos personales y si el incidente fue comunicado a sus clientes.

Posteriormente, la AAIP tomó conocimiento -a través de hechos públicos- que varios clientes de Cencosud habrían recibidos correos electrónicos fraudulentos informando que ciertas compras que habían realizado en empresas del Grupo Cencosud no habían podido ser procesadas y que, en consecuencia, era necesario informar ciertos datos personales incluyendo una imagen de su tarjeta de crédito y número de DNI.

Frente a dicha situación la AAIP labró un acta de constatación verificando las siguientes infracciones: (i) 2 infracciones graves por “mantener bases de datos locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, por la conducta de Cencosud de no haber tomado las medidas técnicas y organizativas preventivas y correctivas necesarias para garantizar el principio de seguridad en su organización; (ii) 2 infracciones muy graves por “tratar los datos de carácter personal en forma ilegítima o con menosprecio de los principios y garantías establecidos en Ley No 25.326 y normas reglamentarias”, por no haber comunicado a sus clientes titulares de datos que podían ser víctimas de filtraciones de datos personales por el incidente de seguridad sufrido en su organización.

Si bien Cencosud contestó la notificación del acta de constatación y destacó que no se habrían comprometido datos personales de clientes, la AAIP consideró que lo consultado inicialmente no fue respondido y que tampoco se probó -con prueba idónea- que los datos personales de los clientes no fueron comprometidos ni qué medidas se tomaron para ello.

En consecuencia, la AAIP concluyó que los incidentes de seguridad pusieron en riesgo la protección de los datos personales de los titulares de datos y que Cencosud, como responsable del tratamiento, debió haber reportado proactivamente a los usuarios afectados para que éstos pudieran estar prevenidos de posibles maniobras y/o pudieran ejercer sus derechos en el marco de LPDP.

Por esos motivos, sancionó a Cencosud con una multa de $290.000.

El principio de seguridad y la obligación de comunicar vulneraciones de seguridad

La República Argentina tiene un sistema completo y complejo en materia de protección de datos personales que se plasmó en la LPDP y que, principalmente, sigue al sistema europeo.

El sistema europeo es un sistema altamente regulado y se plasma a través del Reglamento General de Protección de Datos Personales (en adelante, el “GDPR”) (3). El GDPR englobó a todos los países de la Unión Europea y unificó, por tanto, los derechos y obligaciones en materia de protección de datos personales en toda la región.

La entrada en vigencia del GDPR marcó un hito importante en materia de datos personales porque incorporó la idea responsabilidad proactiva. El principio de responsabilidad proactiva es un concepto vinculado a la figura del responsable del tratamiento de datos personales, a través del cual se establece que es el propio responsable quien, además de cumplir con la normativa, debe garantizar y demostrar ante la autoridad de aplicación que cumple con la normativa y cómo la aplica. Es decir, demostrar una actitud proactiva y diligente para proteger los datos personales que trata y, en consecuencia, la privacidad de sus titulares.

Una de las obligaciones que prevé el GDPR -pensada dentro de este concepto de “responsabilidad proactiva- es la notificación de vulneraciones de seguridad: los responsables del tratamiento deberán informarlo al órgano de aplicación (conforme artículo 33) (4) y al interesado cuando la violación de seguridad pudiera entrañar un riesgo para sus derechos y libertades (conforme artículo 34) (5).

Por su parte, la LPDP fue sancionada en el año 2000 -y reglamentada en el año 2001 a través del Decreto Reglamentario 1558/01- y desde entonces no fue modificada sustancialmente (6). Al momento de dictarse la LPDP el paradigma que regía en materia de datos personales era el de autodeterminación informativa, es decir, la facultad de todas las personas de ejercer control sobre su información personal. Por lo tanto, si bien la LPDP sigue el modelo europeo, en la actualidad, está desactualizada.

La LPDP establece una serie de conceptos -presupuesto básico para que opere este marco de protección- y un conjunto de reglas y principios que permiten que los individuos tengan un cierto control sobre sus datos personales (7). Uno de dichos principios, es el principio de seguridad (8).

Este principio postula que quien tenga una base de datos debe adoptar las medidas técnicas y organizativas que resulten necesarias para garantizar la seguridad y confidencialidad de los datos personales, de modo de evitar su adulteración, pérdida, consulta o tratamiento no autorizado, y que permitan detectar desviaciones, intencionales o no, de información, ya sea que los riesgos provengan de la acción humana o del medio técnico utilizado (9).

Como puede advertirse, la LPDP no establece cuáles son las medidas de seguridad recomendadas y tampoco establece la obligación de notificación de incidentes de seguridad.

Con posterioridad a la entrada en vigencia del GDPR, en el marco del XV Encuentro Iberoamericano de Protección de Datos, la Red Iberoamericana de Protección de Datos (10) aprobó los “Estándares de Protección de Datos de los Estados Iberoamericanos” (en adelante, los “Estándares Iberoamericanos”).

