1/4 Expediente Nº: E/00370/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CENTRAL 238, S.L. en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: En relación con la entidad CENTRAL 238, S.L. (en lo sucesivo CENTRAL 238), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Apercibimiento de referencia A/00186/2013, que concluyó mediante resolución nº R/00101/2014, de fecha 24/01/2014, en la que se tuvieron por probados los siguientes hechos: “PRIMERO: La entidad CENTRAL 238 es titular del dominio web ......... SEGUNDO: Con fecha 10/09/2013, por los Servicios de Inspección de la Agencia Española de Protección de Datos se verifica que, al introducir el número de albarán de doce dígitos indicado por el denunciante (destinatario del envío) en la casilla correspondiente de la página principal del sitio web https://........ (Consulta tu envío), se accede a los datos del envío en cuestión, incluyendo el nombre y apellidos del mismo, el domicilio completo de entrega del envío, número de teléfono y dirección electrónica. Se indica asimismo la fecha de entrega (28/08/2013) y el número del DNI del receptor. Asimismo, se constata que, al modificar el último dígito del citado número de albarán, puede accederse sucesivamente, sin ningún tipo de restricción, a los datos asociados a los correspondientes albaranes de envío”. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 24/01/2014 se acordó lo siguiente: <<1.- APERCIBIR (A/00186/2013) a la entidad CENTRAL 238, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica, respectivamente, y de conformidad con lo establecido en los artículos 36 y 37.a),
- f)y
- n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos>>. <<2.- REQUERIR a CENTRAL 238, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan el acceso indiscriminado y sin restricciones por parte de terceros a los datos personales registrados en sus sistemas de información, y sin el consentimiento de los afectados, estableciendo mecanismos para que la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 resulte accesible únicamente a los interesados, o bien mostrando en el apartado habilitado en su web para el seguimiento de los envíos únicamente el estado de los mismos, evitando que resulten visibles por esta vía los datos de carácter personal. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento>>. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/00370/2014. CUARTO: En relación con lo instado en la resolución mencionada, la denunciada no aportó respuesta alguna. No obstante, la Subdirección General de Inspección de Datos ha constatado, a través del Registro Mercantil Central, que en el Juzgado Mercantil núm. 6 de Barcelona se sigue un procedimiento de concurso voluntario, habiéndose iniciado la fase de liquidación de la sociedad CENTRAL 238 mediante Auto de 02/12/2013. Asimismo, se ha comprobado que el sitio web “www.........” no se encuentra disponible. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el procedimiento A/00186/2013 se imputó a la entidad CENTRAL 238 el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El artículo 9 de la LOPD, relativo a la seguridad de los datos, dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por CENTRAL 238 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 los destinatarios de los envíos que le son encargados por sus clientes, correspondiendo adoptar las calificadas de nivel básico, en atención al tipo de información que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamiento de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”, y entre ellas las reguladas en los artículos 91 y 93 de dicho Reglamento, referidos al control de accesos, identificación y autenticación de los usuarios. En este caso, se constató que a través del sitio web https://........, cuya titularidad corresponde a la entidad CENTRAL 238, en el apartado habilitado por la misma para que los clientes puedan realizar el seguimiento de sus envíos (Consulta tu envío), se pudo acceder a la información asociada a los albaranes en cuestión, con el detalle de los datos personales de los destinatarios respectivos (nombre y apellidos del denunciante, el domicilio completo de entrega del envío, número de teléfono y dirección electrónica), así como el DNI. Concretamente, los Servicios de Inspección de la Agencia constataron que, al introducir el número de albarán indicado por el denunciante (de 12 dígitos) en la casilla correspondiente de la página principal del sitio web https://........ (Consulta tu envío), se accede a los datos del envío, y que modificando el último dígito del citado número de albarán puede accederse sucesivamente, sin ningún tipo de restricción, a los datos asociados a los mismos, sin que se observase control de acceso alguno. En consecuencia, se consideró que la entidad CENTRAL 238 no había dado cumplimiento a las normas expuestas, y se requirió a la adopción de medidas correctoras para impedir el acceso indiscriminado a los datos personales registrados en sus sistemas de información, mostrando en el apartado habilitado en su web para el seguimiento de los envíos únicamente el estado de los mismos, evitando que resulten visibles por esta vía los datos de carácter personal. Posteriormente, esta Agencia Española de Protección de Datos ha tenido conocimiento de que la entidad CENTRAL 238 se encuentra en fase de liquidación por virtud de un procedimiento de concurso voluntario que se sigue en el Juzgado Mercantil núm. 6 de Barcelona y, por otra parte, que el sitio web “www.........” no se encuentra disponible, lo que conlleva la pérdida del objeto del requerimiento de adopción de medidas contenido en la resolución de 24/01/2014. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CENTRAL 238, S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es