E-03169-2017

1/11 Expediente Nº: E/03169/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ASOCIACIÓN HAZTEOIR.ORG en virtud de denuncia presentada por B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24/04/2017, tuvo entrada en esta Agencia escrito de D./Dña. B.B.B. (en lo sucesivo el denunciante), en el que denuncia a ACABGang, ASOCIACIÓN HAZTEOIR.ORG (en lo sucesivo HAZTEOIR.ORG), por los siguientes hechos: 1. Los sistemas informáticos de la asociación HAZTEOIR.ORG han sido “hackeados” y se ha colgado en Internet un gran volumen de datos personales pertenecientes a personas que han firmado iniciativas con la asociación y personas que han realizado donativos, así como socios (algunos con relevancia social). El denunciante es uno de los afectados. 2. Algunos de los datos personales filtrados han sido: direcciones de correo electrónico, teléfonos, números de cuentas bancarias, DNIs y domicilios. 3. La información ha sido expuesta en una web de URL ***URL.1 En la caché de Google aún se puede consultar. En la denuncia se incluye el enlace a dicha caché. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La información, supuestamente disponible a través de la URL ***URL.1, dejó de estarlo a los pocos días de su exposición, tras la aplicación de medidas cautelares dictadas por un juez. Sin embargo, se ha constatado que, después de varios meses, aún se puede encontrar gran parte de los datos filtrados alojados en servidores conectados a la red TOR, pudiendo ser descargados a través de páginas web chinas y con ayuda de software específico. Con fecha 20/02/2018 la Inspección pudo acceder a dicha información y descargó, entre otras, la carpeta que menciona el denunciante en la denuncia (***CARPETA.1”). Aunque no se ha encontrado el nombre del denunciante en los ficheros contenidos en dicha carpeta, sí que se ha hallado éste en ficheros de otras carpetas (“***CARPETA.2” y “***CARPETA.3”). Examinado el resto del contenido del fichero descargado, se ha encontrado información que se ajusta a lo que el denunciante detalla en su denuncia, en lo relativo a datos de ciudadanos que han participado en votaciones organizadas por la asociación, y datos de donantes y socios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 Se ha requerido información de la citada brecha de seguridad a la asociación denunciada HAZTEOIR.ORG, y ésta ha aportado la siguiente información relevante al caso: Detalles de cómo se produjo la brecha de seguridad  Con fecha 3/4/2017 tienen conocimiento a través de las redes sociales de que un grupo de delincuentes informáticos, que se hacen llamar ACABGang, habrían logrado saltar las medidas de seguridad de la asociación o de alguno de sus proveedores, accediendo a información confidencial de la asociación  En los dos días siguientes, 4/4/2017 y 5/4/2017, los atacantes fueron publicando en la red social Twitter información encontrada en los documentos comprometidos, aparte de intimidar al Presidente de la asociación con llamadas telefónicas desde números falsos, con amenazas y chantajes.  El presidente de la asociación fue haciendo denuncias en distintas comisarías de España a medida que se iban conociendo nuevos datos del ataque, y pusieron el asunto en manos de la Brigada de Delitos Informáticos de la Policía Nacional, con quien estuvieron colaborando estrechamente.  El día 7/4/2017 fue cuando se expuso la documentación a través de la web ***WEB.1 del grupo hacker ACABGang. Adicionalmente, se publicaron las contraseñas de varias cuentas de Twitter de la asociación, muchas de las cuales llevaban mucho sin usarse, y los hackers entraron en algunas para dejar su huella.  Tras un intento fallido, la asociación consiguió que el juzgado de Instrucción 11 de Madrid decretara medidas cautelares, entre las que se encontró el bloqueo de las conexiones a la página de ACAB Gang. Alcance de la brecha de seguridad El único sistema con datos personales afectado por el ataque fue la cuenta de Dropbox (servicio de almacenamiento “en la nube”), ya que su investigación interna y la policial concluyó que ninguno de sus ordenadores o servidores habían sido comprometidos. Los atacantes habían conseguido averiguar la contraseña de una de las cuentas con permisos de administrador, ***EMAIL.1, y a través de dicha cuenta pudieron acceder a la información almacenada en el resto de cuentas de usuario, aprovechándose de esta característica de los usuarios administradores en el servicio de Dropbox modalidad Business. Tras las pesquisas que realizó la Brigada de Delitos Informáticos de la Policía y las comprobaciones que la asociación realizó a nivel interno, no hay certeza sobre la forma en que los hackers se pudieron hacer con la contraseña. Según el análisis forense del ordenador del Presidente de HAZTEOIR.ORG que hizo la Policía, los hackers no comprometieron ese ordenador. Tampoco tienen constancia de ningún otro ordenador en el que pudieran haber entrado los hackers. Es cierto