El objetivo principal de los Estándares Iberoamericanos consiste en establecer un conjunto de principios y derechos comunes de protección de datos personales que los Estados Iberoamericanos puedan adoptar y desarrollar en su legislación nacional, con la finalidad de contar con reglas homogéneas en la región. Y, en el artículo 22.1. de dicho documento se establece que: “Cuando el responsable tenga conocimiento de una vulneración de seguridad de datos personales ocurrida en cualquier fase del tratamiento, entendida como cualquier daño, pérdida, alteración, destrucción, acceso, y en general, cualquier uso ilícito o no autorizado de los datos personales aun cuando ocurra de manera accidental, notificará a la autoridad de control y a los titulares afectados dicho acontecimiento, sin dilación alguna (11)”.

Asimismo, en los Estándares Iberoamericanos se describe el contenido mínimo de dichas notificaciones: (a) La naturaleza del incidente; (b) Los datos personales comprometidos; (c) Las acciones correctivas realizadas de forma inmediata; (d) Las recomendaciones al titular sobre las medidas que éste pueda adoptar para proteger sus intereses; y (e) Los medios disponibles al titular para obtener mayor información al respecto (12). Asimismo, el responsable deberá documentar toda vulneración de seguridad de los datos personales ocurrida en cualquier fase del tratamiento, identificando, de manera enunciativa: la fecha en que ocurrió; el motivo de la vulneración; los hechos relacionados con ella y sus efectos y las medidas correctivas implementadas de forma inmediata y definitiva, la cual estará a disposición de la autoridad de control (13).

Finalmente, los Estándares Iberoamericanos establecen que la legislación nacional de los Estados Iberoamericanos establecerá los efectos de las notificaciones de vulneraciones de seguridad que realice el responsable a la autoridad de control, en lo que se refiere a los procedimientos, forma y condiciones de su intervención, con el propósito del salvaguardar los intereses, derechos y libertades de los titulares afectados.

En este punto del análisis, es importante tener presente que los Estándares Iberoamericanos son directrices orientadoras -no son de aplicación obligatoria- con la finalidad de contribuir a la modernización y actualización de las legislaciones existentes, favoreciendo la adopción de un marco regulatorio armonizado que ofrezca un nivel adecuado de protección y garantizando, a su vez, el desarrollo comercial y económico de la región.

Luego de la aprobación de los Estándares Iberoamericanos, en el año 2018, la AAIP dictó la Resolución 47/2018 (14) que estableció ciertas medidas de seguridad recomendadas, no obligatorias, para el tratamiento y conservación de datos personales en medios informatizados y en medios no informatizados. El objetivo del dictado de dicha Resolución fue facilitar el cumplimiento de la LPDP en relación con los deberes de seguridad del artículo 9. Por lo tanto, contiene ciertas directrices o recomendaciones que orientan a los responsables del tratamiento a cumplir con su deber de seguridad.

Dicha Resolución contiene, además, previsiones específicas para la gestión de vulnerabilidades y los incidentes de seguridad.

En relación a la gestión de vulnerabilidades establece una serie de acciones -preventivas y correctivas- que aconseja realizar con la finalidad de que pueda identificarse, analizarse, evaluarse y corregirse cualquier vulnerabilidad de los sistemas informáticos que traten datos personales aplicando siempre técnicas que garanticen la integridad, registro, trazabilidad y verificación.

Por otro lado, y en relación a los incidentes de seguridad y sus consecuencias, describe una serie de acciones tendientes a detectar, detener, evaluar y contener el hecho a fin de evitar el escalamiento y lograr la corregir el entorno técnico y operativo. Dentro de las acciones recomendadas se prevé la notificación de dichos incidentes a la AAIP junto con el envío de un informe que contenga, como mínimo, la siguiente información: la naturaleza de la información, la categoría de datos personales afectados, la identificación de los usuarios afectados, y las medidas adoptadas para mitigar el incidente.

Como puede apreciarse, los Estándares Iberoamericanos y la Resolución 47/2018 están alineados con el GDPR. Y es en estas dos normas que la AAIP fundó la sanción a Cencosud que analizamos en el presente.

En este contexto, y en relación a la sanción impuesta por la falta de comunicación a sus clientes de la vulneración de seguridad y de la posibilidad de que hubieran sido víctimas de una filtración de datos, hay que destacar que no existe una obligación normativa en Argentina en tal sentido. La única fundamentación podría surgir de los Estándares Iberoamericanos, que no son de cumplimiento obligatorio, o de alegar que el responsable del tratamiento no actuó bajo un criterio de responsabilidad proactiva frente a lo ocurrido.

Sin perjuicio de ello, también hay que tener presente que, según indica la propia AAIP, las vulneraciones de seguridad sufridas por Cencosud fueron de conocimiento público. Por lo tanto, del mismo modo que la AAIP se enteró a través de medios de comunicación podría entenderse que lo hicieron los clientes de Cencosud.

Habrá que esperar la resolución judicial para tener precisiones sobre el tema, pero es momento de comenzar a pensar hasta dónde puede aplicarse el criterio de responsabilidad proactiva en la República Argentina mientras no se actualice la LPDP. Y, por otro lado y centrándonos en el tema de la presente sanción, comenzar a pensar cómo deberían comunicarse a los titulares de datos personales las vulneraciones de seguridad masivas.