1/8 Expediente Nº: E/02290/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad Gas Natural Servicios SDG SAU en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 9 de marzo de 2016, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) contra Gas Natural Servicios SDG SAU en el que denuncia que alguien está accediendo a su área de usuario y cambiando frecuentemente su dirección de correo electrónico y otras opciones de usuario. Según afirma, estos hechos vienen produciéndose desde noviembre de 2015 y son deducidos de los continuos correos electrónicos recibidos desde la cuenta respuesta@gasnatural.com con destino D.D.D. con asuntos como “Datos de acceso al Área de Clientes” y “Confirmación de Correo Electrónico”. Aporta copia de las comunicaciones recibidas que se anexan al expediente.
- a)En los correos que tienen el asunto “Datos de acceso al Área de Clientes” se informa en el cuerpo del mensaje del identificador de usuario asignado así como de un enlace a través del cual cambiar su contraseña de acceso.
- b)En los correos que tienen el asunto “Confirmación de Correo Electrónico” se solicita al destinatario que haga clic en un enlace para confirmar su correo electrónico.
- c)En un correo electrónico se le indica a la denunciante que se ha recibido una solicitud, con el asunto “Acuse de Recibo Solicitud N°: *******1”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Hasta el 3/12/2015 el usuario asociado a la denunciante fue I.I.I.. En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 esta fecha se cambia el usuario a D.D.D. según las consultas realizadas durante la inspección realizada a GNS. 2. En fecha 23/3/2016 constan tres entradas registradas en el sistema de reclamaciones de GNS asociadas a la denunciante, dos de ellas referidas al Área Privada. Consultadas dichas entradas aparece: - A las 13:34 se registra la primera interacción, consistente en una llamada telefónica en la que una persona que ha pasado la política de seguridad de la entidad (anotada SI PS) informa de un error en la dirección de correo electrónico. - Queda anotado que en lugar de D.D.D. es B.B.B.. - A las 13:53 se registra el escalado de la incidencia a personal mas especializado. 3. En fecha 23/2/2016 se realizó un acceso al área de usuario de GNS con el usuario B.B.B.. 4. En fecha 23/2/2016 se realizó un cambio de usuario asociado a la denunciante, pasando de B.B.B. a D.D.D.. 5. En fecha 1/3/2016 se realizó un acceso al área de usuario de GNS con el usuario B.B.B.. Se realiza una consulta respecto de los accesos al área de cliente realizados por el cliente de los usuarios B.B.B. y D.D.D., entre las fechas 23/2/2016 al 1/3/2016, verificándose que todos los accesos se han realizado desde la misma dirección IP H.H.H.. Se observa que entre conexiones con un usuario y con otro pasan apenas unos minutos. Así, sin ser exhaustivos, se realizan las siguientes conexiones: Hora Usuario 13:30:38 B.B.B. 13:36:05 D.D.D. 13:40:40 B.B.B. 13:50:14 D.D.D. 6. Mediante escrito con entrada en fecha 6/2/2016 informa GNS: a. El protocolo de atención telefónica al cliente de GNS En primer lugar, el operador que atiende la llamada aplica los diferentes filtros de seguridad contemplados en la PS en función del tipo de gestión/información que solicite la persona que llama. Una vez superados los mencionados filtros de seguridad, el operador realiza la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 gestión o facilita la información solicitada por el cliente. Antes de finalizar la llamada, el operador pregunta al cliente si desea aprovechar para confirmar que los datos de que dispone GNS están actualizados y son correctos. Si el cliente acepta, el operador le pide que confirme su número de teléfono y dirección de correo electrónico. Así, es el cliente quien facilita sus datos y el operador únicamente los modifica en la base de datos de GNS si son diferentes respecto de los que constan informados en el sistema. Por tanto, si el operador entiende que los datos facilitados por el cliente son iguales que los que constan informados en el sistema, no realiza ninguna modificación. b. Las modificaciones realizadas en la dirección de correo electrónico