E-01887-2017

1/5 Expediente Nº: E/01887/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad JALD BUSINESS, S.L.U. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 22/02/2017, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que denuncia a JALD BUSINESS, S.L.U. (en lo sucesivo JALD) por los siguientes hechos: En el año 2012 contrató los servicios de una empresa inmobiliaria para ofrecer en alquiler un estudio del que es propietario. Ha comprobado que la factura emitida por dicha empresa por la intermediación está accesible a través del buscador de GOOGLE, y en la misma constan sus datos personales (Nombre, dirección y NIF). Y, entre otra, anexa la siguiente documentación:  Copia impresa del resultado de la búsqueda en GOOGLE de sus datos y de la factura a la que manifiesta se accede pinchando en uno de los enlaces obtenidos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. El servicio de inspección de la Agencia Española de Protección de Datos ha realizado las siguientes comprobaciones el día 24/02/2017:
2. Se encontraba disponible a través del buscador de GOOGLE un enlace a una factura emitida por NRS CENTRO INTERNACIONAL (Marca comercial de JALD), a nombre del denunciante y contiene información sobre su nombre y apellidos, DNI, dirección postal y concepto de los servicios facturados.
3. Se encontraba accesible a través del buscador GOOGLE una lista de 3.490 enlaces a distintos tipo de documentos bajo el dominio spainservice.info (cartas, contratos, notificaciones, etc…) que responden a documentación propia de la actividad de una empresa gestora inmobiliaria.
4. Al acceder a la página web ***URL.1 se encontraba una pantalla con fondo negro y un texto con el siguiente contenido: “HACKED BY ***. Please Fix Your Vulnerable.”
5. El día 15/06/2017 se realizó una visita de inspección en la sede de la empresa JALD poniéndose de manifiesto lo siguiente, recogidos en Acta de Inspección E/01887/2017-i/1: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5
6. A lo largo del año han sufrido dos ataques a su servidor de manera que cuando se accede a la página web ***URL.1 se bloquea el acceso a la página y aparece una pantalla negra con el texto: ”HACKED BY ***…”
7. Tras el primer ataque solicitaron los servicios de un técnico para restaurar el servicio web. Tras el segundo ataque recibieron las quejas de dos clientes que le informaron de que a través de google se puede acceder a documentos de JALD en los que constan sus datos de carácter personal. Inmediatamente después de recibir estas quejas desconectaron el servidor estando actualmente en el servicio técnico contratado y denunciaron los hechos ante la Guardia Civil. A las personas que reclamaron se les envió un correo electrónico informado de lo ocurrido adjuntando copia de la denuncia ante la Guardia Civil.
8. Para la gestión de su actividad JALD dispone de una red local compuesta por 6 ordenadores personales con sistema operativo Windows 10 (excepto uno de ellos que funciona bajo el sistema operativo Windows XP) y un servidor también con sistema operativo Windows XP conectados a través de la red de Microsoft Windows. Los datos de los clientes se gestionan mediante la herramienta EXCELL y los documentos (contratos, facturas, etc.) se elaboran con el procesador de textos WORD, ambas herramientas de Microsoft. Tanto el fichero de clientes como los documentos se ubicaban en una carpeta compartida del servidor a la que tenían acceso el resto de los ordenadores de la red local. El mismo servidor también albergaba el sitio web ***URL.1 y disponía de conexión a internet a través de una línea ADSL exclusiva contratada con JAZZTELL. La página web ha sido desarrollada por un técnico con el que actualmente no tienen relación profesional, motivo por el que han decidido contratar el desarrollo de una nueva página web con otra empresa y dejar definitivamente sin uso la actual. Además han contratado una segunda línea ADSL con el operador Orange para el acceso a internet.
9. Se comprobó que el documento aportado por el denunciante consistente en una factura emitida por la empresa a su nombre con sus datos personales se encontraba en la copia de seguridad de la empresa. También se encontraba en la copia de seguridad 3 de los documentos obtenidos a través del buscador GOOGLE seleccionados aleatoriamente.
