E-02661-2016

1/6 Expediente Nº: E/02661/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades ASSOCIACIÓ CULTURAL LLEIDA SALUT, y SMART MEDICAL SOLUTIONS, S.L., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28 de abril de 2016, tuvo entrada en esta Agencia escrito remitido por Don A.A.A., en el que indica lo siguiente: La compañía SMART MEDICAL SOLUTIONS, S.L. (en adelante SMART MEDICAL) es titular del dominio <www.medkia.pro> que gestiona una aplicación para teléfonos móviles y tabletas denominada “LleidaSalut”, que debe instalarse en dichos dispositivos, y posteriormente registrarse mediante un formulario para obtener el código de usuario y contraseña. En el momento que el usuario se registra de forma automática el sistema capta los contactos que figuran en la agenda del terminal del usuario con toda la información relativa a cada uno de ellos, sin informar ni solicitar el consentimiento, dicho proceso queda acreditado mediante acta notarial que se adjunta. Añade que la entidad titular del servidor debe usar tales datos para fines ilegítimos y el hecho de recabar datos de un modo fraudulento ya es constitutivo de infracción a la Ley Orgánica 15/

1. Que según el denunciante tuvieron lugar los hechos a fecha de julio de 2015 Se anexa con el escrito de denuncia ACTA DE PRESENCIA, de fecha 27 de julio de 2015, del notario del ilustre colegio de Catalunya, al que le requiere el denunciante para que haga constar las operaciones que se realicen en su presencia: - En un ordenador portátil del requirente se conecta a internet y abre el programa denominado “charles”, que hace que el ordenador actúe como servidor “proxy”, para que otros dispositivos puedan acceder a internet a través de él y controlar los datos que entran y salen de los dispositivos que se conecten a internet de esta forma. - El dispositivo móvil “Android” se conecta a internet y se descarga la app “LleidaSalut”, se modifica el puerto de acceso para que los datos se reciban en el móvil a través del ordenador portátil. - El requirente crea un usuario para acceder a la aplicación “LleidaSalut” y al acceder se observa en la pantalla del ordenador que entre el tráfico de datos hay un bloque denominado “cercle_amics.php” cuyo contenido parece corresponder a los datos de contacto del móvil: nombre, teléfonos, correos electrónicos, direcciones y fecha de nacimiento, no habiéndose solicitado autorización para acceder a dichos datos, según imágenes siete y ocho. - A continuación las precitadas comprobaciones se realizan por medio de un dispositivo “iPad” y se introduce en los contactos uno de prueba que indica el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 notario, imagen trece, se observa que en el bloque <http://www.medkia.pro>, apartado “cercle_amics.php”, constan los datos coincidentes con el contacto de prueba, no habiéndose solicitado autorización para acceder a dichos datos. - De todo lo anterior se desprende que al acceder por primera vez un usuario a la aplicación “LleidaSalut”, los datos relativos a nombre, teléfonos, direcciones y correos de contacto son transferidos al dominio <www.medkia.pro> sin que aparezca ningún mensaje solicitando autorización para acceder a los contactos. Acompaña impresión de las “16” imágenes tomadas de las actuaciones relacionadas anteriormente. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
2. La Inspección de Datos ha solicitado al denunciante para que informara si tiene constancia de los tratamientos que se realizan con los datos personales de los contactos que capta la aplicación “LleidaSalut” en el momento del registro, manifestando que no tiene constancia por lo que no puede aportar documentación acreditativa al respecto.
