AI-00169-2022

1/20  Expediente N.º: EXP202202904 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Don A.A.A. (en adelante, la parte reclamante), con fecha 1 de febrero de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BALLENOIL, S.L. con NIF B65371171 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, manifiesta que alguien accedió a su perfil de usuario de la app ***APP.2, desarrollada por la cadena de estaciones de servicio ***CADENA.1 para realizar los pagos en sus estaciones de servicio, y realizó un repostaje a su cargo. La entidad responsable le comunicó por correo electrónico el 24 de diciembre de 2021 que se había detectado una entrada en la app desde un teléfono distinto del habitual y se le instaba a que, si no era una actividad realizada por el propio usuario, cambiara inmediatamente la contraseña o se pusiera en contacto con la entidad para que se la cambiasen. Adicionalmente, la parte reclamante manifiesta que solicitó el ejercicio de derecho de acceso, con fecha 31 de diciembre de 2021, y no ha recibido respuesta por parte del reclamado. Para lo cual aporta solicitud de acceso y un mes después, según el reclamante, no ha recibido respuesta. Junto a la notificación se aporta:  Correo electrónico enviado el día de los hechos por la parte reclamada a la dirección de correo electrónico de la parte reclamante ***EMAIL.1 donde se indica: “Hemos detectado la entrada en la App ***APP.1 con un teléfono distinto al habitual. Si no es usted, cambie la contraseña de forma inmediata o llame a atención al cliente (***TELÉFONO.1), para que le modifiquen la contraseña”.  Correo electrónico enviado por la parte reclamante a la parte reclamada el día 28 de diciembre de 2021 donde solicita el derecho de acceso y la siguiente información: o “Copia de las veces que han facilitado ustedes mis datos entre los días 20 y 25 de diciembre y a quien. o Desde los números de teléfono desde los que os han llamado, o desde que datos han accedido a mi APP o Copia de mis datos personales que son objeto de tratamiento por ese C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 responsable. o Los fines del tratamiento así como las categorías de datos personales que se trate. o Los destinatarios o categorías de destinatarios a los que se han comunicado mis datos personales, o serán comunicados, incluyendo, en su caso, destinatarios en terceros u organizaciones internacionales. o Información sobre las garantías adecuadas relativas a la transferencia de mis datos a un tercer país o a una organización internacional, en su caso. o El plazo previsto de conservación, o de no ser posible, los criterios para determinar este plazo. o Si existen decisiones automatizadas, incluyendo la elaboración de perfiles, información significativa sobre la lógica aplicada, así como la importancia y consecuencias previstas de dicho tratamiento. o Si mis datos personales no se han obtenido directamente de mí, la información disponible sobre su origen. o La existencia del derecho a solicitar la rectificación, supresión o limitación del tratamiento de mis datos personales, o a oponerme a dicho tratamiento. o El derecho a presentar una reclamación ante una autoridad de control.”  Correo electrónico enviado por el DPD de la parte reclamada a la parte reclamante el día 29 de diciembre de 2021 preguntándole sobre el responsable del tratamiento de datos al que se refería en su mensaje.  Correo electrónico enviado por la parte reclamante al DPD de la parte reclamada el día 30 de diciembre de 2021 indicando los datos de la parte reclamada (razón social, CIF, dirección postal, teléfono de contacto y dirección de correo electrónico), como contestación al correo electrónico anterior.  Correo electrónico enviado por el DPD de la parte reclamada a la parte reclamante el día 31 de diciembre de 2021 señalando que tramitaría su solicitud con el responsable del tratamiento de datos y que le contestarían en el plazo máximo de un mes.  Denuncia presentada por la parte reclamante ante la Dirección General de la Policía (en adelante, DGP) el día 8 de enero de

1. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido, en fecha 28 de marzo de 2022, como consta en el acuse de recibo que obra en el expediente. Con fecha 12 de abril de 2022 se recibe en esta Agencia escrito de respuesta de la parte reclamada en el que señala lo siguiente: “Con fecha 24/12/2021 a las 16:27 horas se detectó que se había accedido a la aplicación “***APP.1” con un terminal distinto al registrado por el cliente y se le remitió a este, un correo electrónico automático, informándole al respecto e instándole que modificara la contraseña de acceso para garantizar su seguridad”. La parte reclamante también indica que, ese mismo día a las 17:29h, se puso en contacto con la parte reclamada para indicarle que alguien había realizado un repostaje en una estación de servicio de ***MUNICIPIO.1 por valor de XX,XX€. Con motivo de ello, la parte reclamada señala: “se le indicó que modificara las contraseñas de acceso a nuestra página web y realizara el cambio del PIN de ***APP.2, sugiriéndole paralelamente que pusiera en conocimiento de la autoridad competente (Policía / Guardia Civil) los hechos acontecidos, ante uno supuesto fraude”. La parte reclamada también aporta correos electrónicos intercambiados con la parte reclamante en los que se observa