E-00078-2018

1/6 Expediente Nº: E/00078/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad GAS NATURAL SDG, S.A. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25 de enero de 2017, tuvo entrada en esta Agencia escrito de A.A.A. contra GAS NATURAL SDG, S.A. por los siguientes hechos manifestados por el denunciante:  Que a finales de diciembre de 2016 recibe una carta de la entidad denunciada dándole la bienvenida como cliente de la compañía en relación con la vivienda localizada en (C/...1) (SALAMANCA).  Que dicha vivienda es de su propiedad, y se encuentra alquilada a un tercero a través de un gestor.  Que el inquilino de la vivienda le informa de que no ha realizado cambio alguno de suministrador, pero que entre los días 6 y 9 de Noviembre se personó en la vivienda una persona de nombre B.B.B. solicitando revisar las facturas de gas. El inquilino procedió facilitándole el teléfono del gestor del alquiler.  Que tras intentar acceder a su cuenta de usuario de GAS NATURAL (entidad con la que tenía realmente contratado el suministro de la vivienda citada), se percata de que su usuario ha sido sustituido por otro (***EMAIL.1). El denunciante aporta, entre otra, copia de la siguiente documentación:  Reclamación (número ***Nº.1) dirigida por el denunciante a GAS NATURAL SDG SA con fecha 2/2/2017 en la que pone en conocimiento de la entidad los hechos acaecidos y entre otras cuestiones solicita que le aclaren cómo y desde cuando B.B.B. ha accedido y modificado datos de su cuenta de usuario en la entidad. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La empresa GAS NATURAL SDG SA en su escrito de fecha de registro 9/1/2018 (número de registro ***REG.1/2018) ha remitido la siguiente información pertinente a los efectos de la investigación:  Con respecto al procedimiento de acceso y modificación de datos personales de los clientes de la entidad, manifiesta que existen tres canales: presencial, telefónico y AC (área clientes). o C/ Jorge Juan, 6 28001 – Madrid Adjunta (anexo II) una copia de la Política de Seguridad del grupo Gas Natural Fenosa en la que se especifica un esquema del procedimiento de acreditación de identidad para los canales presencial y telefónico en los siguientes términos:  En todo caso el cliente ha de facilitar el NIF (alternativamente menciona casos de “NIF Ficticios” en los que el dato a solicitar es la dirección del punto de suministro), nombre y apellidos.  Para la realización de las gestiones que se detallan a continuación, es necesario que el cliente aporte además el NÚMERO DE REFERENCIA www.agpd.es sedeagpd.gob.es 2/6 / NIS.   Solicitud de cese / anulación de cese  Duplicado de factura  Duplicado de contrato  Carta de cobro o talón de pago  Facturas atrasadas a nombre del nuevo titular Para la realización de las gestiones que se detallan a continuación, es necesario que el cliente aporte además el NÚMERO DE REFERENCIA / NIS y los 4 últimos dígitos de la cuenta bancaria actual.  o Modificación de datos bancarios Con respecto al canal AC, según señala existe un procedimiento específico que expone de la siguiente forma: Registro en AC (área clientes): Se solicita al cliente que introduzca un email y una contraseña. El email se valida y se comprueba que sea el mismo que consta en los sistemas de GNF, de no ser así no continúa el proceso de alta en AC. En los casos en que ambos emails coincidan, se solicita el número de teléfono e idioma. Finalmente, y como medio de acreditación de la identidad del usuario, se solicita el NIF, número de contrato y las cuatro últimas cifras de la cuenta bancaria (esto último solo en caso de clientes que tienen domiciliado el recibo). Solicitud de cambio de contraseña: Se le solicita el email (que igual que en el caso anterior, se comprobará que sea el mismo que aparece en los sistemas comerciales de GNF), el NIF y los últimos cuatro dígitos de la cuenta bancaria. Acceso a AC (área clientes): Se solicita el usuario y contraseña. Hay que precisar el usuario de acceso del AC (Username) es siempre una dirección de email, y que el mismo debe coincidir con la dirección de email que aparece en el Sistema de Gestión de Clientes (en adelante Siebel); ya que en este canal intervienen 2 sistemas de información (Siebel y AC) conectados entre sí, de tal manera que la cuenta de email que aparece en Siebel se replica en AC. Por tanto, si una persona quiere modificar su usuario de acceso al AC, debe cambiar también el email notificado en Siebel, debiendo para ello contactar telefónicamente con el Call Center y solicitar el cambio de su cuenta de email, lo que conllevará necesariamente pasar la Política de seguridad anteriormente mencionada  Con respecto al caso concreto objeto de denuncia expone que el día 9/11/2016 se realizó telefónicamente una petición de cambio de la cuenta de email del denunciante a la cuenta de correo ***EMAIL.