de la denunciante que consta informada en SIEBEL A modo de ejemplo, se detallan algunos de los casos mencionados: - Llamada de 5/10/15: se actualiza incorrectamente el correo electrónico registrando: F.F.F. (falta una “n” y una “c”) - Llamada de 18/11/15: se actualiza incorrectamente el correo electrónico registrando: G.G.G. (falta una “l”, una “n” y una “c”) - Llamada de 21/11/15: se actualiza incorrectamente el correo electrónico registrando E.E.E. (se incorporar la “l” y la “n” pero se olvida la “c”). - Llamada de 30/11/15: se actualiza correctamente el correo electrónico. - Llamada de 28/12/2015: se actualiza incorrectamente el correo electrónico registrando C.C.C. (se añade una “s”). - Llamada de 11/01/16: se actualiza correctamente el correo electrónico. - Llamada de 19/02/16: se actualiza incorrectamente el correo electrónico registrando B.B.B. (se añade “.co”). Aporta la entidad copia de la pantalla extraída del sistema informático de la compañía en la que se aprecian las modificaciones realizadas en el correo electrónico de la denunciante a través de la plataforma telefónica en las fechas arriba indicadas. Entiende GNS que las modificaciones incorrectas en el correo electrónico de la denunciante fueron consecuencia de las dificultades de comprensión entre ésta y los operadores de la plataforma de Atención al Cliente, muy posiblemente debido a la complejidad de la propia dirección de correo electrónico. c. La asimilación del “usuario de acceso” a la dirección de correo electrónico En el mes de octubre de 2015 se implementó una mejora en el Área Privada consistente en que en aquellos casos en que los clientes modificasen la dirección de correo electrónico que tenían informada en el Área Privada, esta dirección se convertía también automáticamente en su “usuario de acceso” para el Área Privada. Este cambio se informaba al cliente mediante un aviso en pantalla. Con esta modificación se pretendía mejorar la accesibilidad de los clientes al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Área Privada ya que GNS había detectado que los clientes olvidaban frecuentemente su “usuario de acceso” y no podían entrar en el Área Privada, debiendo solicitar para ello la funcionalidad “recordar usuario”/recordar contraseña. Si el usuario de acceso es el mismo que la dirección de correo electrónico, la probabilidad de que el cliente olvide su usuario de acceso era menor. Debido a esta asimilación entre “usuario de acceso” y “dirección de correo electrónico”, el “usuario de acceso” de la Sra. A.A.A. pasó de ser “ I.I.I.” a ser “ D.D.D.” como consecuencia de una de las modificaciones de correo electrónico realizada a través de la plataforma telefónica de Atención al Cliente que se han detallado más arriba. d. La operativa de la funcionalidad “Recordar Contraseña” Cuando el cliente no logra acceder a su Área Privada y solicita la funcionalidad “Recordar Contraseña”, debe introducir su dirección de correo electrónico y su NIF en el formulario del Área Privada. Área Privada busca en su base de datos al cliente a partir del NIF y cuando lo encuentra realiza la siguiente operación para validar que la dirección de correo electrónico introducida por el cliente se corresponde con la que consta informada en SIEBEL: “Si <email_cliente_en_bbdd> contiene Email_introducido_por_cliente_enjormulario> se sigue adelante con el proceso” Sin embargo, la formulación de la anterior operación no ha resultado todo lo precisa que debiera en el caso de la Sra. A.A.A. ya que el uso de la operación “contiene” en lugar de la operación “es igual” provocó la desalineación entre el “usuario de acceso” y la dirección de correo electrónico el día 23/02. e. Las incidencias de acceso de la Sra. A.A.A. al Área Privada Como consecuencia de la falta de entendimiento entre la Sra. Al A.A.A. y la plataforma telefónica de Atención al Cliente descrita anteriormente, se sucedieron reiteradas incidencias en el acceso de la Sra. A.A.A. al Área Privada. En concreto, la Sra. A.A.A. no podía acceder a su Área Privada porque le aparecía un error que indicaba que su “usuario de acceso” era incorrecto y cuando ella solicitaba la funcionalidad “recordatorio