que ellos sí que pudieron acceder a un documento Word muy antiguo con unas pocas contraseñas que se guardaba en una de las cuentas de Dropbox Business hackeadas. Gracias a una contraseña que incluía ese documento, los hackers lograron C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 acceder a uno de los servidores de HAZTEOIR.ORG, servidor que no contenía ningún dato de carácter personal, sino versiones antiguas de las páginas web. La asociación se puso en contacto con Dropbox con motivo del ataque, pero ésta no les proporcionó ninguna información de valor que pudiera esclarecer el caso. Utilizando una funcionalidad que viene incluida en la aplicación, fueron capaces de extraer una lista con 15 accesos sospechosos a la cuenta ocurridos el día 03/04/2018, con IPs localizables en Madrid, Valencia, Berlín y Jaén. Documentación comprometida y número de personas afectadas La documentación almacenada en el servicio Dropbox se estructuraba en:  Bases de datos de respaldo, con suscriptores, socios y colaboradores de la organización  Documentos de trabajo interno de los empleados de la organización (personales/familiares, gestión interna) Además de los datos descritos, también había documentos con procedimientos, protocolos, proyectos, análisis, etc. Medidas adoptadas a raíz del incidente La Policía no logró identificar a los autores ni pudo determinar cómo se hicieron con la contraseña de la cuenta comprometida, pero la organización aprovechó para revisar los sistemas de seguridad y almacenamiento. Las medidas principales que se tomaron fueron: 1. Revisión interna y actualización de las medidas de seguridad 2. Auditoría externa en materia de protección de datos personales. Apo rtan el documento con el resultado de dicha auditoría, llevada a cabo por ONTIER ESPAÑA SL. 3. Dejar de usar Dropbox para los backup y conservarlos en servidor propio 4. Informar a usuarios afectados y comunicarles las medidas correctoras Respecto a la utilización del servicio de Dropbox, la asociación declara lo siguiente: HAZTEOIR.ORG tenían contratada con Dropbox una licencia corporativa Dropbox Business. Existen dos perfiles de acceso: usuarios administradores y usuarios convencionales. Existían 2 usuarios de tipo administrador, correspondientes al Presidente y al Responsable de Seguridad. Había 14 usuarios de tipo convencional.  Las cuentas de tipo convencional disponen de un espacio privado para depositar sus ficheros. Un usuario puede compartir parte o todo su espacio con los usuarios que desee.  Las cuentas de tipo administrador pueden acceder a todas las cuentas de trabajo convencionales y consultar sus ficheros, compartir, eliminar, restaurar ficheros eliminados, etc. Los administradores pueden “intervenir las cuentas de cualquier otro usuario”, y ésta es la función que utilizaron los hackers para adueñarse del contenido de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 algunas o todas las cuentas de usuario bajo la licencia corporativa. Los usuarios administradores pueden “iniciar sesión como otro usuario de la licencia”. El usuario intervenido recibe una notificación. La finalidad de la licencia Dropbox Business era:  Poner a disposición de los empleados que así lo necesitasen un mayor espacio de almacenamiento para sus archivos.  Conformar un repositorio de archivos para las áreas de Audiovisuales, Campañas y Comunicación.  Compartir documentos no editables (pdfs, imágenes, versiones definitivas de documentos y vídeos) con otras personas y evitar el riesgo de que se sobreescribiese en los documentos.  Constituir un repositorio de documentación legal y de archivos técnicos. Los usuarios de la cuenta de Dropbox Business eran empleados de la asociación, miembros de los equipos de Administración, Audiovisuales, Campañas, Comunicación y Tecnología. Ellos entraban con diferentes periodicidades y con diferentes finalidades. Algunos entraban en su cuenta de Dropbox diariamente, y otros muy esporádicamente (por ejemplo, una vez al mes, o una vez cada varios meses). Normalmente, los usuarios guardaban en su cuenta de Dropbox Business una copia de algunos archivos en particular que necesitaban para su trabajo. Otros lo usaban para guardar copias de respaldo de sus archivos. HAZTEOIR.ORG no asigna ni distribuye contraseñas. Cada usuario, cuando entra en un servicio que requiera contraseña, elige la que estime oportuna y siempre que cumpla los requerimientos de formato que corresponda en cada caso. En el caso de Dropbox, cada usuario, cuando entró en su cuenta de usuario por primera vez, definió la contraseña que estimó oportuna, respetando el número mínimo de dígitos que exige Dropbox, que es seis. Adicionalmente, HAZTEOIR.ORG tiene una cuenta corporativa de Lastpass, y los usuarios con perfiles de administrador en los servicios más críticos (como Dropbox en su día) usan Lastpass para almacenar y gestionar su contraseñas, con un alto nivel de encriptación. Las contraseñas de Dropbox en