10. Se desconoce la causa por la que han sido indexados documentos de JALD por los buscadores de internet. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 9 de la LOPD establece: “
11. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
12. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
13. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” En el Título VIII del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, se detallan los requisitos de seguridad que han de reunir los ficheros y tratamientos de datos de carácter personal, en función de la tipología de los datos involucrados. JALD tiene como actividad la realización de servicios de gestión y administración relacionados con la propiedad inmobiliaria, lo que conlleva conlleva, entre otras, el tratamiento de los datos personales relativos a las personas que se relacionan y encargan dichas actividades. En el presente caso, el denunciante ha manifestado que había contratado los servicios inmobiliarios de la empresa JALD para alquilar un estudio del que es propietario, comprobando que la factura emitida en concepto de la citada intermediación estaba accesible en internet a través del buscador Google, en la que constan sus datos personales. De la información aportada al expediente y de la recabada por los servicios de inspección de este centro directivo durante la fase de actuaciones previas, consta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 acreditado que el servidor de la empresa sufrió dos ataques indebidos de hackers el 20 y 27 de enero de 2016, bloqueando la página de acceso. Según las comprobaciones realizadas, el acceso a los datos registrados en los sistemas de JALD fue perpetrado por parte de terceros desconocidos con importantes conocimientos técnicos, no habiendo sido posible determinar su autoría; tras el primer ataque se solicitaron los servicios de un técnico externo para restaurar el servicio web y, tras el segundo, al recibir quejas de dos clientes que informaron que se podía acceder a través de google a los documentos de la empresa, de manera inmediata se desconectó el servidor, se denunciaron los hechos a la Guardia Civil y se solicitaron disculpas por los hechos ocurridos. Esta circunstancia, en sí misma, no es suficiente para exonerar de responsabilidad a JALD; es necesario que el acceso indebido no se aprovechara de vulnerabilidades del sistema atacado que tuvieran causa en una falta de medidas de seguridad adecuadas o en una ineficaz implantación de las mismas. A este respecto, la Sentencia de la Audiencia Nacional de 25/06/2015 ha señalado lo siguiente: “En interpretación del citado artículo 9, esta Sala ha señalado en múltiples sentencias, (SSAN, Sec. 1ª, de 13 de junio de 2002, Rec. 1517/2001; 7 de febrero de 2003 Rec. 1182/2001; 25-1-2006 Rec. 227/2004; 28 de junio de 2006 Rec. 290/2004 etc), que la obligación que dimana del mismo no se cumple con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto, y por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva. Hemos considerado, en consecuencia, que se impone una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva, toda responsable de un fichero (o encargada de tratamiento) es, por disposición legal, una deudora de seguridad en materia de datos debiendo asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica”. En este caso, no se ha constatado que la denunciada haya incumplido la obligación de adoptar de manera efectiva las medidas dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales, visibles a través del buscador Google, desconociéndose la causa por la que los documentos fueron indexados por lo que no cabe entender infringido el artículo 9 de la LOPD. Procede tener en consideración la Sentencia de la Sala de lo ContenciosoAdministrativo de la Audiencia Nacional de fecha 25 de febrero de 2010 que, en relación con un caso similar al presente, señaló lo siguiente: "En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por el ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www..., descargándose una copia de la misma. Y tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad. El principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 administrativo sancionador de la responsabilidad objetiva, que está proscrita después de la STC 76/1999, que señaló que los principios del ámbito del derecho penal son aplicables, con ciertos matices, en el ámbito del derecho administrativo sancionador, requiriéndose la existencia de dolo o culpa. En esta línea la STC 246/1999, de 19 de diciembre (RTC 1991/246), señaló que la culpabilidad constituye un principio básico del Derecho administrativo sancionador. Culpabilidad, que no concurre en la conducta analizada de xxx". En el presente caso, resulta destacable la diligencia observada por parte de la entidad tras detectarse el acceso indebido a la información para minimizar los riesgos y asegurar sus sistemas (procediendo a desconectar de manera inmediata el servidor, denunciando los hechos ante la Guardia Civil e informando a los afectados mediante e-mail de lo ocurrido). Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a JALD BUSINESS, S.L.U. y A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es