1/7 Expediente Nº: E/02200/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de denuncia presentada por don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 28 de febrero de 2013 tiene entrada en esta Agencia un escrito de don A.A.A. en el que declara que tiene contratada con Telefónica de España una línea ADLS, que lleva asociado, de forma gratuita, un servicio de almacenamiento en la nube denominado Terabox, en el que ha venido almacenando documentación personal. Según expone, al contactar con la compañía, tras detectar que esta información había desaparecido sin aviso previo, le han confirmado que el servicio ya ha dejado de funcionar y que la información no es rescatable. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- En respuesta al requerimiento de la Inspección de Datos, TELEFÓNICA DE ESPAÑA, S.A.U. ha aportado copia de la información que figura en sus ficheros relativa al denunciante y ha especificado que el usuario contrató el servicio Terabox el 16 de febrero de 2011 y que causó baja el 9 de enero de 2013, como consecuencia del cierre del servicio, según se indica.
- La representante de TELEFÓNICA DE ESPAÑA, S.A.U. ha declarado que la compañía “ha comenzado un plan de simplificación de su portfolio de productos y servicios, portfolio excesivamente extenso. Por eso, utilizando la posibilidad de resolución unilateral del contrato, que le da la cláusula 14 del mismo, procedió a comunicar a sus clientes, con dos meses de antelación, el cierre del referido servicio.”
- TELEFÓNICA DE ESPAÑA, S.A.U. ha aportado a la Agencia copia de las condiciones generales del servicio. En particular, la citada cláusula 14 prevé: “El presente acuerdo podrá resolverse, a petición de cualquiera de las partes, por las causas generales admitidas en derecho, por las previstas en estas condiciones y, expresamente, por las siguientes: […] b) Por cesación de TELEFONICA DE ESPAÑA en la prestación del servicio, previa comunicación a los CLIENTES con treinta
(30)días de antelación sobre la fecha prevista para dicha cesación. […]” El operador alude también a la cláusula 15, que establece: “Todas las notificaciones y comunicaciones por parte de TELEFÓNICA DE ESPAÑA al CLIENTE se realizarán de alguna de las siguientes maneras según proceda:
- a)Envío por correo postal al domicilio indicado por el CLIENTE.
- b)Envío por correo electrónico a cualquiera de los buzones que el CLIENTE dispone.
- c)Comunicación por medio de una llamada telefónica al número de teléfono indicado por el CLIENTE en el formulario de Solicitud, o modificado posteriormente por el CLIENTE conforme a esta condición. TELEFONICA DE ESPAÑA podrá, además, informar de las incidencias relacionadas con el servicio, mediante la publicación en sus páginas web, cuando dicha información sea de carácter general para todos los CLIENTES. A estos efectos, el CLIENTE manifiesta que todos los datos facilitados por él son ciertos y correctos y se compromete a comunicar a TELEFONICA DE ESPAÑA todos los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 cambios relativos a su domicilio, datos de cobro y todo tipo de información necesaria para la gestión y mantenimiento de la relación contractual entre TELEFONICA DE ESPAÑA y el CLIENTE: EL CLIENTE responderá de la veracidad de sus datos en los términos previstos en la cláusula 7.5.” 4. Por la Inspección de Datos se solicitó al operador de telecomunicaciones que especificara el número de clientes afectados y el procedimiento por el que, en su caso, fueron informados de la finalización del servicio con la suficiente antelación para que pudieran descargar los contenidos que hubieran almacenado en su espacio privado en la nube, en el que podían figurar datos de carácter personal. En particular, se solicitó copia de la documentación de la que dispusiera la compañía que acreditara las comunicaciones informativas remitidas al citado cliente. TELEFÓNICA DE ESPAÑA, S.A.U. ha declarado que el número de clientes del servicio Terabox en diciembre de 2012 era de 118.918. Según ha expuesto la compañía, el plan diseñado conllevó: “1.- Que el 1 de octubre de 2012 se hiciera una comunicación a los clientes que tenían contratado el servicio terabox de pago, indicándoles que ante el próximo cierre del servicio se les iba a regalar los bloques adicionales que antes se les cobraba. […] 2.- Que con fecha 30 de Octubre de 2012 se realizase un comunicado en la comunidad Movistar sobre el cierre del servicio. […] 3.