de contraseña” no llegaba a recibir el correo necesario para cambiar la contraseña porque la dirección de correo electrónico que introducía no coincidía con la que constaba registrada en el Área Privada y que había sido modificada por la plataforma telefónica. Por tanto, en los periodos en que la dirección de correo electrónico de la Sra. A.A.A. estuvo bien informada en el sistema, ésta pudo acceder sin problemas a su Área Privada. Sin embargo, en los períodos en que la dirección de correo electrónico informada en el Área Privada estaba equivocada, la Sra. A.A.A. no podía acceder porque el nombre de usuario que ella introducía no se correspondía con el que constaba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 registrado y cuando ella solicitaba la funcionalidad de “Recordar contraseña” no podía finalizar el proceso. f. Desalineación entre el usuario de acceso ( B.B.B.) y la dirección de correo electrónico ( D.D.D.) del Área Privada El día 23/02/16 la Sra. A.A.A. intentó entrar en el Área Privada con el usuario de acceso “ D.D.D.” ya que creía que ese era su usuario de acceso por tratarse de su dirección de correo electrónico. Sin embargo, el sistema no le permitió el acceso ya que constaba registrado el correo electrónico equivocado “ B.B.B.” a raíz de la modificación realizada el día 19/02/16 por la plataforma telefónica de Atención al Cliente. Al no poder acceder, la Sra. A.A.A. solicitó “Recordar Contraseña” e introdujo su dirección de correo electrónico y su NIF. Es en este momento donde entró en juego la fórmula descrita anteriormente y el sistema aplicó la siguiente comprobación: ‘¿ B.B.B. contiene D.D.D.?” Al cumplirse dicha condición, el sistema siguió adelante con el proceso de validación y registró el correo electrónico D.D.D. en el sistema, quedando desalineados los datos de acceso al Área Privada de la siguiente forma: Usuario de acceso: B.B.B. Correo electrónico: D.D.D. Como consecuencia de lo anterior, la Sra. Alc A.A.A. recibió un correo electrónico en su dirección D.D.D. en el que se indicaba que su usuario de acceso era B.B.B.. Por ello el correo electrónico recibido por la Sra. A.A.A.: “Estimado usuario: Acabas de solicitar que te recordemos tu contraseño de acceso a Área clientes. A través del enlace !r a cambiar contraseña” podrás generar una nueva con traseña de acceso. Te recordamos el usuario que tienes que utilizar para acceder a Área clientes: B.B.B..” Por dicho motivo, la Sra. A.A.A. creyó que alguien estaba modificando su nombre de usuario fraudulentamente a B.B.B.. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre (en lo sucesivo RDLOPD) , de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II Establece el artículo 9 de la LOPD que El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.”, Establecen los arts. 91 y 93 del RDLOPD lo siguiente: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. En el presente caso de las actuaciones practicadas no se advierte vulneración de la LOPD y su normativa de desarrollo, ya que los hechos denunciados y cuyo análisis constan en el Informe de Actuaciones Previas de Inspección, obedecen al cumplimiento del deber de instaurar medidas de seguridad previstas en los artículos 9 de la LOPD y 91 y 93 del RDLOPD antes citados, para garantizar el control de acceso a la información y la necesaria identificación y autenticación de los usuarios. Suceden incidencias técnicas para actualizar dichos controles (determinación de usuario y contraseña) que tienen como consecuencia la recepción de las comunicaciones antes descritas por parte de la denunciante, pero en ningún caso, se ha verificado deficiencias en la seguridad de la información relativa a la denunciante ni el acceso de terceros no autorizados, únicamente constan actuaciones de la entidad denunciada para establecer los controles que requiere los artículos citados. Por lo expuesto, en la actuación de GAS NATURAL FENOSA no se advierte conducta prevista en el catálogo de infracciones previsto en el Titulo VII de la LOPD, procediendo al archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a Gas Natural Servicios SDG SAU y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es