La Agencia española de Protección de Datos ha sancionado recientemente a dos cadenas de tiendas por incumplimiento de sus obligaciones en materia de seguridad. En ambos casos, se pusieron a la venta dispositivos (un disco duro y un teléfono móvil) que contenían datos de carácter personal pertenecientes a anteriores usuarios de los mismos. Las entidades sancionadas disponían de procedimientos para evitar que esto sucediera, pero probablemente fallaron al ser aplicados por el personal. La existencia de un documento de seguridad y de políticas para asegurar el borrador de equipos y terminales devueltos sirvió para reducir la multa impuesta, pero no para evitar la sanción.
Las brechas de seguridad no siempre son resultado de ciberataques promovidos por grupos de hackers. La adecuada formación de los empleados y la auditoría continua de los procesos que implican tratamiento de datos personales resultan aspectos claves que permiten evitar situaciones como las analizadas en estas resoluciones.