1. Señala que dicha solicitud no pasó la Política de Seguridad, ya que la persona que solicitó el cambio no disponía de los 4 últimos dígitos de la cuenta bancaria, tal y como resultaba necesario para operar esa modificación, por lo que no se modificó este dato en Siebel, manteniéndose inalterado en este sistema el email del denunciante ***EMAIL.2 tal y como aparece reflejado en las capturas de pantalla que se adjunta como Anexo III. No obstante lo anterior y, debido a un error informático el sistema Siebel cursó la petición de cambio de email al AC (área de clientes), produciéndose el cambio de la cuenta de correo de ***EMAIL.2 a ***EMAIL.1 con el consiguiente cambio del usuario de acceso (Username) al estar ambos asociados. Motivo por el cual consta ***EMAIL.1 como usuario de acceso en el AC (área de clientes), no habiéndose producido accesos ni modificaciones adicionales de los datos relacionados con el denunciante durante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 aquella interacción. En relación al error acaecido, hay que precisar que, una vez detectado el mismo, se ha actuado diligentemente procediendo a su resolución e informando de los cambios realizados al denunciante tal y como se acredita en los documentos que se acompañan como Anexos IV y V. Añade que como Anexo VI se adjunta impresión de pantalla de nuestros sistemas en el que se aprecia que nunca se modificó la contraseña de acceso al AC (área de clientes), del denunciante y que, por lo tanto, tenemos la certeza de que en ningún momento se ha accedido a sus datos personales ni antes ni después de producirse la modificación de su usuario de acceso al sistema. La contraseña de acceso solo la tenía el denunciante y, en caso de que se solicitara un recordatorio de la misma, se la remitiríamos al email de contacto que consta en Siebel, estos es, a la dirección de correo ***EMAIL.
2. o o Adjunta (anexo III) capturas de pantalla de sus sistemas en las que, consta la dirección de correo electrónico ***EMAIL.2 asociada al denunciante y una serie de registros de base de datos que refieren, en relación con el DNI del denunciante, los siguientes valores:  Fecha de creación: 9/11/
3.  ATTRIB_37: ***EMAIL.2  ATTRIB_38: ***EMAIL.1  ATTRIB_41: Error Adjunta (anexo IV) dos capturas de pantalla de consultas a las tablas de auditoría.   De la primera se subrayan los siguientes valores:  Todos los registros contienen el mismo valor para el campo PASSWORD. Asimismo en todos los casos el campo ENABLED tiene valor
4.  Con fecha 03/5/16 consta un registro en el que los campos USERNAME e EMAIL tienen el valor ***EMAIL.
5.  Con fechas 31/8/17, 30/10/17, 31/10/17, 02/11/17 y 03/11/17 figuran sendos registros en los que el campo USERNAME es ***EMAIL.1 y el campo EMAIL tienen el valor ***EMAIL.
6.  Con fecha 03/11/17 consta un registro en el que los campos USERNAME e EMAIL tienen el valor ***EMAIL.
7. De la segunda se resaltan los siguientes valores:  C/ Jorge Juan, 6 28001 – Madrid Con fecha 09/11/16, hay un registro en el que el campo UPDATE_USER contiene el valor EMAIL_UPDATE, y el campo UPDATE_PROGRAM contiene el valor ORIGIN_SIEBEL. o Adjunta (anexo V) una copia de la carta dirigida por la Oficina de Garantía de Servicio al Cliente de la entidad al denunciante con fecha 2/1/2018 en la que le informan de que la incidencia relativa al acceso al Área de Clientes ha sido resuelta, por lo que puede acceder nuevamente con su cuenta de correo electrónico. Hace mención además de que la incidencia se ha gestionado con el código ***COD.
8. o Adjunta (anexo VI) impresión de pantalla de los sistemas de la entidad en la www.agpd.es sedeagpd.gob.es 4/6 que se aprecia que el campo PASSWORD contiene el mismo valor en los doce registros consignados en el documento, cuyas fechas van desde el día 03/06/14 hasta el 03/11/
9.  Con respecto a las comunicaciones y contactos habidos entre el denunciante y la entidad en relación a los hechos denunciados aporta la siguiente documentación: o Anexo VII: copia de la reclamación enviada por el denunciante a la entidad en relación a los hechos investigados. La reclamación está fechada a 2/2/2017, y figura sello de entrada en la entidad con fecha de 10/3/
10. o Anexo VIII: copia del documento Solicitud de información que refiere la tramitación de la entidad de la reclamación descrita en el Anexo VII. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el presente caso, el hecho denunciado es que el denunciante tras intentar acceder a su cuenta de usuario de GAS NATURAL SDG, S.A. se percata de que su usuario ha sido modificado. A este respecto la entidad denunciada afirma que el día 9/11/2016 se realizó telefónicamente una petición de cambio del usuario de acceso al área de clientes. Sin embargo, GAS NATURAL SDG, S.A. señala que pese a dicha solicitud, al no disponer esa persona de los 4 últimos dígitos de la cuenta bancaria, el usuario del denunciante no fue modificado y su acceso denegado. Como prueba de ello GAS NATURAL SDG, S.A. aporta impresión de pantalla que permite constatar que nunca se modificó la contraseña del denunciante para su acceso al área de clientes de dicha entidad y que, por lo tanto, en ningún momento se ha accedido a sus datos personales, ni se ha modificado su usuario de acceso al sistema. En consecuencia, el error manifestado en el presente caso, sólo produjo al denunciante una denegación del servicio web. Por todo lo cual, se ha de concluir, tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, que no se han aportado elementos probatorios que permitan constatar el acceso a los datos del denunciante por parte de terceros, y por tanto atribuir a GAS NATURAL SDG, S.A., una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a GAS NATURAL SDG, S.A. y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es