E-00260-2018

1/6 Expediente Nº: E/00260/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad PEQUEÑOS ANIMALES SERVICIOS ESPECIALIZADOS SLU y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 4 de enero de 2018, tuvo entrada en esta Agencia escrito de la entidad PEQUEÑOS ANIMALES SERVICIOS ESPECIALIZADOS SLU en el que exponen que, con fecha 3 de enero de 2018, han tenido conocimiento de la recepción de mensajes SMS en los móviles de algunos clientes que no han sido enviados por la compañía. Los mensajes eran generalmente felicitaciones del estilo de “Felicidades Toni (mascota) Te deseamos un día muy feliz y lleno de caricias. Hasta pronto. Saludos” y estaban firmado por A.A.A. La entidad manifiesta que utiliza un software denominado “MENSARIO” para la remisión de mensajes SMS a sus clientes generalmente para recordatorio de citas y otros temas de su interés, y sospechan que alguna persona ha podido acceder a datos de sus clientes saltándose las medidas de seguridad implantadas en el ordenador. Asimismo manifiestan que el día 2 de enero de 2018 tuvieron que resetear el modem y reiniciar el ordenador para conectarse a Internet ya que tenían un fallo de conexión y consideran que en esta fecha pudo producirse el acceso indebido. Respecto de los datos personales a los que han podido acceder corresponden a datos básicos y datos de contacto. Respecto de las medidas de seguridad implantadas indican que el ordenador tenía instalado antivirus y que, para el acceso al mismo y a la aplicación de clientes, disponían de claves y manifiestan que inmediatamente a tener conocimiento de los hechos modificaron las contraseñas. Y, en relación con la notificación a los afectados consideran que no es necesaria ya que no afecta negativamente a la intimidad de las personas. Aportan denuncia presentada ante la Policía de fecha 3 de enero de 2018. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 28 de febrero de 2018 se recibe escrito de contestación al requerimiento de información de la Inspección de Datos de fecha 2 de febrero, en el que se pone de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 1. VETERINARIA AVISCAN manifiesta que tuvo conocimiento del envío de SMS a algunos clientes ya que uno de ellos le informa que ha recibido un texto de felicitación a su mascota y comprueba que también han recibido mensajes otros clientes, motivo por el cual interpone denuncia ante la Policía y posteriormente notifica a la Agencia el posible acceso a datos de sus clientes por terceros. 2. VETERINARIA AVISCAN manifiesta que los mensajes se enviaron en fechas 1, 2 y 3 de enero y posteriormente no tienen constancia de que hayan remitido más SMS. Han sido afectadas 12 personas. 3. VETERINARIA AVISCAN manifiesta que para el envío de SMS se ha tenido que acceder al número de móvil del cliente y al nombre de la mascota asociada a ese teléfono y desconocen si también han tenido acceso a los datos de nombre y apellidos del propietario. 4. VETERINARIA AVISCAN manifiesta que nada más tener conocimiento de los hechos (3 de enero de 2018) contactó con la entidad Xilon Solutions para verificar el posible envío de SMS desde la plataforma contratada. Dicha entidad informa que desde la plataforma no se ha realizado ningún envío ya que mantiene el saldo de SMS. Por otra parte, VETERINARIA AVISCAN contacta con su operador de telefonía móvil para comprobar el envío de SMS desde sus líneas a lo que le responden que no se han realizado dichos envíos y le recomiendan que ejecute una aplicación y el antivirus y que modifique las contraseña de acceso tanto al ordenador (contraseña de Windows) como a la aplicación de gestión de clientes (en Access). 5. VETERINARIA AVISCAN manifiesta que en dichas fechas, el acceso al ordenador con los datos de los clientes era de tres personas empleadas de la entidad. 6. VETERINARIA AVISCAN utiliza el software de envío de mensajes SMS denominado MENSARIO, el cual puede ser utilizado desde una plataforma web o en modo local que es como lo tiene instalado la entidad. En escrito de XILON SOLLUTIÓNS, empresa comercializadora del paquete MENSARIO, aportado por la VETERINARIA AVISCAN se pone de manifiesto que para el envío de SMS a través de MENSARIO se debe de indicar los números de teléfono de destino, el mensaje a enviar y el remitente que aparecerá en el SMS de destino pudiendo ser enviado inmediatamente o programar su envío, en cuyo caso, el cliente tiene la opción de programar el envío en un rango de fechas que comienza en la fecha y hora actual y termina 355 días después. Una vez hecha la solicitud, el servidor guarda esa petición hasta la fecha y hora programadas y entonces realiza el envío. No es necesario mantener el equipo informático desde el que se solicitó el envío encendido. Una vez realizado el envío del mensaje SMS y cuando la operadora entrega el mensaje al destinatario, remite la información acerca de la entrega al servidor y se marca el mensaje como entregado en el programa del cliente y como error en caso de que no haya sido posible su entrega. A este respecto, XILON SOLUTIÓNS ha remitido registro de planificación de VETERINARIA AVISCAN durante el mes de diciembre de 2017 y enero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 2018 con un total de 87 sin que ninguno de ellos haya sido programado en las fechas de 1, 2 y 3 de enero de 2018. Asimismo ha remitido registro del envío de los mensajes planificados en los que consta que 32 registros fueron planificados en fecha 28 de diciembre de 2017 y se remitieron el 2 de enero de 2018 a las 18:32. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
2. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Es necesario analizar también las previsiones que el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por el R.D. 1720/2007, de 21 de diciembre, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El artículo 81.1 de este Reglamento establece que “Todos los ficheros o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El citado Reglamento regula: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” Así, la entidad PEQUEÑOS ANIMALES SERVICIOS ESPECIALIZADOS SLU, como responsable del fichero de datos personales de sus clientes, está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y, entre ellas, las medidas dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En el caso presente la entidad PEQUEÑOS ANIMALES SERVICIOS ESPECIALIZADOS SRL ha informado a esta Agencia de una posible quiebra de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 seguridad en los datos de carácter personal de sus clientes, porque estos han recibido mensajes SMS en sus móviles y manifiestan que no han sido enviados por la compañía. Consideran que ha podido producirse un acceso indebido. Exponen que los datos a los que han podido tener acceso son datos básicos y de contacto. Informan de que han contactado con la plataforma que tienen contratada para el envío de SMS y que les informan de que desde la plataforma no se ha enviado ninguno. Informan sobre el sistema que utilizan para el envío de SMS y que lo tienen instalado en local. La entidad responsable de la plataforma de los envíos ha informado, en un escrito aportado por la clínica veterinaria, respecto del funcionamiento del sistema de envíos y aporta un registro de los mensajes enviados. Contactaron también con su operador de telefonía. La clínica veterinaria manifiesta que al ordenador tienen acceso tres personas y que disponen de medidas de seguridad tales como contraseñas y antivirus para el acceso a la aplicación de los clientes. En conclusión, según las actuaciones previas realizadas por los servicios de inspección de esta Agencia, no se ha probado el acceso no autorizado a la información relativa a datos personales de los clientes de la clínica veterinaria, ni que estuviesen a disposición de terceros no autorizados, por lo que, respecto a los hechos comunicados, no se aprecia que exista vulneración del artículo 9 de la LOPD. III El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la entidad PEQUEÑOS ANIMALES SERVICIOS ESPECIALIZADOS SLU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es