La Audiencia Nacional confirma la multa a la ANC por no proteger los datos de sus asociados

La Audiencia Nacional ha confirmado la sanción administrativa de 40.000 euros impuesta a la Assemblea Nacional Catalana (ANC) por no proteger debidamente los datos personales de 53.818 de sus afiliados y simpatizantes, que acabaron en manos de hackers y fueron publicados en las redes sociales en el mes de abril de 2014. La entidad soberanista, presidida entonces por Carme Forcadell, descuidó información especialmente protegida por la ley, como la ideología, la afiliación sindical y las creencias, así como otra referida a identidad personal, direcciones y datos económicos y financieros. El tribunal ha multado, además, a la ANC con 200.000 euros por vulnerar la ley de protección de datos con la llamada Gigaencuesta para la consulta ilegal del 9 de noviembre de 2014, un sondeo por el que ya ha sido sancionada la otra gran organización civil independentista organizadora, Òmnium Cultural.

La sentencia, de la Sala de lo Contencioso-Administrativo, confirma las dos multas que la Agencia Española de Protección de Datos impuso a la ANC. El fallo explica que, en abril de 2014, la entidad preparó un fichero con datos de todos sus asociados para preparar la asamblea general que iba a celebrar en Tarragona. A partir de este fichero, en septiembre del mismo año, el grupo autodenominado Anonymous Cataluña publicó, en su perfil de Facebook, un conjunto de datos de socios de la ANC, como los números de asociado, nombres y apellidos, DNI, correos electrónicos, tipologías de socio y, en su caso, deudas con la entidad.

La ANC, tras conocer la filtración, interpuso una denuncia en la que ponía de manifiesto que el acceso a los datos pudo producirse a través del archivo del censo de socios utilizado para preparar la Asamblea General del mes de abril de 2014. Este archivo fue borrado una vez terminada la reunión del máximo órgano de la entidad. La ANC solicitó a Facebook y a Wikisend, la plataforma encriptada con la que fueron trasladados los datos, la retirada de los ficheros publicados de manera ilícita.

Para los magistrados ha quedado probada la falta de medidas de seguridad adecuada para garantizar la seguridad de los datos personales contenidos en el fichero creado para la gestión de la asamblea de la ANC. La aplicación web, puesta a disposición de los asociados para esa asamblea, permitía acceder al fichero mediante el número de DNI, sin ningún tipo de contraseña. Esa falta de medidas de seguridad, asegura la sentencia de la Audiencia, posibilitó que un tercero no identificado accediera al perfil de los 53.818 asociados registrados en el momento del acceso, y obtuviera los datos personales.

En la misma sentencia, la Audiencia Nacional ha confirmado otra sanción de 200.000 euros por infracción muy grave, que la Agencia Española de Protección de Datos impuso en abril de 2016 a la ANC —al igual que a Òmnium Cultural— por llevar a cabo una encuesta por toda Cataluña sobre la independencia. Este sondeo, por la forma en que se realizó y en que se trataron los datos, permitía potencialmente identificar personalmente a partidarios o contrarios a la secesión. Las entidades soberanistas realizaron la llamada Gigaencuesta entre octubre y noviembre de 2014, en plena campaña Ara és l’Hora (Ahora es la Hora) de movilización para la consulta soberanista del 9 de noviembre de 2014, que organizó la Generalitat pese a la prohibición del Tribunal Constitucional.