- Que desde el día 1 de Noviembre de 2012 estuviese publicado en el site un aviso informativo.” La compañía ha aportado copia del comunicado y del aviso, este último con el siguiente contenido: Aviso importante Sentimos comunicarte que a partir del 1 de enero de 2013 Terabox dejará de estar disponible y procederemos a borrar todos los contenidos almacenados en este servicio para preservar la seguridad y privacidad de nuestros usuarios. Si ya eres usuario y quieres conservar los archivos que tienes alojados en Terabox, es imprescindible que los descargues antes del próximo 31 de diciembre de 2012. Para hacer más sencilla y rápida la descarga, te recomendamos que utilices el Teraexplorer (solo para usuarios de PC). Descargar Teraexplorer Lamentamos las molestias que pueda ocasionarte. Si tienes cualquier duda contacta con nosotros en el chat de atención técnica de Movistar o llámanos gratis al 1002. Según ha declarado la compañía, tiene constancia “de que el denunciante accedió, con su Ioggin y password, al site los días 4 de Noviembre de 2012 a las 13:28 y a las 19:09, el día 11 de noviembre a las 15:12 y el día 23 de noviembre a las 21:12, lo que irremediablemente implica que tuviera conocimiento del cierre del servicio”. A este respecto, la compañía ha adjuntado copia impresa de los datos de acceso, extraídos de la plataforma auditable SVA, que se ha puesto a disposición de esta Agencia. 5. TELEFÓNICA DE ESPAÑA, S.A.U. ha continuado detallando los siguientes pasos del plan diseñado: “4.- Que desde el 1 de noviembre de 2012 se cerrase la posibilidad de nuevas altas y de la contratación de bloques adicionales […] 5.- Que se procediera a enviar a los clientes usuarios del servicio un encarte informativo en la factura de Noviembre y/o Diciembre, según los escalones de facturación de los mismos. Esto supone que muchos clientes recibieran la comunicación del cierre con dos meses de antelación. El resto, con más de un mes de antelación.” A este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 respecto, se ha aportado a la Agencia copia del encarte enviado a los clientes que contrataron el servicio gratuito y de pago, con el siguiente contenido: El 1 de enero dejamos de ofrecer el servicio Terabox Sentimos comunicarle que a partir del 1 de enero de 2013 Terabox dejará de estar disponible y procederemos a borrar todos los contenidos almacenados en este servicio para preservar la seguridad y privacidad de los clientes que, como usted, lo usan. Si quiere conservar sus contenidos almacenados en Terabox, debe descargárselos antes del próximo 31 de diciembre de 2012 siguiendo estos pasos: • Entre en su espacio personal de almacenamiento introduciendo en terabox.movistar.es su usuario y contraseña. Si no los recuerda, pulse la opción ‘¿Olvidaste tu contraseña?’ siga las instrucciones para obtenerlos de nuevo. • Seleccione los archivos que quiera conservar y pulse el botón Descargar. Si tiene más de 2 GB almacenados, deberá realizar varias descargas. El máximo permitido por descarga es de 2 GB. • Automáticamente, todos los contenidos seleccionados se descargarán en un único archivo comprimido llamado Terabox.zip. Si desea borrar sus contenidos en lugar de esperar a que lo hagamos nosotros, puede hacerlo en dos pasos: • Seleccione los archivos y pulse el botón borrar. • Acceda a la Papelera y pulse el botón Vaciar la Papelera. Le pedimos disculpas por las molestias que este cambio pueda ocasionarle y le recordamos su derecho a darse de baja sin penalización por este concepto. Si en cualquier momento le surgiera cualquier duda, ponemos a su disposición una completa ayuda del servicio en terabox.movistar.es. Si lo prefiere, contacte con nosotros en movistar.es > ayuda > chat o llamándonos gratis al 1002. Estaremos encantados de ofrecerle todo el soporte técnico que necesite. Gracias por confiar en Movistar. Esperamos verle pronto en www.movistar.es y en su tienda Movistar. 6. Los siguientes pasos del plan detallados por la compañía incluyen: “6.- Que se actualizasen los market places (Apple store y google play), que incluyen un aviso informativo sobre el cierre del servicio Terabox. […] 7.- Que se enviase dos sms informativos al móvil de contacto de los clientes. Los sms se enviaron los días 21 de Noviembre y 18 de Diciembre, ambos de 2012. 8.