A-00351-2017

1/6 Procedimiento Nº: A/00351/2017 RESOLUCIÓN: R/03469/2017 En el procedimiento A/00351/2017, instruido por la Agencia Española de Protección de Datos a la entidad ELITECHIP, S.L., vista la denuncia presentada por A.A.A.y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20/11/2016 tiene entrada en esta Agencia una denuncia presentada por A.A.A.(en lo sucesivo, el denunciante), en la que manifiesta lo siguiente: El sitio web www.elitechip.net publica en Internet los datos de todos sus usuarios registrados sin ningún tipo de medida de seguridad. Al tratar de registrarse dentro del sitio web en cualquier evento deportivo, el proceso de registro solicita únicamente el DNI y año de nacimiento del corredor para recuperar datos de anteriores inscripciones. Dado que el dato de año de nacimiento se publica en los resultados de todas las competiciones, con conocer el dato del DNI es suficiente para acceder a los datos. Ha probado los hechos descritos con su DNI y año de nacimiento. Y anexa la siguiente documentación: Capturas de pantallas del formulario de inscripción y de consulta de resultados de una carrera. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias, teniendo conocimiento de que: 1. Los términos y condiciones de uso y la página de contacto del sitio web www.elitechip.net, identifican a ELITECHIP, S.L. como responsable del sitio web y del fichero en el que serán incluidos los datos de los usuarios del mismo. Si bien es cierto que los términos y condiciones identifican la sociedad con las siglas CB, correspondientes a una comunidad de bienes, el NIF que consta en la página de contacto, donde sí se cita a la entidad como ELITECHIP SL, se corresponde con el de la sociedad homónima inscrita en el registro mercantil. Impresión de las páginas web y del resultado de consultar el registro mercantil se encuentran como documentos 1, 2 y 3 de una diligencia de fecha 09/05/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 2. Tal y como se indica en los términos y condiciones de uso, a través del sitio web denunciado, ELITECHIP S.L. presta servicios ligados a eventos deportivos, entre los que se encuentra el de inscripción en carreras. 3. El 09/05/2017 se realizan las siguientes comprobaciones: 3.1. Se accede al formulario de inscripción del evento “XXXVIII Semi marató Fira de Maig 2017” y se proporciona en el primer formulario web el NIF y año de nacimiento del denunciante. Como resultado se obtiene otro formulario web en el que figuran los datos siguientes datos del denunciante: NIF, nombre, apellidos, dirección de correo electrónico, nacionalidad, club, código del chip, fecha de nacimiento, sexo, domicilio postal, teléfono y teléfono móvil. Con los nombres y apellidos obtenidos de los resultados de otro evento deportivo, se localizan los NIF de otros dos participantes en eventos en los que participó ELITECHIP S.L. 3.2. Se accede al formulario de inscripción del evento “XXXVIII Semi marató Fira de Maig 2017” y se proporciona en el primer formulario web el NIF y año de nacimiento de cada uno de los participantes, obteniendo como en el caso anterior los datos de cada corredor. 4. Conforme a la información proporcionada1 por ELITECHIP el 22/05/2017 y 23/05/2017: 4.1. El sistema de inscripciones, activo desde 2010, fue diseñado para que si el NIF y el año de nacimiento coincidían con los de un atleta previamente inscrito, el formulario se rellenase con sus datos. Se diseñó así porque al crecer el número de usuarios aumentó también el número de ellos que olvidaban sus credenciales de acceso. 4.2. El número de atletas incluidos en sus ficheros es de 144.217. 4.3. El 22/05/2017 informan de que como medida correctiva inicial modificaron el formulario para que no se rellenase aunque coincidiesen los datos de NIF y fecha de nacimiento. 4.4. El 23/05/2017 informan de que ya sólo es posible inscribirse en los eventos a través del uso de un usuario y clave. 5. El 19/07/2017 se accede al sitio web www.elitechip.net para comprobar los medios disponibles para inscribirse en uno de los eventos organizados por ELITECHIP. Se selecciona un evento al azar. Tanto en las inscripciones individuales como las de equipo se constata que las opciones que se le dan al atleta son tres:  Continuar la inscripción sin registrarse ni iniciar sesión.  Registrarse en el sitio web 1 Registrados con número de entrada ***REGISTRO.1 y ***REGISTRO.2. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6  Iniciar sesión si ya se es usuario registrado A los usuarios que no se quieren registrar y no están registrados se les muestra un formulario que requiere como datos mínimos DNI o pasaporte, nombre, apellido, correo electrónico y fecha de nacimiento. El formulario de registro requiere como datos obligatorios DNI o pasaporte, nombre, apellido, correo electrónico, usuario y clave. A los usuarios registrados se les solicita el usuario y clave para acceder a sus datos. Las evidencias de todo ello constan en la diligencia de fecha 19/05/2017. TERCERO: Con fecha 6 de octubre de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00351/2017, a ELITECHIP, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción de su artículo 9 tipificada como grave en el artículo 44.3 h). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se atribuye a ELITECHIP, S.L., la comisión de la infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.”, en relación con lo dispuesto en los artículos 91 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RDLOPD en adelante) que establecen lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. , tipificada como grave en el artículo 44.3
2. h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen“. III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
3. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
4. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
5. a)y
6. b)del citado apartado 6 del artículo 45 de la LOPD. IV En el presente caso, tras la práctica de las diligencias de inspección referenciadas en el antecedente segundo ( punto 5) de la presente resolución, se ha verificado que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 ELITECHIP, S.L., ha introducido cambios en la página web de la que es responsable adecuándose al establecimiento de las medidas de seguridad previstas en el art. 9 de la LOPD, y en especial al introducir un sistema de identificación y control de acceso para los usuarios de la citada página web a fin de evitar que se vuelvan a producir los hechos denunciados. Por lo expuesto debe tenerse en cuenta que el apercibimiento que correspondería de acuerdo con el artículo 45.6 de la LOPD, no tendría aparejado requerimiento o medida alguna a adoptar por la entidad denunciada, pues como se ha puesto de manifiesto ELITECHIP, S.L., ya se ha adaptado a la normativa citada. En este sentido conviene traer a colación lo dispuesto en las Sentencia de la Audiencia Nacional 455/2011 de fecha 29/11/2013 Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- ARCHIVAR EL PROCEDIMIENTO (A/00351/2017) a ELIECHIP S.L., con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3
7. h)de la citada ley orgánica. SEGUNDO.- NOTIFICAR la presente Resolución a ELITECHIP S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es