cómo se le prestaba soporte para dar de baja el usuario, a través del cual se había realizado el supuesto fraude, y dar de alta uno nuevo. De hecho, en correo electrónico del día 3 de febrero de 2022, la parte reclamada, en contestación a la información solicitada por la parte reclamante el día 28 de diciembre de 2021, le indica a ésta que han dado de baja su perfil, tal y como habían solicitado, dando de alta uno nuevo con otra dirección de correo electrónico, que han recuperado sus facturas, que adjuntan el documento de atención a sus derechos y que le generaron un cheque por el saldo remanente de la anterior cuenta de usuario. Por tanto, es importante resaltar que pasó más de un mes desde que la parte reclamante hizo la correspondiente solicitud de derecho de acceso hasta que ésta fue contestada por la parte reclamada a través de un correo electrónico. Por último, también se aporta copia de la atención al derecho de acceso donde se indica la tipología de datos tratados, la finalidad, los destinatarios, el periodo de conservación de los datos, los derechos del interesado, el derecho a reclamar ante esta Agencia, la fuente de los datos tratados (el propio interesado), la no existencia de tratamientos automatizados y los datos de contacto que obran en poder de la parte reclamada:  DNI.  Número de teléfono móvil.  Indicación de que existen dos direcciones de correo electrónico asociadas a la parte reclamante, pero la parte reclamada no aporta el detalle de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 TERCERO: Con fecha 19 de abril de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Es importante empezar explicando los dos servicios implementados por la parte reclamada y que permiten repostar en sus estaciones de servicio. Cuando un usuario, que llamaremos usuario principal, se registra en los sistemas de la parte reclamada, éste debe registrar, al menos, un medio de pago (tarjeta bancaria) con la que poder pagar los repostajes que realice en las estaciones de servicio de la parte reclamada. Este usuario principal podrá repostar de dos formas:  Servicio ***APP.2 que permite al usuario repostar introduciendo el DNI y el código pin que indicó en su registro inicial en este servicio.  Aplicación móvil “***APP.1” que, entre otras funcionalidades, permite al usuario repostar introduciendo en la pantalla del surtidor correspondiente un código de 8 dígitos que recibe en su terminal móvil. Adicionalmente, el usuario principal puede autorizar a otros usuarios o conductores a hacer repostajes, pagados con las tarjetas bancarias registradas por aquél, de dos formas, a través del servicio ***APP.2, para lo que es necesario que se registre, por cada conductor autorizado, un DNI y un código pin, y/o a través de la aplicación móvil “***APP.1”, para lo que es necesario que indique, por conductor autorizado, una dirección de correo electrónico y una contraseña como credenciales para acceder a la aplicación móvil y poder realizar los repostajes en las estaciones de servicio de la parte reclamada. En la página web ***URL.1 se indica que, una vez el usuario se ha registrado en la aplicación móvil “***APP.1”, éste puede seleccionar la opción “Repostar”. En ella, podrá elegir el combustible, importe y estación de servicio en la que se quiere realizar el repostaje. Por defecto, la aplicación móvil le mostrará la estación de servicio más cercana a su ubicación (siempre que estén habilitados los permisos correspondientes en su terminal móvil). Antes de proceder al pago, se le pide que introduzca la contraseña que usó para registrarse en la aplicación móvil “***APP.1”. Se realizaron tres requerimientos de información por la Inspección de Datos, siendo contestados por la parte reclamada, indicando lo siguiente: La parte reclamada adjunta, como contestación al primer requerimiento, un registro de comunicaciones mantenidas con la parte reclamante, donde destacan las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20  El día 24 de diciembre de 2021 a las 16:27h, la parte reclamante recibe un correo electrónico automático en la dirección de correo ***EMAIL.1 en el que se le indica que se ha detectado la entrada en la aplicación “***APP.1” con un teléfono distinto al habitual. En dicho correo electrónico se indica lo siguiente: “Con fecha 24/12/2021 a las 16:27 horas se detectó de forma automática que se había accedido a la aplicación “***APP.1” con un terminal distinto al registrado por el cliente y se le remitió a este, un correo electrónico automático, informándole al respecto e instándole que modificara la contraseña de acceso para garantizar su seguridad”. Como se ha indicado previamente, este correo electrónico automático lo recibió la parte reclamante en la dirección de correo electrónico ***EMAIL.
2. Sobre este correo electrónico automático que recibió la parte reclamante con motivo de que se accedió a la aplicación móvil “***APP.1” desde un dispositivo móvil distinto del habitual, la parte reclamada señala: “Como medida de seguridad, cuando el sistema detecta un intento de acceso a la app ***APP.1 con un terminal distinto al habitual, se envía de forma automática el siguiente mensaje únicamente a la dirección de correo electrónico asociada, con el fin de que el cliente pueda modificar su contraseña y así evitar cualquier posible riesgo, pero no está relacionado con ***APP.
