← España

A-00082-2013

1/15 Procedimiento Nº: A/00082/2013 RESOLUCIÓN: R/01482/2013 En el procedimiento A/00082/2013, instruido por la Agencia Española de Protección de Datos a la entidad EDOMESTICO, S.L., vistas las denuncias presentadas, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9 de julio de 2012 se recibe en el registro de la Agencia Española de Protección de Datos escrito del denunciante 1, cuya identidad consta en el Anexo a este acuerdo, en el que manifiesta que, a través de una búsqueda en Internet, su curriculum aparece publicado y disponible a terceros desde la página de empleo E-DOMESTICO. Con fecha 7 de septiembre de 2012 se recibe en la Agencia un escrito del Grupo de Delitos Telemáticos de la Guardia Civil en el que expone que diversos usuarios de internet han puesto en conocimiento de este Grupo que en la web http://www.edomestico.com se están publicando currículos que son accesibles a través de Google. El Grupo de Delitos Telemáticos de la Guardia Civil manifiesta que han verificado que dicha web dispone de gran cantidad de registros personales abiertos a cualquier persona que acceda a la web sin necesidad de registrarse. Asimismo, se puede acceder a los datos personales y profesionales y descargar el curriculum vitae. El Grupo de Delitos Telemáticos de la Guardia Civil manifiesta que han verificado que en la web existe un formulario para el registro de datos, el cual permite, además, subir a dicha página el curriculum del interesado, no obstante, en la web no se informa a los usuarios de que sus datos serán expuestos públicamente ni se informa de los derechos ARCO y el procedimiento para ejercitarlos. También manifiestan que en el Registro General de Protección de Datos no figura inscrito ningún fichero de la entidad EDOMESTICO, S.L. El Grupo de Delitos Telemáticos de la Guardia Civil aportó la captura de pantalla de una de la fichas personales que figuran en la web y el currículum asociado a la misma, con detalle de sus datos personales relativos a nombre, apellidos, NIE, lugar y fecha de nacimiento, dirección, correo electrónico, teléfono e información profesional, además de una fotografía; copia impresa del formulario de registro que figura en la web; y de la “Información legal” insertada en la web, que contiene, entre otras, las siguientes indicaciones: “La finalidad de Edomestico.com es la de proporcionar una plataforma que permita el encuentro entre candidatos y contratantes en un entorno on line. En este sentido, permite a los contratantes el acceso a la base de datos de candidatos registrados en EDOMESTICO SL de acuerdo con el nivel de privacidad seleccionado por cada candidato” “EDOMESTICO no se hace responsable de los datos que publique el usuario siendo este último responsable de la información que publique en su perfil y del grado de seguridad que a este le asigne”. “EDOMESTICO cumple todas las normas legales de protección de datos que sean aplicables y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 establece mecanismos y procedimientos de seguridad para la gestión de los datos de los usuarios”. “… ha adoptado las medidas de índole técnica y organizativas reglamentariamente establecidas, que garantizan la seguridad de los datos de carácter personal y evitan su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a los que están expuestos…”. “Responsable del fichero y tratamiento de los datos: EDOMESTICO, S.L.”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de los siguientes extremos, que constan detallados en el Informe de Actuaciones Previas elaborado: 1. Tal y como consta en la documentación remitida por el Grupo de Delitos Telemáticos de la Guardia Civil, en la impresión de pantalla del sitio web edomestico.com figuran los datos personales de: nombre y apellidos, edad, nacionalidad, localidad, provincia y país así como referencias a las preferencias de trabajo y una fotografía. En el curriculum obtenido a través de la web constan además los datos de: DNI/NIE, fecha de nacimiento, dirección postal, dirección de correo electrónico y teléfono así como los datos de: formación, conocimientos y experiencia laboral. 2. En fecha 12 de julio de 2012, desde la Inspección de Datos se realizó una consulta en el buscador Google con el nombre y apellidos del denunciante 1, obteniendo una referencia a la web userimg.edomestico.com (..................), la cual permite acceder e imprimir el curriculum del denunciante. 3. En fecha 16 de julio y 28 de septiembre de de 2012, desde la Inspección de Datos se ha realizado la consulta “userimg edomestico.com” en el buscador Google obteniendo referencias a la dirección usering.edomestico.com y el acceso a currículos. 4. En fecha 28 de septiembre y 8 de noviembre de 2012, desde la Inspección de datos, se realiza una consulta a la web www.edomestico.com comprobando que constan varios registros de datos de personas con su nombre y apellidos, edad, ciudad y tipo de empleo solicitado, así como fotografías de los solicitantes. 