1/6 Expediente Nº: E/02505/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ESEMTIA GRUPO EDEBE, S.L. en virtud de denuncia presentada por PROTECLINE, S.L. y teniendo como base los siguientes HECHOS PRIMERO: Con fechas 04/04 y 24/05/2017, tuvieron entrada en esta Agencia sendos escritos presentados por la entidad PROTECLINE, S.L. (en lo sucesivo la denunciante), mediante el que formula denuncia contra ESEMTIA GRUPO EDEBE, S.L. (en lo sucesivo ESEMTIA) por la existencia de una posible brecha de seguridad en la plataforma “Esemtia”, en la que se recogen datos personales de alumnos, profesores, tutores, etc., para su seguimiento por parte de centros educativos, la cual podría hacer posible el acceso a la información por parte de terceros no autorizados desde la url “***URL.1” modificando el “id” de alumno. Añade la denunciante que previamente contactó y mantuvo reuniones al respecto con ESEMTIA, según se acredita mediante un correo electrónico que le fue remitido por esta entidad informando que se daba traslado de la incidencia a su responsable y a la empresa con la que tiene contratado el servicio de protección de datos, no habiendo tenido ninguna otra noticia posterior. La entidad denunciante no aportó documentación alguna que acreditara los accesos indebidos denunciados. SEGUNDO: Tras la recepción de la denuncia, por los Servicios de Inspección de la AEPD se llevaron a cabo las actuaciones previas de investigación siguientes: 1. En respuesta al requerimiento que le fue realizado, la entidad ESEMTIA informó que se modificó el código fuente de la aplicación para validar los parámetros de entrada de acceso a la API de comunicación para evitar accesos fraudulentos. 2. Con fecha 07/03/2018, utilizando el usuario y contraseña proporcionados por ESEMTIA, por los Servicios de Inspección se accedió a la plataforma web “***URL.1” para realizar las comprobaciones siguientes: Se accede a la aplicación con un usuario con rol “Padre”, que tiene asignadas dos alumnas, A.A.A.y B.B.B.. Está preseleccionada por defecto la información de la primera de ellas. Se abre el apartado de “Herramientas para Desarrolladores” del navegador utilizado (Chrome), y tras un examen del código de la página se puede colegir que la primera de las alumnas tiene Id de Alumno ***COD.1 y la segunda tiene Id de Alumno ***COD.2. Se prueba a modificar cambioAlumno(***COD.1) por cambioAlumno(***COD.2) y se hace click sobre el área de la alumna A.A.A.(impresión núm. 4), observándose que se cambia la información mostrada en la pantalla por la de la alumna B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Se prueba a modificar cambioAlumno(***COD.1) por cambioAlumno (***COD.3) y se hace click sobre el área de la alumna A.A.A.. En este caso, la aplicación no genera información relativa a ningún alumno. Se prueba a modificar configurarAlumno(***COD.1) por configurarAlumno(***COD.2) y se hace click sobre el área con el lápiz asociado a la alumna A.A.A., observándose que se presentan los datos de la configuración relativa a la alumna B.B.B.. Se prueba a modificar configurarAlumno(***COD.1) por configurarAlumno(***COD.4 y se hace click sobre el área con el lápiz asociado a la alumna A.A.A., observándose que se presentan los datos de la configuración relativa a la alumna A.A.A.. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 9 de la LOPD establece: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 otros aspectos, el “acceso no autorizado” por parte de terceros. Los artículos 91 y 93 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
- b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 En definitiva, la entidad ESEMTIA está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, la citada entidad incumplió esta obligación, al haber quedado acreditada la posibilidad de que terceros no autorizados pudieran acceder a la información contenida en la plataforma web “***URL.1”, relativos a alumnos, profesores, tutores, etc. En concreto, consta que al acceder a la citada plataforma por parte de los usuarios, una vez identificados y autenticados a través de un código de usuario y una contraseña, se genera una URL que incluye un “id” de alumno y que, modificando este dato por una “id” distinta la URL que se genera permitía acceder a las facturas de otros usuarios. Se trata de deficiencias apreciadas en el sistema de información diseñado por la propia entidad ESEMTIA, que fueron objeto de denuncia ante esta Agencia y que no fueron negadas por ESEMTIA, la cual se limitó a señalar a los Servicios de Inspección que había modificado el código fuente de la aplicación para validar los parámetros de entrada de acceso a la API de comunicación para evitar accesos fraudulentos. Así, los datos personales de los usuarios de la plataforma mencionada resultaron accesibles por parte de otros usuarios, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que ESEMTIA ha incurrido en la infracción grave descrita, tipificada como infracción grave en el artículo 44.3.
- h)de la LOPD: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. IV El apartado 6 al artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. b Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establecen lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD (los hechos están referidos a infracciones leves y grave; y la entidad denunciada no ha sido sancionada o apercibida con anterioridad por esta Agencia). Junto a ello se constata una cualificada disminución de la culpabilidad de ESEMTIA por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, el volumen de negocio o actividad del infractor, al tratarse de una pequeña empresa; la ausencia de beneficios; y la regularización llevada a cabo para subsanar las deficiencias apreciadas. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, procedería someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella, y considerando que el objeto del apercibimiento es la imposición de medidas correctoras, la SAN citada concluye que cuando no deban ser requeridas tales medidas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado, en el presente caso, se ha comprobado por los Servicios de Inspección de la Agencia que el acceso mediante usuario y contraseñas sólo ofrecía información asociada al usuario y que, al modificar el “Id”, no se accedía a información de terceros, de modo que se entienden subsanadas las deficiencias descritas en los Fundamentos de Derecho anteriores, por lo que no procede exigir medidas para regularizar los reparos que motivaron la denuncia. Por tanto, a la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que no procede requerir la adopción de medidas correctoras, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ESEMTIA GRUPO EDEBE, S.L. y PROTECLINE, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es