← España

A-00135-2014

1/7 Procedimiento Nº: A/00135/2014 RESOLUCIÓN: R/01789/2014 En el procedimiento A/00135/2014, instruido por la Agencia Española de Protección de Datos a D. B.B.B., vista la denuncia presentada por DÑA. C.C.C., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 25/07/2013, tuvo entrada en esta Agencia Española de Protección de Datos un escrito de Dña. C.C.C. (en lo sucesivo la denunciante) en el que se pone de manifiesto los siguientes hechos: Al realizar una búsqueda en Google con los apellidos de la denunciante como criterio de búsqueda obtuvo una referencia al portal altafit.es, web de la compañía ALTAFIT GRUPO DE GESTION, S.L. (en lo sucesivo ALTAFIT), en la dirección A.A.A., en la que se encuentra disponible públicamente su currículum con sus datos personales. En esta denuncia, manifiesta que solicitó a la entidad ALTAFIT la cancelación de sus datos personales mediante correo electrónico de 16/07/2013. Por otra parte, la denunciante manifiesta que se puede acceder a los currículos de otros candidatos a través del mencionado portal, pero no aporta ninguna documentación al respecto. Con la denuncia aporta impresión del resultado de la búsqueda de Google así como impresión del currículum. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de los siguientes extremos, que constan detallados en el Informe de Actuaciones Previas elaborado: 1. En fecha 07/08/2013, por la Inspección de Datos se realizaron consultas en el buscador Google utilizando como argumento “ C.C.C.” “ C.C.C. site:altafi.es” y “cv site:altafit.es” sin obtener ninguna referencia a dichos parámetros de búsqueda. 2. En fecha 13/03/2014, por la Inspección de Datos se accedió a la dirección A.A.A. verificando que el Sistema solicita una identificación y autenticación para el acceso. 3. En fechas 13/03 y 08/05/2014, por la Inspección de Datos se realizaron consultas en el buscador Google utilizando como argumento “ C.C.C.” sin obtener ninguna referencia a dicho parámetro de búsqueda. 4. ALTAFIT consta como responsable del fichero denominado SOLICITANTES DE EMPLEO inscrito en el Registro General de Protección de Datos, cuya finalidad consiste en “Gestión de los recursos humanos de la empresa y los gimnasios ALTAFIT, bolsa de trabajo, solicitudes de empleo, recepción de currículum”. En el Acta de Inspección de fecha 18/03/2014, realizada a ALTAFIT y en la documentación remitida por D. B.B.B. consta lo siguiente: 1. La compañía ALTAFIT es una empresa cuya actividad principal es la gestión, promoción y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 2. 3. 4. 5. explotación de establecimientos deportivos en régimen de franquicia. Consta de cinco empleados y desde el año 2011 se dedica a esta actividad. ALTAFIN manifiesta que en julio de 2013 se realizó una ampliación de su web en la dirección www.altafit.es para que las personas interesadas en trabajar en cualquiera de los gimnasios de la marca pudiera facilitar sus datos personales y curriculares a través de la misma. No es necesario usuario y contraseña para la cumplimentación de los formularios de solicitud de empleo. ALTAFIT manifiesta que los datos recogidos en el formulario de solicitud de empleo no son accesibles a los usuarios de la web. Solamente tienen acceso a los mismos los Directores de los Gimnasios y la persona de Recursos Humanos que realiza la preselección de los candidatos. Esta última puede acceder a la información de todos los solicitantes, no así los directores de los gimnasios que únicamente tienen acceso a los datos de aquellos candidatos que hayan solicitado un empleo en su gimnasio. ALTAFIT tiene suscrito un “contrato de encargado del tratamiento de datos de carácter personal, para la prestación de los servicios de diseño web, mantenimiento web y postmaster” con D. B.B.B., de fecha 16/01/2013. En dicho contrato consta como servicios contratados “Diseño y mantenimiento de la web… creación y control de formularios de recogidas de datos de la web…” y en el mismo se indica que “el encargado del tratamiento deberá adoptar las medidas de índole personal, técnica y organizativa necesarias que garanticen las seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado…”. Con fecha 16/07/2013, ALTAFIT tuvo noticia de una incidencia a través de un comentario privado en su perfil de Facebook y por un correo electrónico remitido ese mismo día a las 23:02 horas. En ambos se ponía de manifiesto que los datos personales incluidos en un currículum habían sido indexados por Google y eran accesibles a través de Internet. Nada más tener conocimiento de los hechos, a las 9:34 horas del día 17/07/2013 se procedió al Registro de la incidencia y a comunicarla a D. B.B.B. en virtud del contrato mencionado. A las 12:41 horas de esa misma fecha, la compañía recibe un correo electrónico de B.B.B. con un informe indicando las acciones realizadas para la solución de la incidencia. El error se produjo porque la carpeta, que contenía únicamente cinco currículos, se ubicó en una zona pública en lugar de la zona privada, por tanto no se encontraba protegida por código de usuario/contraseña. Asimismo, este error produjo que fueran accesibles a través de internet e indexados por los buscadores. A este respecto, D. B.B.B. ha remitido también a la Agencia copia del informe de las acciones realizadas para la solución de la incidencia:  Eliminación del currículum de la persona que había comunicado el error.  