5. En fecha 2 de noviembre de 2012, desde la Inspección de Datos se ha realizado la consulta “edomestico” en el buscador Google obteniendo una referencia a la dirección edomestico.com donde figura el siguiente literal “No hay disponible una descripción de este resultado debido al archivo robots.txt de este sitio”. 6. En fecha 8 de abril de 2013, desde la Inspección de Datos se ha realizado la consulta “edomestico” en el buscador Google no obteniendo referencias a edomestico.com. 7. En fecha 8 de abril de 2013, desde la Inspección de Datos, se realiza una búsqueda a través de Google utilizando como argumento “site:edomestico.com (nombre y primer apellido del denunciante 1)” verificando que no se obtiene información al respecto. Tal y como consta en el Acta de Inspección E/4944/2012-I/1 realizada con fecha 13 de noviembre de 2012: 1. EDOMESTICO, S.L. manifiesta que la web www.edomestico.com tiene como finalidad servir de plataforma para la búsqueda de empleo poniendo en contacto a demandantes con personas o entidades que ofertan puestos de trabajo. 2. Por este motivo, y considerando que cuanta más publicidad se proporcione a los demandantes de empleo más facilidad se tendrá para encontrar un puesto de trabajo, la filosofía de la web es considerarla como de acceso público sin restricciones y además, que sea susceptible de indexación por parte de los buscadores de los datos personales de los candidatos allí disponibles. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 3. Los demandantes de empleo (CANDIDATOS) deben registrarse en el sitio web facilitando sus datos personales en el formulario disponible al efecto y además, pueden incluir un curriculum vitae en formato pdf y una fotografía. Antes de finalizar el registro, el candidato debe aceptar las condiciones de uso publicadas en el apartado de “Información Legal” de la web, el cual en los puntos 3 y 4 en relación con el consentimiento y la visibilidad de los datos del candidato consta textualmente: "El usuario manifiesta haber leído y aceptado expresamente la presente Política de Privacidad al registrarse en www.edomestico.com, otorgando su consentimiento inequívoco y expreso a Edomestico, S.L al tratamiento de los datos de acuerdo con las finalidades y servicios aquí reflejados. El usuario autoriza expresamente la cesión de sus datos a terceros para que Edomestico, S.L lleve a cabo las finalidades previstas en esta política de privacidad. En el caso de que el usuario facilite a Edomestico, S.L. datos personales de terceros, el usuario declara que dichos datos son veraces y que ha informado y ha solicitado el consentimiento a estos terceros, cuyos datos nos facilita, de que sus datos personales serán tratados por Edomestico, S.L. en los mismos términos que el usuario ha sido informado y prestado su consentimiento en la presente política de privacidad. Una vez registrado en el portal todos los datos personales y/o profesionales del usuario serán visibles para las empresas y particulares usuarios de Edomestico, S.L. para favorecer la búsqueda de candidatos que se adapten a sus diferentes procesos selectivos de empleo y ampliar a los usuarios las posibilidades de encontrar empleo. El acceso a los datos del usuario por parte de estas empresas se realizara de forma segura desde el portal de Edomestico, S.L. garantizando la confidencialidad de la información y con la única finalidad de la selección de personal”. Respecto de estas clausulas, consideran que usuario es toda la persona que accede o utiliza la pagina web, independientemente de si esta registrado o no. Además, toda persona que antes de registrarse acceda a la web puede comprobar que los datos de los candidatos son mostrados. 4. En relación con el responsable del fichero, en la web figura textualmente; “Edomestico, S.L. es titular de la base de datos y responsable de los ficheros creados a partir de la información, de carácter personal, suministrada por los usuarios, e inscritos en el Registro General de Protección de Datos. Edomestico. S.L. CIF: … Registro Mercantil de Madrid tomo… Domicilio social en la Calle…”. 5. EDOMESTICO SL manifiesta que en la fecha en que se realiza la Inspección se ha procedido a la solicitud de inscripción en el Registro General de Protección de Datos, de, entre otros, los ficheros de CANDIDATOS, donde se registran los datos personales de los demandantes de empleo y de CLIENTES donde se registran los datos personales de los ofertantes de empleo. A este respecto, en el registro General de Protección de Datos figuran inscritos con fecha 15/11/2012, los ficheros de: CANDIDATOS, con la finalidad “Fichero que contiene los datos de las personas que remiten su curriculum vitae a edomestico así como de los usuarios del portal de edomestico.com para la selección de personal” y fichero de CLIENTES, con la finalidad “Fichero que contiene los datos de las personas de contacto con los clientes y potenciales clientes de edomestico”. 