3. En cualquier caso, si el cliente lo recibió en el correo electrónico ***EMAIL.1, la amenaza fue identificada desde esa dirección.” De este modo, la propia parte reclamada reconoce que se utilizó la dirección de correo electrónico ***EMAIL.1 para acceder a la aplicación móvil “***APP.1”. Por ello, se puede concluir que el acceso no habitual a la aplicación “***APP.1” se realizó utilizando las credenciales asociadas a dicha dirección de correo electrónico (***EMAIL.1) que, a su vez, por la información remitida a esta Agencia por la parte reclamada está asociada con el conductor “XXXXXX” (conductor autorizado por la parte reclamante), tal y como se detallará más adelante.  El día 24 de diciembre de 2021 a las 16:42h, la parte reclamante recibe un correo electrónico en la dirección de correo electrónico ***EMAIL.1 con los datos del repostaje realizado ese mismo día en la estación de servicio de ***CADENA.1 en el municipio de ***MUNICIPIO.1 por importe de XX,XX euros (repostaje reclamado).  El día 24 de diciembre de 2021 a las 17:59h, la parte reclamante contactó con el departamento de atención al cliente de la parte reclamada adjuntando el correo electrónico que recibe en la dirección de correo ***EMAIL.1 con la información sobre el repostaje realizado ese mismo día en la estación de servicio ***CADENA.1 de ***MUNICIPIO.1 por valor de XX,XX euros y que no reconoce como propio. En esta comunicación, la parte reclamante indica: “Tras llamada telefónica a atención al cliente, hemos detectado que han repostado en mi nombre desde ***MUNICIPIO.1 cosa que no hemos realizado nosotros, y una de dos o ustedes han facilitado los datos de alguna manera a esa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 persona (DNI y PIN) o esta persona ha accedido a mis datos por la aplicación ya que me sale que han entrado en la aplicación desde otro teléfono que no es el habitual. Por lo tanto, quiero poner denuncia para que ustedes REVISEN si es un fallo vuestro del sistema, a pesar de ir a poner la correspondiente denuncia”. La parte reclamada contestó a ese mensaje el día 27 de diciembre de 2021 indicando lo siguiente: “Lamentamos los inconvenientes presentados, le sugerimos hacer las denuncias a las autoridades competentes ante el presunto hackeo de su perfil”.  El día 28 de diciembre de 2021 la parte reclamante envía una reclamación a la parte reclamada indicando lo siguiente: “[…] Que alguien entra en mi APP no sabiendo bien cómo consiguen mis datos. Ya que la APP tiene un usuario y una contraseña. Que ese alguien reposta combustible y paga con el método ***APP.2 donde tiene que poner MI DNI y mi pin (diferente al de la APP) que no se sabe cómo consiguen, entiendo que al haber accedido a mi APP con usuario y contraseña, accede a mi DNI, pero el PIN ahí no lo pone por ningún lado. […]” En este mensaje, la propia parte reclamante señala que accedieron a la aplicación móvil “***APP.1” utilizando la dirección de correo electrónico ***EMAIL.1, pero que el repostaje se pagó mediante el servicio ***APP.
4.  En uno de los mensajes, la parte reclamante indica que ha recibido una comunicación de su entidad bancaria, el día 12 de enero de 2022, indicándole que se verificó la operación en línea con las directrices de la normativa europea de servicios de pago (PSD2) que tiene como requisitos la introducción, por parte del cliente, de al menos dos de tres factores de validación. Esto fue lo que sucedió con el pago inicial o primera transacción al registrar la tarjeta de crédito en los sistemas de la parte reclamada por la parte reclamante, pero, en los pagos recurrentes por suscripción, como ocurrió en el caso reclamado, al repostar a través del servicio ***APP.2 o la aplicación móvil “***APP.1”, este requisito de autentificación no es necesario, según establece dicha normativa. Por ello, el pago fraudulento se pudo llevar a cabo tan sólo con conocer las credenciales de acceso al servicio ***APP.2 o a la aplicación móvil “***APP.1”. La parte reclamada indica que la parte reclamante se dio de alta en sus sistemas con el NIF ***NIF.1 y correo electrónico ***EMAIL.2, y que activó el servicio ***APP.2, que permite repostar en las estaciones de servicio de la parte reclamada, para lo que es necesario registrar un DNI y un código pin. En este sentido, la parte reclamada indica que el usuario es el único que tiene acceso al código pin, declarando que: “no queda guardado ni registrado en la base de datos de ***CADENA.1, tampoco aparece en la base de datos de ***CADENA.1 si el cliente cambia o modifica el código pin”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 Asimismo, la parte reclamada señala: “***CADENA.1 no tiene acceso a códigos pin, contraseñas o números bancarios”. Esto es así porque el sistema de pagos asociado al servicio ***APP.2 está gestionado por un tercero, ***BANCO.