Bloqueo de la carpeta que contiene los currículos para evitar el acceso.  Solicitud a Google la eliminación de la indexación de cualquier archivo de la Intranet y de la memoria caché. Mientras Google realizaba la solicitud se procedió al bloqueo del formulario de solicitud de empleo. Esta petición se hizo efectiva en menos de una hora y los links indexados fueron eliminados.  Etiquetas incluidas en el código fuente para evitar la indexación de los buscadores.  Modificación del contenido del archivo robots.txt para evitar futuras indexaciones de los buscadores. ALTAFIT manifiesta que desde el momento en que se realizaron las acciones descritas no ha habido ninguna otra incidencia. ALTAFIT manifiesta que no tienen conocimiento de que la información disponible vía Google haya sido accedida por terceros o haya sido publicada en algún otro sitio web. Además, ninguna otra persona ha comunicado esta incidencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Una vez solucionada la incidencia contactaron con la persona reclamante, vía teléfono, informando de la resolución de la incidencia y procedieron a la cancelación de sus datos. 6. Se ha verificado que, en el momento de la inspección, en la web www.altafit.es se encuentra disponible un formulario de contacto y un formulario de Solicitud de Empleo, el cual permite además la inclusión del currículum. Asimismo se verifica que en ambos formularios consta una clausula informativa en relación con lo estipulado en el artículo 5 de la LOPD. 7. Se ha verificado que para el acceso fichero de SOLICITANTES DE EMPLEO a través de la dirección http://intranet.altafit.es es obligatorio una identificación y autenticación. Se verifica que, con el perfil del usuario de recursos humanos, se permite acceder a la información de todos los solicitantes de empleo. Se verifica que, en el momento de la inspección, el fichero de SOLICITANTES DE EMPLEO tiene 266 registros. No se ha obtenido constancia de que en el fichero SOLICITANTES DE EMPLEO figure información de la denunciante. TERCERO: Con fecha 10/06/2014, el Director de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), acordó someter a D. B.B.B. (en lo sucesivo el denunciado) a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD, en relación con los artículos 91 y 93 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la citada Ley Orgánica, tipificada como grave en el artículo 44.3.

  1. h)de la misma norma. Con tal motivo, se concedió al denunciado plazo para formular alegaciones, que transcurre sin que se haya recibido escrito alguno. HECHOS PROBADOS 1. La entidad ALTAFIT, dedicada a la gestión, promoción y explotación de establecimientos deportivos, es titular de la web altafit.es. Desde julio de 2013, dicha web está habilitada para que las personas interesadas en trabajar en cualquiera de los gimnasios de la marca pueda facilitar sus datos personales y curriculares a través de la misma, no siendo necesario usuario y contraseña para la cumplimentación de los formularios de solicitud de empleo. 2. ALTAFIT tiene suscrito un “contrato de encargado del tratamiento de datos de carácter personal, para la prestación de los servicios de diseño web, mantenimiento web y postmaster” con D. B.B.B., de fecha 16/01/2013. En dicho contrato consta como servicios contratados “Diseño y mantenimiento de la web… creación y control de formularios de recogidas de datos de la web…” y en el mismo se indica que “el encargado del tratamiento deberá adoptar las medidas de índole personal, técnica y organizativa necesarias que garanticen las seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado…”. 3. La denunciante, mediante una búsqueda realizado con el buscador de Google, con sus apellidos como criterio de búsqueda obtuvo una referencia a la web altafit.es, en la dirección A.A.A., en la que se encontraba accesible sin restricción su currículum con sus datos relativos a fecha y lugar de nacimiento, nacionalidad, dirección, teléfono y dirección de correo electrónico, además de la información profesional. 4. En la denuncia formulada ante la AEPD, la denunciante manifiesta que solicitó a la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 ALTAFIT la cancelación de sus datos personales mediante correo electrónico de 16/07/2013. 5. La incidencia reseñada en el Hecho Probado Tercero consta anotada en el Registro de Incidencias de la entidad ALTAFIT, a las 9:34 horas del día 17/07/2013. 