6. EDOMESTICO SL manifiesta al respecto de la dirección userimg.edomestico.com que ha sido indexada por Google, en la que se hace referencia a datos personales y curriculares de candidatos registrados en la web, que dicha dirección se utiliza para almacenar los recursos estáticos, entre ellos, los currículos publicados por los candidatos en formato pdf y las fotografías. 7. EDOMESTICO SL manifiesta al respecto de la web nuevo.edomestico.com que ha sido indexada por Google que dicha dirección es interna de pruebas, y conocen que, en algunos momentos puntuales, ha sido indexada por Google y se encuentran en el proceso de realizar las acciones pertinentes para evitar dicha indexación. 8. EDOMESTICO SL manifiesta que, con motivo de haber recibido algún comentario en relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 con la indexación por Google de los currículos de los candidatos, han eliminado el acceso a los currículos a través de la web para evitar la indexación de buscadores como Google. Asimismo manifiestan que cuando algún candidato ha solicitado la eliminación de sus datos de currículo estos se han eliminado. 9. En relación con los contactos y reclamaciones del denunciante 1 ha obtenido constancia de que en la entidad constan dos correos del denunciante, el último de ellos de fecha 7 de junio de 2012, solicitando la eliminación de su currículo. En dicho correo, el denunciante manifestó lo siguiente: “… estoy interesado en dar de baja mi perfil en vuestra red, porque no llego a entender porque escribiendo mi nombre en internet, o cualquier otro internauta, tendría la capacidad de descargar mi currículum con foto y hasta en formato Word… He releído vuestra información legal, y estoy seguro que el poner a disposición de todo el mundo, tal información… no es legal”. 10. En el transcurso de la Inspección se realiza una búsqueda a través de Googe utilizando como argumento “site:edomestico.com… (nombre y primer apellido del denunciante 1)” verificando que consta una anotación a nombre del mismo y comprobando que al acceder el sistema devuelve un error, no obstante, en la cache de Google consta el currículo. TERCERO: Con fecha 20/05/2013, el Director de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), acordó someter a la entidad EDOMESTICO, S.L. a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD, en relación con los artículos 91 y 93 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la citada Ley Orgánica, tipificada como grave en el artículo 44.3.

  1. h)de la misma norma. Con tal motivo, se concedió a la entidad EDOMESTICO, S.L. plazo para formular alegaciones, que transcurre sin que en esta Agencia Española de Protección de Datos se haya recibido escrito alguno. HECHOS PROBADOS 1. La entidad EDOMESTICO, S.L. es responsable del sitio web http://www.edomestico.com. 2. El denunciante registró http://www.edomestico.com. sus datos personales y curriculares en la web 3. Con fecha 07/06/2012, el denunciante remitió a la entidad EDOMESTICO, S.L. un correo electrónico en el que indicó lo siguiente: “… estoy interesado en dar de baja mi perfil en vuestra red, porque no llego a entender porque escribiendo mi nombre en internet, o cualquier otro internauta, tendría la capacidad de descargar mi currículum con foto y hasta en formato Word… He releído vuestra información legal, y estoy seguro que el poner a disposición de todo el mundo, tal información… no es legal”. 4. Con fecha 09/07/2012, por el denunciante 1 se formuló denuncia ante la Agencia Española de Protección de Datos contra la entidad EDOMESTICO, S.L. por la divulgación de su currículum a través de la web http://www.edomestico.com, accesible a terceros mediante un buscador de internet. 5. Con fecha 07/09/2012, C/ Jorge Juan, 6 28001 – Madrid el Grupo de Delitos Telemáticos de la Guardia Civil puso en www.agpd.es sedeagpd.gob.es 5/15 conocimiento de la Agencia Española de Protección de Datos que en la web http://www.edomestico.com se publican currículos de gran cantidad de personas, con detalle de sus datos personales relativos a nombre, apellidos, NIE, lugar y fecha de nacimiento, dirección, correo electrónico, teléfono e información profesional, además de una fotografía; accesibles a terceros a través de Google sin necesidad de registrarse. Según consta en su informe, el Grupo de Delitos Telemáticos de la Guardia Civil verificó que la web http://www.edomestico.com tiene habilitado un formulario para el registro de datos que permite, además, subir a dicha página el curriculum del interesado. Añade que en la citada web no se informa a los usuarios que sus datos serán expuestos públicamente. El Grupo de Delitos Telemáticos de la Guardia