3. La Inspección de Datos ha verificado, con fecha de 12 de diciembre de 2016, que al proceder a la instalación en un terminal móvil de la aplicación “LleidaSalut” el sistema informa de los recursos del dispositivo a los que tendrá acceso, con el siguiente texto “LleidaSalut necesita acceder a Contactos utiliza información de contacto, Ubicación, Teléfono, Fotos/multimedia/archivos e ID de dispositivo y datos de llamada”, siendo necesario clicar ACEPTAR para continuar con la instalación de la aplicación. Se adjunta impresión de pantalla de dicha circunstancia anexa a la Diligencia de fecha 12 de diciembre de
5. De las actuaciones realizadas por la Inspección de Datos ante representantes de la compañía SMART MEDICAL SOLUTIONS, S.L. (en adelante SMART MEDICAL) y la Associació Cultural Lleida Salut (en adelante ASOCIACIÓN) se desprende lo siguiente: - La ASOCIACIÓN es una organización sin ánimo de lucro cuya finalidad es la de promover actividades sanitarias y hábitos saludables, divulgar artículos de prevención de enfermedades y organizar cursos, de acuerdo a lo establecido en la Ley 4/2008, de 24 de abril, del Código Civil de Cataluña y en la Ley Orgánica 1/2002, de 22 de marzo, reguladora de asociaciones. Se encuentra inscrita en el Registro de Asociaciones de la Generalitat de Catalunya con el nº
6. El ámbito de actuación fue la provincia de Lleida si bien en la actualidad no desarrolla actividad ni dispone de domicilio social. El Presidente de la ASOCIACIÓN es también administrador solidario de la compañía SMART MEDICAL. - El titular de la aplicación “LleidaSalut” y responsable de su desarrollo y gestión es la ASOCIACIÓN; su desarrollo fue contratado a la empresa INGENIUM y los servicios de hosting (equipos servidores) en los que residen los ficheros utilizados por la aplicación fueron contratados a la empresa FOCALIA MEDIA, S.L. (en adelante FOCALIA). Las entidades FOCALIA y la ASOCIACIÓN suscribieron un contrato en materia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 de protección de datos, con fecha de 15 de mayo de 2012, en relación con el acceso a datos personales titularidad de la ASOCIACIÓN por parte de FOCALIA. Entre las previsiones se encuentran que el prestador cumplirá las disposiciones contenidas en la normativa vigente en materia de protección de datos, se trataran los datos de manera confidencial, conforme a las instrucciones del titular, no se utilizaran para finalidades diferentes a las del objeto del presente contrato y a implantar las medidas de índole técnica y organizativas que garanticen la seguridad de los datos de carácter personal. Se adjunta dicho contrato y anexo I Medidas de seguridad de nivel básico, en el que se detallan las medidas de aplicación. - El objeto de la aplicación “LleidaSalut” era ofrecer un servicio de localización de profesionales de la salud cuya información había sido obtenida de guías públicas como repertorios de colegios profesionales y sociedades médicas privadas y en ningún caso trataba datos de salud. La aplicación “LleidaSalut” podía ser descargada de forma gratuita de los repositorios de aplicaciones para dispositivos móviles con sistemas Android e IOS, y estuvo disponible desde marzo de 2014 a junio de
7. Aproximadamente fue utilizada por 400 usuarios, y en la actualidad no está operativa. Para acceder a la aplicación, una vez instalada, era necesario cumplimentar los siguientes datos personales de registro: nombre, apellidos, DNI, dirección de correo electrónico, sexo, fecha de nacimiento, teléfono y clave de acceso, siendo obligatorio aceptar las condiciones de uso. En el AVISO LEGAL, POLÍTICA DE PRIVACIDAD y FINALIDAD DE LA RECOGIDA se informaba de los siguientes aspectos: Del titular de la aplicación y donde ejercer los derechos: denominación, dirección postal, CIF y correo electrónico. “Puntualmente se accederá si así lo has aceptado expresamente a la agenda de contactos de tu dispositivo para localizar teléfonos móviles de contactos de usuarios que pertenecen a entidades o profesionales de la salud a fin de facilitarte gestiones administrativas con estos si bien estos no se almacenaran”. - Una vez registrado el usuario, para acceder a la aplicación es necesario introducir la dirección de correo electrónico y la clave de acceso. Durante el proceso del primer acceso y con una periodicidad de 30 días, la aplicación vuelca en el servidor el fichero de contactos del terminal, solicitando el sistema operativo, previamente, autorización para acceder a los contactos. - La finalidad para la que se transmite al servidor los contactos es para comprobar si los números de teléfonos registrados en el terminal (contactos) coinciden con el número de teléfono de algún profesional de los existentes en la base de datos de profesionales, que reside en el servidor. En caso afirmativo, se asocia el código del usuario con el código del profesional con objeto de que cuando el usuario busque un profesional a través de la aplicación, sean estos los primeros en mostrar. Una vez finalizado este proceso se procedía al borrado del fichero de contactos y este proceso utiliza exclusivamente el campo de número de teléfono del fichero de contactos. - Los datos personales de los usuarios de la aplicación se incorporaban al fichero automatizado denominado “GESTION DE SOCIOS Y USUARIOS”, inscrito en el Registro General de Protección de Datos, con el código ***CÓD.1, siendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 responsable la ASOCIACIÓN y cuya finalidad es “gestión de los socios de la asociación y de usuarios que participen en las actividades promovidas por esta”. En el Documento de seguridad de la ASOCIACIÓN, de fecha 14 de octubre de 2015, se recogen las medidas de índole técnica y organizativas para garantizar la confidencialidad y la integridad de los datos de carácter personal según la Ley Orgánica 15/1999 y el Real Decreto 1720/2007, cuya copia se adjunta. - El contrato con la compañía FOCALIA se encuentra cancelado y todos los “datos del alojamiento destruidos: web, bases de datos y backup”, según consta en el escrito, de fecha 8 de julio de 2016, remitido por correo electrónico, desde la dirección <....@focalia.es> a <....1@....>, en respuesta a la solicitud de la ASOCIACION de la baja de los servicios de alojamiento, cuya copia se adjunta. - La Inspección de Datos, en presencia de los inspeccionados proceden a la descarga e instalación en un terminal móvil de la aplicación “LleidaSalut” y a continuación intentan realizar el registro de un nuevo usuario, obteniendo como resultado el mensaje “AVIS. No se ha podido registrar el usuario”. Previamente a la instalación de la aplicación el sistema informa de los recursos del dispositivo a los que tendrá acceso: “LleidaSalut necesita acceder a Contactos, Ubicación, Teléfono, Fotos/multimedia/archivos e ID de dispositivo y datos de llamada”, siendo necesario clicar ACEPTAR para continuar con la instalación de la aplicación. Se adjunta impresiones de pantalla de dichas comprobaciones. - Los representantes de SMART MEDICAL y la ASOCIACIÓN manifiestan que el denunciante es un profesional de desarrollo de aplicaciones informáticas al cual se le solicitó presupuesto para el desarrollo de la aplicación “LleidaSalut” y que no fue aceptado.
