En l'àmbit de la protecció de dades i, en general, del compliment normatiu, solem pensar en termes de mesures tècniques i organitzatives, eines tecnològiques o protocols d'actuació. No obstant això, una i altra vegada la realitat de les organitzacions ens recorda que l'eslòbó més feble de la cadena no sempre és organitzatiu o tecnològic, sinó l'human.
Recentment, una resolució de l'Agència Espanyola de Protecció de Dades ha tornat a situar el focus en aquesta realitat. Fins i tot quan una organització disposa de polítiques internes i eines de seguretat, un sol error humà pot desencadenar una vulneració del Reglament General de Protecció de Dades, no per mala fe, desconeixement o desobediència, sinó simplement perquè el factor humà, per la seva pròpia naturalesa, no és infal·lible.
El risc de l’error humà i les sancions de l’AEPD
En aquesta ocasió, l'AEPD ha considerat que l'enviament de credencials d'accés en text pla a través d'un correu electrònic no xifrat constitueix una bretxa de seguretat i una infracció del RGPD, que obliga a garantir un nivell de seguretat adequat al risc. Tot i que l'empleat responsable de l'enviament ho va fer per error i no hi va haver indicis d'accés per tercers, la qüestió no canvia, si el sistema permet que un simple descuit pugui exposar dades, llavors el sistema no és suficient. La conseqüència va ser una sanció per incompliment de la normativa de privacitatEn entendre l'autoritat de control que el risc derivat de l'error humà havia d'haver estat previst i gestionat per l'organització.
Responsabilitat de l’empresa davant les accions de l’empleat
Aquesta reflexió planteja una doble interrogant: Fins a quin punt l'error d'un empleat pot exonerar l'organització? Fins on arriba la seva responsabilitat?
El RGPD estableix que els empleats que manejan dades personals ho fan sota l’autoritat l’empresa i només seguint les seves instruccions. Dit d'una altra manera, el treballador no és el responsable del tractament de les dades.
Quan l’empleat assumeix la responsabilitat del tractament
No obstant això, en una recent resolució, l'autoritat de control adopta un concepte ampli del terme “responsable”. Això vol dir que, en escenaris en els que un empleat utilitza les dades per a fins propis, actua al marge de les seves funcions, accedeix a informació sense justificació o ignora deliberadament els protocols interns, ja no es pot entendre que actua sota l'autoritat de l'empresa. En aquests casos, l’empleat pot ser considerat responsable del tractament de les dades per si mateix, però sempre i quan l'organització hagi establert mesures raonables per evitar aquest tipus de conductes.
Aquesta distinció és crucial perquè determina no només l'abast de la responsabilitat administrativa, sinó també l’eventual responsabilitat civil o fins i tot penal segons la gravetat de l'actuació.
Implicacions laborals: del tractament indegut a l’acomiadament disciplinari
I en el pla laboral, pot un tractament indegut justificar un acomiadament? Un tractament indegut pot constituir una transgressió de la bona fe contractual i, en determinats casos, justificar un acomiadament disciplinari. I així ho confirma la recent jurisprudència.
El Tribunal Superior de Justícia d'Agenrea (STSJ d'Aparadorisme 18059/2025) ha declarat procedent l'assortiment disciplinari d'un treballador que ha enviat sense xifrar fitxers PDF amb informació especialment sensible. El Tribunal va concloure que:
- Existien protocols interns clars sobre com manejar aquesta informació.
- El treballador ha rebut formació específica.
- El tractament indegut va suposar una fallida absoluta de la bona fe contractual i va generar un risc real per als drets de tercers.
- La negligència va ser greu i no excusable, per la qual cosa l'empresa estava legitimada per aplicar la sanció més severa.
Aquest pronunciament reforça que, si l'organització acredita que ha complert les seves obligacions relatives a informació, instruccions, mesures tècniques i organitzatives, un tractament indegut pot tenir conseqüències disciplinàries, inclosa l'extinció contractual.
Cap a una cultura de compliment preventiu
Les resolucions més recents deixen un missatge clar, les organitzacions no s'han de limitar a reaccionar, sinó anticipar.
El compliment normatiu no és un document ni un programari, sinó una cultura. I aquesta cultura s'ha de construir sobre la formació contínua del personal de l’empresa, la implantació de controls preventius, el disseny de procediments que dificultin l'error i l'existència de polítiques i protocols clars i efectivament aplicables.
En un context en què cada incident pot suposar un risc jurídic, econòmic i reputacional, la gestió del factor humà passa a ser una peça central del compliment normatiu. En qualsevol cas, l'error humà mai desapareixerà, però el seu impacte sí pot mitigar-se.
David Moldes Marty
Advocat.
Saber més de David