Civil aportó copia impresa de la “Información legal” insertada en la web, que contiene, entre otras, las siguientes indicaciones: “La finalidad de Edomestico.com es la de proporcionar una plataforma que permita el encuentro entre candidatos y contratantes en un entorno on line. En este sentido, permite a los contratantes el acceso a la base de datos de candidatos registrados en EDOMESTICO SL de acuerdo con el nivel de privacidad seleccionado por cada candidato” “EDOMESTICO no se hace responsable de los datos que publique el usuario siendo este último responsable de la información que publique en su perfil y del grado de seguridad que a este le asigne”. “EDOMESTICO cumple todas las normas legales de protección de datos que sean aplicables y establece mecanismos y procedimientos de seguridad para la gestión de los datos de los usuarios”. “… ha adoptado las medidas de índole técnica y organizativas reglamentariamente establecidas, que garantizan la seguridad de los datos de carácter personal y evitan su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a los que están expuestos…”. “Responsable del fichero y tratamiento de los datos: EDOMESTICO, S.L.”. 6. Con fecha 12/07/2012, por la Inspección de Datos se realizó una consulta a través del buscador Google, utilizando como criterio de búsqueda el nombre y apellidos del denunciante, obteniendo una referencia a la web userimg.edomestico.com (..................), que permite acceder e imprimir el curriculum del mismo. 7. Con fechas 16/07 y 28/09/2012, por la Inspección de Datos se realizó la consulta “userimg edomestico.com” a través del buscador Google, obteniendo referencias a la dirección userimg.edomestico.com y el acceso a diversos currículos de personas que se habían registrado en la web http://www.edomestico.com. 8. Con fechas 28/09 y 08/11/2012, por la Inspección de datos se accedió a la web www.edomestico.com comprobando que constan varios registros de datos de personas con su nombre y apellidos, edad, ciudad y tipo de empleo solicitado, así como fotografías de los solicitantes. 9. Con fecha 02/11/2012, por la Inspección de Datos se ha realizado la consulta “edomestico” en el buscador Google, obteniendo una referencia a la dirección edomestico.com con la indicación siguiente: “No hay disponible una descripción de este resultado debido al archivo robots.txt de este sitio”. 10. Con fecha 13/11/2012, durante la inspección realizada a EDOMESTICO, S.L., por los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Servicios de Inspección de la Agencia Española de Protección de Datos se verificó lo siguiente: . Los representantes de la entidad inspeccionada manifestaron que, considerando que cuanta más publicidad se proporcione a los demandantes de empleo más facilidad se tendrá para encontrar un puesto de trabajo, la filosofía de la web http://www.edomestico.com es considerarla como de acceso público sin restricciones y, además, que sea susceptible de indexación por parte de los buscadores de los datos personales de los candidatos. . Los representantes de la entidad inspeccionada manifestaron que la dirección userimg.edomestico.com indexada por Google, en la que se hace referencia a datos personales y curriculares de candidatos registrados en la web, se utiliza para almacenar los recursos estáticos, entre ellos, los currículos publicados por los candidatos en formato pdf y las fotografías. . Los representantes de la entidad inspeccionada manifestaron que, con motivo de haber recibido algún comentario en relación con la indexación por Google de los currículos de los candidatos, han eliminado el acceso a los mismos a través de la web para evitar la indexación por buscadores. . Por la Inspección de Datos se realizó una búsqueda a través de Google utilizando como argumento “site:edomestico.com… (nombre y primer apellido del denunciante 1)” verificando que consta una anotación a nombre del mismo y comprobando que al intentar acceder a la misma el sistema devuelve un error. No obstante, se comprobó que en la cache de Google constaba el currículo. 11. Con fecha 08/04/2013, por la Inspección de Datos se ha realizado la consulta “edomestico” en el buscador Google no obteniendo referencias a edomestico.com. 12. Con fecha 08/04/2013, por la Inspección de Datos se realizó una búsqueda a través de Google utilizando como argumento “site:edomestico.com (nombre y primer apellido del denunciante 1)” verificando que no se obtiene información al respecto. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II El Titulo VII sobre Infracciones y sanciones, el artículo 43 de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” III Se imputa a la entidad EDOMESTICO, S.L. el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  3. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  4. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Asimismo, el artículo 3.