8. La Inspección de Datos ha verificado que en el Registro General de Protección de Datos, se encuentra inscrito el fichero denominado “GESTION DE SOCIOS Y USUARIOS”, siendo responsable la ASOCIACIÓN y que se encuentra suprimido. Dichas circunstancias constan en la Diligencia de fecha 7 de marzo de
9. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 II En relación con los hechos denunciados y las comprobaciones realizadas por esta Agencia Española de Protección de Datos, debe señalarse, en primer lugar, que cuando una persona decide descargarse la aplicación objeto de denuncia, al proceder a la instalación en un terminal móvil de dicha aplicación denominada “LleidaSalut” el sistema informa de los recursos del dispositivo a los que tendrá acceso, con el siguiente texto “LleidaSalut necesita acceder a Contactos utiliza información de contacto, Ubicación, Teléfono, Fotos/multimedia/archivos e ID de dispositivo y datos de llamada”, siendo necesario clicar ACEPTAR para continuar con la instalación de la aplicación, por lo que se cuenta con su consentimiento para realizar ña instalación. Teniendo en cuenta lo anterior, debe señalarse en segundo lugar que la información que exige el artículo 5 de la LOPD, los usuarios conocen la información relativa al tratamiento de sus datos que realizan las entidades cuando le prestan su servicio de búsqueda de farmacias o médicos. Ahora bien, respecto de los permisos que las aplicaciones solicitan al usuario del dispositivo en el que se van a instalar y la información ofrecida por la entidad responsable del servicio de descarga y de acuerdo con la información obtenida durante las Actuaciones Previas de Inspección en relación con la denuncia planteada debe indicarse que, los permisos que el usuario otorga a la aplicación en cuestión, son necesarios para el mejor funcionamiento de la misma. Y respecto de la información recopilada en el uso de las funcionalidades de la aplicación, al abrigo de los permisos que el usuario previamente otorga, tal como se pone de manifiesto en los Antecedentes de la presente resolución, no resulta acreditado que la entidad denunciada recopile y almacene dato alguno que haga necesaria información adicional a la ofrecida inicialmente en el momento de la contratación de los servicios de la entidad. Asimismo, la descarga y uso de este tipo de aplicaciones responde a la voluntad del usuario que decida libremente utilizarlo. Cuestión distinta es que en la mayoría de ocasiones el usuario medio no tiene conocimientos informático-técnicos para entender plenamente la finalidad de un determinado permiso (ni puede exigírsele), sirva a modo de ejemplo que cuando una aplicación del estilo de las analizadas solicita el acceso a la galería o a la carpeta de archivos del terminal, a priori, puede parecer excesivo dada la finalidad de la aplicación que no es otra que el ofrecimiento de los servicios que presta. III En conclusión, no resulta acreditada vulneración del derecho de información que ostentan los titulares de los datos personales objeto de tratamiento, ya que la información que se ofrece a través la cláusula informativa, cumple con el art. 5 de la LOPD, sin perjuicio de que sería deseable que las entidades que ofrecen servicios a través de una determinada aplicación adecuen el lenguaje de la información ofrecida al usuario que no tiene por qué conocer cuestiones técnicas determinadas, para así garantizar una expectativa razonable de privacidad del ciudadano al usar dichos servicios y no perciba que el uso de las posibilidades que ofrece el estado actual de la tecnología en estos casos, implique un determinado riesgo o una conculcación de su privacidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ASSOCIACIÓ CULTURAL LLEIDA SALUT, SMART MEDICAL SOLUTIONS, S.L., y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es