- Que, con fecha 20 de Diciembre, se enviase un emailing informativo a las direcciones de correo electrónico de los clientes.” TELEFÓNICA DE ESPAÑA, S.A.U. ha aportado copia del texto de estas iniciativas. En particular, los mensajes cortos aludidos presentan el siguiente contenido: “Movistar Info: Terabox deja de estar disponible el 1-1-2013. En www.terabox.movistar.es puede descargar los archivos que desee conservar. Disculpe las molestias”. Respecto del mensaje de correo electrónico, en el mismo se hace referencia a la comunicación que acompañaba la factura y se reproduce el contenido de esta comunicación. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 16 de la LOPD, que regula el derecho de rectificación y cancelación, establece en su apartado 5: “Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” En la cláusula 9 del documento que regula las condiciones generales del servicio de almacenamiento online prestado, TELEFÓNICA DE ESPAÑA, S.A.U. informa al cliente de la existencia de ficheros automatizados de datos de carácter personal cuya finalidad es realizar el mantenimiento y la gestión de la relación contractual. Al margen de estos datos, que obran en los ficheros del prestador del servicio, resulta claro que el cliente puede utilizar el espacio de almacenamiento que el prestador le proporciona para mantener diversa información que puede incluir datos de carácter personal, tanto propios como ajenos, sobre los que el prestador de servicios no tiene control directo. Aunque los datos generalmente formarán parte del ámbito doméstico del cliente, serían deseables, por parte del prestador del servicio, unas mínimas garantías sobre su disponibilidad, integridad y confidencialidad. No son descartables, sin embargo, eventuales usos del servicio por su titular en ámbitos no domésticos, involucrando datos cuyo tratamiento en servidores de terceros requeriría garantías especiales que no están cubiertas por el contrato tipo que regula este servicio de la sociedad de la información y que, por tanto, deberían instrumentarse de una forma alternativa. En el presente caso, conviene aclarar que el denunciante no parece tener la consideración de responsable de fichero o tratamiento alguno en los términos de la LOPD, sino que probablemente mantenía datos de ámbito doméstico en el espacio de almacenamiento online asociado al servicio. No obstante lo anterior, aunque la relación entre el titular y el prestador del servicio no obedece al esquema expuesto de responsable-encargado de tratamiento, sí pueden resultar un referente las consideraciones que, al respecto del almacenamiento de datos personales en servidores ajenos accesibles a través de internet, ha realizado el Grupo de Trabajo del artículo 29 (GT29), órgano consultivo europeo independiente establecido en virtud del artículo 29 de la Directiva 95/46/CE. III El GT29 adoptó el 1 de julio de 2012 el Dictamen 5/2012, sobre la computación en nube. En este documento se subrayan las responsabilidades de un cliente de servicios de computación en nube (como responsable del tratamiento) y se recomienda que el cliente seleccione un proveedor de servicios que garantice el cumplimiento de la legislación de la UE sobre protección de datos. El dictamen aborda las salvaguardias contractuales apropiadas estableciendo la condición de que todo contrato entre el cliente y el proveedor deberá ofrecer garantías suficientes en términos de medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de organización. El dictamen establece directrices sobre los requisitos de seguridad, como salvaguardia estructural y de procedimiento. Se hace especial hincapié en las disposiciones contractuales que deben regular la relación entre los responsables y los encargados del tratamiento en este sentido. Los objetivos clásicos de seguridad de los datos son la disponibilidad, la integridad y la confidencialidad. Sin embargo, según expone, la protección de los datos no se limita a la seguridad y, por tanto, estos objetivos se complementan con los objetivos específicos de transparencia, aislamiento, posibilidad de intervención y portabilidad para justificar el derecho del individuo a la protección de datos, con arreglo a lo previsto en el artículo 8 de la Carta de los Derechos Fundamentales de la UE. El requisito de disponibilidad se desarrolla particularmente en el apartado 3.4.3.1 del dictamen: “La disponibilidad supone garantizar un acceso oportuno y fiable a los datos personales. Una grave amenaza para la disponibilidad en la nube es la pérdida accidental de conectividad de red entre el cliente y el proveedor, o