5. La parte reclamada expone que “Para poder dar de alta a otro usuario debe registrarse otro DNI, (un DNI por usuario)” y añade que “no hay más usuarios registrados con el DNI ***NIF.1”. Aun así, se ha comprobado que existen varios usuarios registrados con ese DNI, que se corresponden con el DNI de la parte reclamante, si bien es cierto que todos esos usuarios están registrados bajo el mismo código de cliente (***CÓDIGO.1). El usuario principal, como ya se ha explicado previamente, tiene que registrar, al menos, una tarjeta bancaria en la que se puedan cargar los correspondientes repostajes que realice cada usuario. La parte reclamada sólo conoce los 4 últimos dígitos de las tarjetas bancarias registradas en el sistema, pues de ello se encarga un tercero, ***BANCO.1, como proveedor de este servicio de pagos. En contestación al tercer requerimiento de información, la parte reclamada aporta mayor detalle que en contestaciones previas sobre la información de la parte reclamante registrada en sus sistemas. La parte reclamada adjunta un pantallazo con los datos del repostaje reclamado donde se puede observar que el usuario que lo realizó fue el usuario con Id ***ID.1, registrado con el nombre de A.A.A. y NIF ***NIF.1, que se corresponden con los datos de la propia parte reclamante. Sobre este usuario, la parte reclamada indica que fue dado de alta el día 24 de noviembre de 2021, tal y como se puede comprobar en un pantallazo de sus sistemas adjuntado por la parte reclamada. La parte reclamada señala: “El usuario A.A.A. con Id ***ID.1 se registró con el teléfono ***TELÉFONO.2 y no indicó correo electrónico (por defecto, se asigna una numeración para cumplimentar este campo, que en este caso es ***ID.1#***CÓDIGO.1)” Asimismo, la parte reclamada indica: “El usuario con ***CÓDIGO.1 “A.A.A. ” con NIF ***NIF.1 dio se registró en la app “***APP.1” con NIF ***NIF.1 (Id ***ID.2 que actualmente continúa estando activo) y en “***APP.2” como “A.A.A.” con el mismo NIF ***NIF.1 (Id ***ID.1 que está dado de baja).” “Remitimos la información todos los usuarios de App y ***APP.2 generados desde el código de usuario ***CÓDIGO.1 “A.A.A.” con NIF ***NIF.1” Por tanto, en los sistemas de la parte reclamada constan dos usuarios asociados a la parte reclamante (mismo NIF), el usuario con Id ***ID.2 que se registró en la aplicación móvil “***APP.1” y el usuario con Id ***ID.1 que se registró en el servicio ***APP.
6. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 Sobre el resto de usuarios bajo el cliente con Id ***CÓDIGO.1, la parte reclamada indica: “Los usuarios con id ***ID.3, ***ID.4 y ***ID.5 están dados de baja y no han llegado a efectuar ninguna operación.” Respecto al usuario con Id ***ID.2, registrado con la dirección de correo electrónico ***EMAIL.2, hay que indicar que tiene dos conductores autorizados con fecha de alta de 20 e noviembre de 2021, aunque actualmente el conductor “XXXXXX” con dirección de correo electrónico ***EMAIL.1 (dirección de correo electrónico que recibió el mensaje de que se había accedido desde un terminal distinto del habitual y el mensaje con los datos del repostaje reclamado) está dado de baja, tal y como se transcribe a continuación: Conductor Sprinter Sprinter2 Email ***EMAIL.1 ***EMAIL.3 Móvil ***TELÉFONO.3 ***TELÉFONO.2 Baja Sí No Fecha Alta 20/11/2021 20/11/2021 En cuanto a estos dos conductores, la parte reclamada señala que el usuario principal (usuario con Id ***ID.2) puede enviar códigos para repostar a estos conductores mediante la dirección de correo electrónico configurada. Así, la parte reclamada señala: “solamente hay códigos creados por el administrador ***EMAIL.2 y enviados al correo ***EMAIL.1”. De hecho, figuran dos tickets dados de alta el 20 de noviembre de 2021 y con estado “Gastado”. El usuario con Id ***ID.2 tiene registradas dos formas de pago (tarjetas bancarias), donde el ID Cliente es el ***CÓDIGO.
7. La tarjeta terminada en 3020 es el medio de pago a través del que se pagó el repostaje reclamado el día de los hechos. En cuanto a los movimientos de las tarjetas asociados al usuario con Id ***ID.2, el día de los hechos no hay ningún registro asociado a este usuario. Tampoco hay tickets asociados a este usuario que hayan sido registrados el día de los hechos en los sistemas de la parte reclamada, tal y como acredita con pantallazos de sus sistemas. En cuanto a los envíos de tickets a conductores, sólo hay uno enviado al conductor “XXXXXX” (***EMAIL.1), ticket con Id ***ID.6 que se corresponde a la fecha del 20 de noviembre de 2021, tal y como se puede observar en los pantallazos enviados por la parte reclamada. De hecho, como ya se ha señalado previamente, la parte reclamada indica que “solamente hay códigos creados por el administrador ***EMAIL.2 y enviados al correo ***EMAIL.1” Por otro lado, en cuanto al usuario con Id ***ID.1, hay que señalar que este usuario no tiene conductores autorizados, sólo cuenta con una forma de pago registrada (tarjeta terminada en 3020 con la que se pagó el repostaje reclamado) y se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 dio de alta en el sistema ***APP.2, donde el ID Cliente es el ***CÓDIGO.