  5. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
  6. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  7. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  8. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  9. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  10. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  11. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por EDOMESTICO, S.L. a través de la web www.edomestico.com, relativos a los usuarios que se inscriben en la misma como solicitantes de empleo, correspondiendo adoptar las calificadas de nivel básico, en atención a la naturaleza de la información que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamiento de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 El artículo 91 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establece: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con acceso a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
  12. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad EDOMESTICO, S.L. está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, los hechos expuestos, en relación con el acceso por parte de terceros a datos personales y documentos curriculares de los usuarios del sitio web edomestico.com contenidos en la base de datos de EDOMESTICO, S.L., que además pudieron ser indexados por buscadores de Internet, sin haber garantizado la seguridad de tales datos de carácter personal, suponen la comisión, por parte de dicha entidad, de una infracción del artículo 9.1 de la LOPD, al haberse constatado que tales hechos se producen por un error en el sistema de información diseñado por la propia entidad. Dicho fallo posibilitó que gran cantidad de registros personales permanecieran abiertos a cualquier persona que accediera a la citada web sin necesidad de registrarse, incluso con la posibilidad de descargar el curriculum vitae de las personas registradas, con detalle de datos personales relativos a nombre, apellidos, edad, nacionalidad, localidad, provincia y país, DNI/NIE, fecha de nacimiento, dirección postal, dirección de correo electrónico y teléfono, así como los datos de formación, conocimientos y experiencia laboral. Además, la información insertada en la web, según consta en la documentación aportada por el Grupo de Delitos Telemáticos de la Guardia Civil, no informaba a los usuarios que sus datos serían expuestos públicamente y que sus CV se publicarían sin restricciones. Únicamente se advertía sobre el posible acceso a los datos por parte de los contratantes, y no por cualquier tercero, y “de acuerdo con el nivel de privacidad seleccionado por cada candidato”. Durante la inspección realizada por los Servicios de la Agencia a la entidad EDOMESTICO, S.L. se facilitó el detalle de la “Información Legal” insertada en la web en la fecha en que tuvo lugar, sobre la que cabe formular los mismos reparos. En los puntos 3 y 4, en relación con el consentimiento y la visibilidad de los datos del candidato, consta textualmente lo siguiente: "El usuario manifiesta haber leído y aceptado expresamente la presente Política de Privacidad al registrarse en www.edomestico.com, otorgando su consentimiento inequívoco y expreso a Edomestico, S.L al tratamiento de los datos de acuerdo con las finalidades y servicios aquí reflejados. El usuario autoriza expresamente la cesión de sus datos a terceros para que Edomestico, S.L lleve a cabo las finalidades previstas en esta política de privacidad. En el caso de que el usuario facilite a Edomestico, S.L. datos personales de terceros, el usuario declara que dichos datos son veraces y que ha informado y ha solicitado el consentimiento a estos terceros, cuyos datos nos facilita, de que sus datos personales serán tratados por Edomestico, S.L. en los mismos términos que el usuario ha sido informado y prestado su consentimiento en la presente política de privacidad. Una vez registrado en el portal todos los datos personales y/o profesionales del usuario serán visibles para las empresas y particulares usuarios de Edomestico, S.L. para favorecer la búsqueda de candidatos que se adapten a sus diferentes procesos selectivos de empleo y ampliar a los usuarios las posibilidades de encontrar empleo. El acceso a los datos del usuario por parte de estas empresas se realizara de forma segura desde el portal de Edomestico, S.L. garantizando la confidencialidad de la información y con la única finalidad de la selección de personal”. Según esta cláusula informativa, el consentimiento se presta con el propósito de que los datos estén disponibles para empresas y particulares que pretendan ofrecer empleo a los candidatos, es decir, “con la única finalidad de la selección de personal”, en el convencimiento de que el acceso a los datos se realizará de forma segura y con garantía de confidencialidad de los datos. Por tanto, los datos personales de usuarios del sitio web www.edomestico.com resultaron accesibles a terceros, sin que los afectados hubiesen sido informados en tal sentido, siendo ello C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que