del rendimiento de los servidores a causa de acciones malintencionadas tales como ataques de denegación de servicio (distribuido). Otros riesgos para la disponibilidad incluyen fallos accidentales de los equipos tanto en la red como en los sistemas de almacenamiento de datos y de tratamiento en la nube, cortes de suministro y otros problemas de infraestructura. Los responsables del tratamiento deben comprobar si el proveedor ha adoptado medidas razonables para afrontar el riesgo de perturbaciones, tales como copia de seguridad de los enlaces de internet, almacenamiento suplementario y mecanismos efectivos para la copia de seguridad de los datos.” El requisito de portabilidad se aborda, en particular, en el apartado 3.4.3.6 del dictamen: “Actualmente, la mayoría de los proveedores no utiliza formatos de datos e interfaces de servicios estándar que facilitan la interoperabilidad y la portabilidad entre los diferentes proveedores. Si un cliente decide migrar de un proveedor a otro, esta falta de interoperabilidad puede dar lugar a la imposibilidad o al menos a dificultades para transferir los datos (personales) del cliente al nuevo proveedor (esto se denomina dependencia respecto al proveedor). Lo mismo ocurre con los servicios desarrollados por el cliente en una plataforma ofrecida por el proveedor original (PaaS). Antes de contratar un servicio de computación en nube, el cliente deberá comprobar si el proveedor garantiza la portabilidad de los datos y servicios y de qué manera lo hace.” Al respecto de la portabilidad de los datos, en la página 17 de la Guía para clientes que contraten servicios de cloud computing, editada por esta Agencia, se incluyen recomendaciones específicas para que los clientes se aseguren de que pueden recuperar los datos personales de los que son responsables: – La portabilidad significa que el proveedor ha de obligarse, cuando pueda resolverse el contrato o a la terminación del servicio, a entregar toda la información al cliente en el formato que se acuerde, de forma que éste pueda almacenarla en sus propios sistemas o bien optar porque se traslade a los de un nuevo proveedor en un formato que permita su utilización, en el plazo más breve posible, con total garantía de la integridad de la información y sin incurrir en costes adicionales. – En particular, el cliente debe tener la opción de exigir la portabilidad de la información a sus propios sistemas de información o a un nuevo prestador de cloud cuando considere inadecuada la intervención de algún subcontratista o la transferencia de datos a países que estime no aportan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 garantías adecuadas. – También es particularmente importante en los casos en que el proveedor de cloud modifique unilateralmente las condiciones de prestación del servicio dado su poder de negociación frente al cliente. – Solicite información y garantías al proveedor sobre la portabilidad de los datos personales. Como ya se ha indicado, en el presente caso la relación establecida entre el titular y el prestador del servicio no responde al esquema de responsable-encargado de tratamiento y, si bien los requisitos expuestos resultan deseables en servicios de la sociedad de la información como el que venía prestando TELEFÓNICA DE ESPAÑA, S.A.U. a través de la marca Terabox, los mismos no resultan exigibles al caso analizado. En este sentido, del análisis de las medidas adoptadas por la compañía para informar a sus clientes, con antelación suficiente, de la finalización del servicio y del procedimiento habilitado para que estos pudieran exportar las informaciones que mantenían en su espacio de almacenamiento online, se concluye que fue adecuado y respetuoso con la normativa de protección de datos, en particular con lo previsto en el apartado 5 del artículo 16 de la LOPD. El prestador del servicio ha aportado asimismo referencias detalladas acerca de los repetidos accesos al servicio por parte del titular, en las fechas en las que se había habilitado un aviso informativo con instrucciones para la portabilidad de los contenidos. Procede reseñar asimismo que esta Agencia no ha recibido más denuncias de otros clientes al respecto de los mismos hechos o de cualquier otra incidencia relativa a la finalización del servicio de almacenamiento online. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a TELEFÓNICA DE ESPAÑA, S.A.U. y a don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es