8. En cuanto a los movimientos de tarjeta asociados a este usuario con Id ***ID.1, la parte reclamada adjunta un pantallazo de sus sistemas donde figuran los mismos. En dicho pantallazo, se puede observar que el día de los hechos hay, entre otros, un pago, no reconocido como propio por la parte reclamante, de 75 euros del que fueron devueltos X,XX euros (cargo de XX,XX euros). También figura otro intento de pago por un importe de XX euros que no se realizó porque, en ese momento, la parte reclamante ya había bloqueado la tarjeta terminada en XXXX, tras recibir un mensaje de su entidad bancaria notificándole el repostaje reclamado. Respecto a los tickets asociados al usuario con Id ***ID.1, en los pantallazos enviados por la parte reclamada se observa el cargo de XX euros (Importe Inicial Ticket) por un repostaje efectivo de XX,XX euros (Importe Total) por lo que, como se ha indicado antes, se procedió a la devolución de X,XX euros. También figura el ticket por el intento de repostaje de XX euros (Importe Inicial Ticket), que finalmente no se materializó al estar el medio de pago bloqueado (tarjeta terminada en XXXX) y, por ello, figura un importe total de X euros (Importe Total). Preguntada sobre posibles cambios en los datos de acceso y autentificación de los usuarios asociados a la parte reclamante, la parte reclamada indica lo siguiente: “Los cambios de correo electrónico, pin, contraseñas creadas por el usuario no figuran en nuestro sistema informático. ***CADENA.1 no tiene acceso a códigos pin, contraseñas o números bancarios. No hay registro de logs que incluyan email. Solamente quedan registros de logs de ip. ***CADENA.1 no ha tiene ninguna brecha de seguridad en su sistema. En todo momento se le indica a la cliente que ha sufrido una usurpación de identidad en su área de cliente y motivada por el ataque a su cuenta de correo electrónico, por ese motivo se le recomienda dar de baja sus tarjetas, cambiar la contraseña y ponerlo en manos de los cuerpos de seguridad mediante una denuncia”. La parte reclamada aporta el contrato suscrito por XXXXXXX INFORMATICS, S.L. con NIF B63736862 (encargado del tratamiento). Este contrato está firmado por la parte reclamada y por este encargado del tratamiento el día 25 de mayo e
9. Este contrato contiene cláusulas relativas al objeto del encargo, identificación de la información afectada, duración, obligaciones del encargado del tratamiento, obligaciones del responsable del tratamiento e información y derechos. También aporta contrato de sub-encargado de tratamiento de XXXXXXX INFORMATICS, S.L. con MEDITERRANI GNU, S.L. (NIF B63671622). La parte reclamada también adjunta el análisis de riesgos (incluido el realizado por el encargado del tratamiento de datos, XXXXXXX INFORMATICS, S.L), las medidas de seguridad implementadas como consecuencia de ese análisis y el registro de actividades de tratamiento de datos. El análisis de riesgos está fechado el día 12 de mayo de
10. En el punto “2.2.2 Identificación de activos” se indica que: “(…)”. Asimismo, en el punto “3.1 Objetivo del análisis y la gestión de riesgos” se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 señala que: “(…)”. En relación al punto “3.4 Tratamientos incluidos en el análisis”, se hace referencia a la gestión de clientes de la app “***APP.1” indicando (“Gestión administrativa de clientes de la app ***APP.1y comunicaciones promocionales”), pero, sin embargo, no se hace referencia al servicio ***APP.
11. En cuanto al punto “3.5 Activos involucrados en los tratamientos” del análisis de riesgos de la parte reclamada, (…)”. En el punto “3.9 Evaluación de la probabilidad”, en el punto “3.10 Cálculo del nivel de riesgo” y en el punto “3.11 Riesgos que se van a gestionar” (…). Respecto a las medidas de seguridad de la parte reclamada, en el documento con fecha de 12 de mayo de 2022 reportado a esta Agencia no se hace referencia concreta, en ningún caso, ni al servicio ***APP.2 ni a la aplicación móvil “***APP.1”. De hecho, en el punto “3.14 Vinculación entre medidas de seguridad y activos” del análisis de riesgos anteriormente citado, (…). En contestación a requerimiento de información posterior, donde esta Agencia aludía a las medidas de seguridad concretas correspondientes al servicio ***APP.2 y a la aplicación móvil “***APP.1”, la parte reclamada remitió un nuevo documento sobre medidas de seguridad (documento sin fechar) (…). Dicho documento consta de los siguientes epígrafes:  (…).  (…).  (…).  (…).  (…).  (…).  (…).  (…).  (…). En el epígrafe “Limitación de los intentos de acceso ***APP.1” se señala que: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 Asimismo, en el epígrafe “Limitación de los intentos de acceso ***APP.2” se indica que: (,,,). En el epígrafe “Identificación y autenticación usuarios ***APP.1” se indica que: (,,,). Asimismo, en relación al mensaje con información referente al repostaje reclamado que la parte reclamante recibió en la dirección de correo electrónico ***EMAIL.1, ésta señala, en contestación a requerimiento por parte de esta Agencia, que: “Estos mensajes no me avisan, pero el móvil si me notifica que se ha pagado XX€ en ***CADENA.1, desde ING. Seguidamente bloqueo la tarjeta Estas personas intentaron volver a repostar, sin éxito.” Por último, el registro de actividades de tratamiento presenta la siguiente información: Relacionado con el anterior registro de actividades de tratamiento de datos, hay que hacer referencia a las políticas de privacidad accesibles por los interesados desde la aplicación móvil “***APP.1” y la propia página web de la parte reclamada (accesible desde la página web ***CADENA.1): Finalidad del tratamiento de datos En ***CADENA.1, S.L. tratamos la información que nos facilitan las personas interesadas con el finde gestión administrativa, contable y fiscal, así como el envío de comunicaciones comerciales sobre nuestros productos y servicios. Tiempo de conservación de los datos Durante 5 años o cuando ya no sean necesarios para la finalidad para la cual se recogieron o mientras el interesado no solicite su supresión. Legitimación del tratamiento de datos Le indicamos la base legal para el tratamiento