6. En relación con la incidencia reseñada en el Hecho Probado Tercero, los responsables de la entidad ALTAFIT manifestaron a los servicios de inspección de la AEPD que el error se produjo porque una carpeta, que contenía únicamente cinco currículos, se ubicó en una zona pública en lugar de la zona privada, por tanto no se encontraba protegida por código de usuario/contraseña. 7. En relación con la incidencia reseñada en el Hecho Probado Tercero, D. B.B.B. emitió un informe sobre las acciones realizadas para su subsanación:  Eliminación del currículum de la persona que había comunicado el error.  Bloqueo de la carpeta que contiene los currículos para evitar el acceso.  Solicitud a Google para la eliminación de la indexación de cualquier archivo de la Intranet y de la memoria caché.  Etiquetas incluidas en el código fuente para evitar la indexación de los buscadores.  Modificación del contenido del archivo robots.txt para evitar futuras indexaciones de los buscadores. . Con fecha 07/08/2013, por los Servicios de Inspección de la AEPD se realizaron consultas a través del buscador Google utilizando como argumento “ C.C.C.” “ C.C.C. site:altafi.es” y “cv site:altafit.es”, sin obtener ninguna referencia a dichos parámetros de búsqueda. . Con fecha 13/03/2014, por los Servicios de Inspección de la AEPD se accedió a la dirección A.A.A. verificando que el Sistema solicita una identificación y autenticación para el acceso. . Con fechas 13/03 y 08/05/2014, por los Servicios de Inspección de la AEPD se realizaron consultas a través del buscador Google utilizando como argumento “ C.C.C.”, sin obtener ninguna referencia a dicho parámetro de búsqueda. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II El denunciado, como responsable de seguridad del sitio web altafit.es en virtud del contrato suscrito con la entidad ALTAFIT y conforme a la normativa de aplicación, está obligado a “adoptar las medidas de índole personal, técnica y organizativa necesarias que garanticen las seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado” por parte de terceros. En este caso, el acceso por parte de terceros a datos personales y documentos curriculares de los usuarios del sitio web ALTAFIT contenidos en la base de datos de ALTAFIT, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 que pudieron ser indexados por buscadores de Internet, podría supone la comisión, por parte del denunciado, de una infracción del artículo 9.1 de la LOPD, al haberse constatado que tales hechos se producen por un error en el sistema de información diseñado. En concreto, la incidencia estuvo motivada por no haber protegido del acceso público (en particular, de los buscadores de Internet) una carpeta en la que se encontraba alojado el currículum de la denunciante con otros más. Dicho fallo posibilitó que algunos registros personales permanecieran abiertos a cualquier persona, incluso con la posibilidad de descargar el currículum vitae de las personas registradas, con detalle de datos personales, así como los datos de experiencia laboral. De acuerdo con lo expuesto, se iniciaron actuaciones contra el denunciado por la presunta vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, según el cual “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”, en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 91 y 93, que establecen lo siguiente: Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Artículo 93. Identificación y autenticación. “1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. La vulneración de los preceptos citados aparece tipificada como infracción grave en el artículo 44.3.
  3. h)de la LOPD, que considera como tal, “Mantener los ficheros, locales, programas o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o apercibido con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter al mismo a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  4. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  5. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  6. a)y
  7. b)del citado artículo 45.6 de la LOPD. No obstante, los Servicios de Inspección de la AEPD han comprobado que el denunciado adoptó medidas adecuadas para evitar que los datos personales de los usuarios de la web puedan ser indexados por buscadores de Internet; eliminó el currículum de la denunciante y bloqueó la carpeta afectada por la incidencia; solicitó a Google la eliminación de los documentos indexados; incluyó etiquetas en el código fuente para evitar la indexación de los buscadores y modificó el contenido del archivo robots.txt para evitar futuras indexaciones. En consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el presente caso, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00135/2014 seguido contra D. B.B.B., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a D. B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 3.- NOTIFICAR el presente Acuerdo a DÑA. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.