el EDOMESTICO, S.L. ha incurrido en la infracción grave descrita. Tales hechos quedaron acreditados por la documentación aportada por el Grupo de Delitos Telemáticos de la Guardia Civil, que incluía el detalle de la información accedida a través de la web citada, y por las constataciones realizadas por los Servicios de Inspección de la Agencia Española de Protección de Datos, que constan detalladas en los Hechos Probados Sexto, Séptimo y Octavo; y han sido reconocidos por la propia entidad imputada, cuyos representantes manifestaron a los citados Servicios de Inspección que, considerando que cuanta más publicidad se proporcione a los demandantes de empleo más facilidad se tendrá para encontrar un puesto de trabajo, la filosofía de la web www.edomestico.com es considerarla como de acceso público sin restricciones y, además, que sea susceptible de indexación por parte de los buscadores de los datos personales de los candidatos. IV En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 extremar la diligencia...” (SAN 29de junio de 2001). V El artículo 44.3.
  13. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que EDOMESTICO, S.L. ha incurrido en la infracción grave descrita. VI El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  14. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  15. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establecen lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  16. a)El carácter continuado de la infracción.
  17. b)El volumen de los tratamientos efectuados.
  18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  19. d)El volumen de negocio o actividad del infractor.
  20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  21. f)El grado de intencionalidad.
  22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  31. a)y
  32. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la entidad denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, el grado de intencionalidad apreciado, el escaso volumen de datos indexado por buscadores de internet y que no constan beneficios obtenidos como consecuencia de la comisión de la presunta infracción. Por otra parte, los Servicios de Inspección comprobaron que por parte de EDOMESTICO, S.L. se adoptaron medidas para evitar que los datos personales de los usuarios de la web puedan ser indexados por buscadores de Internet. En concreto, en las búsquedas realizadas en fecha 02/11/2012 y 08/04/2013, a través del buscador Google, no se obtuvieron referencias al sitio web www.edomestico.com. Además, en la última fecha indicada, la información relativa al denunciante había sido eliminada. Sin embargo, no consta en las actuaciones que se haya restringido el acceso a la información a través de la web citada, para posibilitar que únicamente accedan a la misma las empresas y particulares que pretendan llevar a cabo una selección de personal, o bien que se haya modificado la información legal insertada en dicha web, para que los usuarios registrados puedan consentir válidamente el uso al que se destinan sus datos personales, según los detalles expresados en la presente resolución. Por tanto, se entiende que EDOMESTICO, S.L. no ha adoptado las medidas correctoras adecuadas, procediendo requerir a la misma para que establezca los mecanismos adecuados para la seguridad de los datos personales registrados en sus ficheros. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00082/2013) a EDOMESTICO, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  33. h)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a EDOMESTICO, S.L. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan su divulgación a terceros sin restricciones y sin el consentimiento de los afectados, estableciendo mecanismos para que la información resulte accesible únicamente a los interesados, mediante la creación en la web www.edomestico.com de una zona de acceso restringido para empresas y particulares que pretendan llevar a cabo una selección de personal, que previamente se hayan registrado como tales la web; se defina el perfil de los usuarios demandantes de empleo que será visible desde la web para cualquier tercero que acceda a la misma; y se modifique la cláusula informativa insertada en la menciona web, de modo que el consentimiento prestado por los afectados al aceptar las condiciones y la política de privacidad pueda estimarse válido, considerando el tratamiento, cesión y divulgación de datos de carácter personal que se realiza. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/05404/2013, podría incurrir en una infracción del artículo 37.1.
  34. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  35. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  36. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo y el Anexo a EDOMESTICO, S.L. 4.- NOTIFICAR el presente Acuerdo, sin el Anexo, a la DIRECCION GENERAL DE LA GUARDIA CIVIL (GRUPO DELITOS TELEMATICOS). 5.- NOTIFICAR el presente Acuerdo al denunciante 1, cuya identidad figura en el Anexo. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.