de sus datos: Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico; la Ley 56/2007 de 28 de diciembre de Medidas de Impulso a la Sociedad de la Información; el Real decreto legislativo 1/2007, de 16 de noviembre, por el cual se aprueba el Texto Refundido de la Ley General de Defensa de los Consumidores y Usuarios. Consentimiento del interesado: REGLAMENTO (UE) 2016/679, de 27 de abril de 2016 del Parlamento Europeo, y del Consejo relativo a la Protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Destinatarios No se cederán datos a terceros, salvo obligación legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 No están previstas transferencias de datos a terceros países. Derechos Cualquier persona tiene derecho a obtener confirmación sobre si estamos tratando, o no, datos personales que les conciernan. Las personas interesadas tienen derecho a acceder a sus datos personales, así como a solicitarla rectificación de los datos inexactos o, en su caso, solicitar su supresión cuando, entre otros motivos, los datos ya no sean necesarios para los fines que fueron recogidos. Igualmente tiene derecho a la portabilidad de sus datos. En determinadas circunstancias, los interesados podrán solicitar la limitación del tratamiento de sus datos, en cuyo caso únicamente los conservaremos para el ejercicio o la defensa de reclamaciones. En determinadas circunstancias y por motivos relacionados con su situación particular, los interesados podrán oponerse al tratamiento de sus datos. En este caso se dejará de tratar los datos, salvo por motivos legítimos imperiosos, o el ejercicio o la defensa de posibles reclamaciones. Cuando se realice el envío de comunicaciones comerciales utilizando como base jurídica el interés legítimo del responsable, el interesado podrá oponerse al tratamiento de sus datos con ese fin. Si ha otorgado su consentimiento para alguna finalidad concreta, tiene derecho a retirar el consentimiento otorgado en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada. Podrá ejercitar sus derechos enviando correo electrónico a ***CADENA.1 o correo postal a la dirección del responsable, indicada en el punto
12. En caso de que sienta vulnerados sus derechos en lo concerniente a la protección de sus datos personales, especialmente cuando no haya obtenido satisfacción en el ejercicio de sus derechos, puede presentar una reclamación ante la Autoridad de Control en materia de Protección de Datos competente a través de su sitio web: www.agpd.es (http://www.agpd.es/). ¿Cómo hemos obtenido sus datos? Los datos personales que tratamos en ***CADENA.1, proceden del propio interesado. Tipos de datos tratados Las categorías de datos que se tratan son:  Datos identificativos  Direcciones postales y electrónicas  Información comercial No se tratan categorías especiales de datos personales (son aquellos datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física). La aplicación móvil “***APP.1”, siempre que el usuario otorgue los permisos correspondientes en su terminal móvil, puede acceder a la geolocalización del usuario para indicarle el camino a la estación de servicio más próxima a su localización o puede autentificar el acceso a la misma mediante el uso de la biometría del terminal móvil. En las condiciones de contratación de la aplicación móvil (aviso legal disponible en la página web ***CADENA.1) se menciona la localización del usuario: “Todos los datos personales transmitidos por el usuario (tratamiento, nombre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 dirección, dirección de correo electrónico, número de teléfono y lugar en los que se encuentra se recogerán, guardarán y tratarán únicamente de acuerdo con las normas sobre protección de datos específicas de España. […] Con el fin de poder utilizar la aplicación debidamente, el usuario presta su conformidad a la localización de su paradero (datos GPS). Un uso más amplio de los datos personales que fuese necesario para la motivación del diseño del contenido o de la modificación de la relación contractual (datos de cartera) para fines publicitarios, el estudio del mercado o la elaboración de ofertas conforme a las necesidades, requerirá consentimiento expreso. El usuario tendrá la posibilidad de prestar dicho consentimiento antes de su registro.” Respecto a la posibilidad de que se tratase de una brecha de seguridad, la parte reclamada indica que, al no haberse producido ninguna brecha de seguridad, según su análisis, no pueden aportar informe alguno sobre la misma. Asimismo, la parte reclamada dice que: “No se notificó a la AEPD porque no consta ni en nuestros sistemas ni en los del encargado de tratamiento (XXXXXXX) ninguna brecha de seguridad”. Por último, la parte reclamada señala que “No se han producido eventos análogos” a los reclamados. Por otro lado, dado que la parte reclamada hace referencia a que el usuario (parte reclamante) había autorizado a dos usuarios/conductores y que, en concreto, uno de ellos está registrado con la dirección de correo electrónico ***EMAIL.1, que es la dirección de correo electrónico donde se recibió la comunicación de que se había accedido a la aplicación móvil “***APP.1” desde otro dispositivo móvil diferente al habitual, así como el correo electrónico con la información correspondiente al repostaje reclamado que fue realizado en la estación de servicio de ***MUNICIPIO.1 el día de los hechos, se envió un requerimiento de información a la parte reclamante el día 26/05/
13. Ese mismo día 26/05/2022, la parte reclamante contestó a este requerimiento, con registro de entrada XXXXXXXXXX.. La parte reclamante indica que el correo electrónico que avisaba de que se había accedido desde otro dispositivo móvil es el único mensaje de este tipo que ha recibido, adjuntando un único pantallazo donde se pueden ver algunos de los correos electrónicos (De y Asunto) recibidos y, en concreto, el que alertaba del acceso a la aplicación móvil desde otro terminal y el correspondiente a la información del repostaje reclamado. Se puede observar en los pantallazos aportados por la parte reclamante que este correo electrónico fue enviado a la dirección de correo electrónico ***EMAIL.
14. Asimismo, la parte reclamante indica: “Efectivamente, tenemos 2 dispositivos móviles con números ***TELÉFONO.2 que uso yo, y otro ***TELÉFONO.3 que gestiona mi mujer. Mi mujer, B.B.B. con DNI ***NIF.2, creó la aplicación en su móvil (***TELÉFONO.3), y para que yo desde mi dispositivo móvil pudiera acceder a los repostajes y beneficios de ***CADENA.1 debía crear un usuario para mí. Por lo que se creó un usuario que utilizaba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 EXCLUSIVAMENTE yo”. La parte reclamante indica que la dirección de correo electrónico ***EMAIL.1 “es de uso personal, no se corresponde con ningún negocio o empresa”. Sin embargo, se ha podido comprobar, mediante al acceso a las siguientes páginas web los días 25 y 26 de mayo de 2022, que la parte reclamante anuncia servicios profesionales de mudanza, donde se pueden encontrar datos vinculados a la misma, en concreto, su NIF (***NIF.1), dirección de correo electrónico (***EMAIL.1) o teléfono móvil (***TELÉFONO.3): - ***URL.2 ***URL.3 ***URL.4 También hay que señalar que la parte reclamante se dio de alta como empresa y no como particular en los servicios de la parte reclamada para poder repostar en sus estaciones de servicio (usuario con Id ***ID.2), tal y como se puede observar en los pantallazos de sus sistemas, adjuntados por la parte reclamada, donde se indica en el campo “Tipo” que se trata de “Empresa”. De hecho, en las comunicaciones mantenidas entre las partes con motivo de los hechos reclamados, la parte reclamante solicitaba recuperar las facturas porque, tal y como indica, “debo guardarlas durante 5 años”: En una consulta en la página web ***URL.5, se observa que la parte reclamante ejerce una actividad de transporte de mercancías por carretera como autónomo en activo. Se envió requerimiento de información a la DGP a fin de conocer el estado de las diligencias y/o investigaciones llevadas a cabo en relación a la denuncia presentada por la parte reclamante el día 08/01/
15. Este requerimiento fue contestado por la DGP, donde se indica que: “dado que los hechos denunciados tuvieron lugar en la localidad de ***MUNICIPIO.1 (XXXXX), dicho Atestado fue remitido a través de la Unidad de Coordinación Operativa Territorial de Madrid, con n.º de registro XXXXXXXXXXXX, en fecha 13/01/22, al Puesto de la Guardia Civil de ***MUNICIPIO.1(XXXXXXXX), por ser la unidad competente para la investigación en atención a criterios de distribución de competencia territorial, desconociéndose por este motivo el estado en que se encuentran actualmente las actuaciones”. El día 8 de septiembre de 2022, se envió requerimiento de información a la Comandancia de la Sevilla de la Guardia Civil (en adelante, GC) a fin de conocer el estado de las diligencias y/o investigaciones llevadas a cabo en relación a la denuncia presentada por la parte reclamante. Este requerimiento fue contestado por la GC señalando lo siguiente: “Que el pasado día 19 de febrero de 2022 se recepcionaron en esta Unidad las diligencias número XXXXXX pertenecientes a la Comisaría de Policía Nacional de la localidad de ***LOCALIDAD.1(XXXXXX). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 Que las mismas fueron instruidas por un supuesto uso indebido de la tarjeta de débito de la que figuraba como denunciante y titular del medio de pago D. A.A.A.. Que por parte de esta Unidad, una vez comprobada la fecha de ocurrencia del hecho (24 de diciembre de 2021) y la fecha de recepción de las diligencias en esta Unidad (19 de febrero de 2022) y en virtud de lo estipulado en la Instrucción 1/2006 de 8 de noviembre, de la Agencia Española de Protección de datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, y más concretamente en su artículo 6, cuyo texto dice: Los datos serán cancelados en el plazo máximo de un mes desde su captación. Por tanto y a la vista de lo expuesto anteriormente, al ser completamente imposible obtener las imágenes de la cámara de video vigilancia de la estación de servicio donde supuestamente se produjo el hecho denunciado por parte de esta Unidad se procedió únicamente a la creación de un hecho en el Sistema Integrado de Gestión Operativa (SIGO) al objeto de dejar constancia de la recepción de las diligencias de Policía Nacional, no procediendo a realizar gestión alguna por la imposibilidad de poder investigar la misma al no disponer ya de las imágenes de la cámara de la estación de servicio por haber transcurrido el plazo máximo legal de almacenamiento de las imágenes a la recepción de las mismas en esta Unidad.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado El artículo 12 del RGPD estipula: "
16. El responsable del tratamiento tomará las medidas oportunas para facilitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.
17. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a
18. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado.
19. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.
20. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solici tud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales.
21. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá: a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o b) negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.
22. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado.
23. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en forC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 mato electrónico serán legibles mecánicamente.
24. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados." III Derecho de acceso del interesado El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "
25. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información: a) los fines del tratamiento; b) las categorías de datos personales de que se trate; c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales; d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo; e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento; f) el derecho a presentar una reclamación ante una autoridad de control; g) cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen; h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
26. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia.
27. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común.
28. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." IV Seguridad del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 El artículo 32 del RGPD estipula lo siguiente: "
29. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
30. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
31. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
32. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." V Hechos reclamados La parte reclamante, reclama por dos motivos: que alguien accedió a su perfil de usuario de la app ***APP.2, desarrollada por la cadena de estaciones de servicio ***CADENA.1 para realizar los pagos en sus estaciones de servicio, y realizó un repostaje a su cargo. En segundo lugar, la parte reclamante manifiesta que solicitó el ejercicio de derecho de acceso, con fecha 31 de diciembre de 2021, y no ha recibido respuesta por parte del reclamado. Acerca del primer hecho objeto de reclamación, la parte reclamada envió un correo electrónico automático el día de los hechos (cuando se accedió a su app y se realizó un repostaje) alertando a la parte reclamante, concretamente, en la dirección de correo electrónico ***EMAIL.1, de que se había accedido a la aplicación móvil “***APP.1” mediante un dispositivo móvil distinto del habitual. Asimismo, envió un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 correo electrónico informando de los datos correspondientes al repostaje reclamado a la anterior dirección de correo electrónico, por lo que es de suponer, tal y como ha indicado la propia parte reclamada, que el repostaje se llevó a cabo utilizando las credenciales asociadas a esta dirección de correo electrónico. La dirección de correo electrónico ***EMAIL.1 está asociada, como se ha comprobado con la información aportada por la parte reclamada, al conductor “Sprinter”, conductor autorizado por el usuario con Id ***ID.
33. Sin embargo, en los registros aportados por la parte reclamada, el repostaje está asociado al usuario con Id ***ID.1 que nada tiene que ver con la anterior dirección de correo electrónico, aunque es cierto que todos estos usuarios están registrados con el NIF y nombre de la parte reclamante, y bajo el mismo Código de Cliente. En las contestaciones de la parte reclamada sobre el requerimiento de las medidas de seguridad implementadas, ésta envió un documento relativo a las medidas de seguridad correspondientes al servicio ***APP.2 y a la aplicación “***APP.1” donde se hace referencia al envío de un correo electrónico automático en caso de que un usuario se conecte a través de un dispositivo móvil diferente del habitual, que se procede al bloqueo de los medios de pago registrados por el usuario y que se ponen en contacto con el mismo para verificar su identidad. La parte reclamante indica que la dirección de correo electrónico ***EMAIL.1 es de uso personal y no se corresponde con ninguna actividad económica o empresa. Sin embargo, se ha podido comprobar, mediante al acceso a varias páginas web, que la parte reclamante anuncia servicios profesionales de mudanza. En dichas páginas, se pueden encontrar algunos de los datos vinculados a la misma, en concreto, su NIF (***NIF.1), dirección de correo electrónico (***EMAIL.1) y/o teléfono móvil (***TELÉFONO.3). Además, se ha comprobado que la parte reclamante ejerce una actividad de transporte de mercancías por carretera como autónomo en activo. No se ha podido conocer el origen de la usurpación de las credenciales de acceso de la parte reclamante que dio lugar a los hechos reclamados. No ha quedado acreditado que se deba a una brecha de seguridad en los sistemas de la parte reclamada ni tampoco que se deba a que la parte reclamante no actuara con la debida diligencia En consecuencia, la parte reclamada tiene implementadas medidas de seguridad, en principio, adecuadas para poder advertir del uso de su app de forma diferente a la contratada; por ejemplo, desde otro dispositivo del habitual. En relación al segundo hecho objeto de reclamación: la falta de atención del derecho de acceso ejercitado, hay que señalar que la solicitud se efectuó el día 28 de diciembre de 2021 y fue contestado el día 3 de febrero de
34. VI Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. y a BALLENOIL, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es