ningún caso fueron compartidas en este servicio. HAZTEOIR.ORG ha formado e informado a sus empleados sobre la normativa interna sobre protección de datos, sobre la legislación aplicable, así como sobre sus derechos y obligaciones. Y lo ha hecho de varias maneras:  A través del email  Subiendo el Documento de Seguridad y otra documentación a Google Drive compartida con todos los empleados de HAZTEOIR.ORG  En Slack, desde noviembre de 2017  En reuniones con todos los empleados (Town-Hall) y en reuniones de equipo  En los contratos que se firman con los empleados y los colaboradores de la asociación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 Dicha formación se ha producido de una forma puntual (no periódica). La asociación entregó el Documento de Seguridad de la organización y confirmó que sus empleados lo leyeron y comprendieron. También se preocuparon por difundir a través de correo electrónico la información relativa a los derechos ARCO. El contrato que HAZTEOIR.ORG firma con cada empleado incluye un anexo sobre Protección de Datos y privacidad. Respecto a la utilización del software de gestión de contraseñas Lastpass, declaran:  Lastpass es un servicio de almacenamiento y de gestión de contraseñas y notas seguras. HAZTEOIR.ORG dispone de una licencia corporativa Lastpass Enterprise en la que existe un único administrador. Este puede invitar a miembros de su organización a abrir una cuenta bajo la licencia de su entidad. Cada usuario invitado abre su cuenta y elige su propia contraseña sin que ésta sea compartida con ningún otro miembro del equipo, ni con el administrador. En este momento, 8 trabajadores de HAZTEOIR.ORG son usuarios de la cuenta de Lastpass Enterprise, uno de los cuales es el administrador.  El administrador no conoce ni puede conocer la contraseña de Lastpass de ningún miembro del equipo. El administrador puede intervenir la cuenta de un miembro del equipo, éste recibe una notificación de esa intervención y pierde el acceso a su cuenta, pero en ningún caso el administrador puede llegar a tener acceso a las contraseñas guardadas en la cuenta del miembro del equipo que ha sido deshabilitada o borrada.  Las contraseñas personales de los usuarios de la cuenta de Dropbox Business de la Asociación nunca formaron parte de las carpetas compartidas de LastPass. La contraseña maestra de Lastpass caduca cada 90 días y debe ser renovada por cada usuario. A petición de la Agencia, la Asociación HAZTEOIR.ORG también ha aportado un documento con el texto de la Licencia Business contratada con Dropbox por la asociación HAZTEOIR.ORG. En la misma se lee lo siguiente: • En la Introducción del Acuerdo de Dropbox Business: En la medida en que Dropbox Inc. en nombre del Cliente procese Datos del Cliente sujetos a la normativa nacional que aplica la directiva de Protección de Datos de la UE (95/46/CE) (“Leyes de Protección de Datos de la UE”) al hacer click en “Acepto” estás aceptando las Cláusulas contractuales tipo de la UE con Dropbox Inc. para la transferencia de datos personales a los encargados del tratamiento recogidos en el Programa 1. A continuación se transcriben algunas de las cláusulas más relevantes al caso, con la convención siguiente: con el término “exportador de datos” se señala al cliente parte del acuerdo de Dropbox Business con Dropbox International Unlimited Company y con el término “importador de datos” se designa a Dropbox Inc. C/ Jorge Juan, 6 28001 – Madrid o Cláusula 4.C del Programa 1: (El exportador de datos acuerda y garantiza lo siguiente:) el importador de datos ofrecerá garantías suficientes en lo que respecta a las medidas de seguridad técnicas y organizativas especificadas en el Apéndice 2 del presente contrato. o Cláusula 5.A del Programa 1: (El importador de datos acuerda y garantiza lo siguiente): tratará los datos personales transferidos solo en www.agpd.es sedeagpd.gob.es 6/11 nombre del exportador de datos, de conformidad con sus instrucciones y las Cláusulas. En caso de que no pueda cumplir estos requisitos por la razón que fuere, informará de ello sin demora al exportador de datos, en cuyo caso este estará facultado para suspender la transferencia de los datos o rescindir el contrato. o Cláusula 5.C del Programa 1: (El importador de datos acuerda y garantiza lo siguiente:) ha puesto en práctica las medidas de seguridad técnicas y organizativas que se indican en el Apéndice 2 antes de efectuar el tratamiento de los datos personales transferidos. o Cláusula 11 del Programa 1: 1. El importador de datos no subcontratará ninguna de sus operaciones de procesamiento llevadas a cabo en nombre del exportador de datos con arreglo a las Cláusulas sin previo consentimiento por escrito del exportador de datos. Si el importador de datos subcontrata sus obligaciones con arreglo a las Cláusulas, con el consentimiento del exportador de datos, lo hará exclusivamente mediante un acuerdo escrito con el subencargado de tratamiento de datos, en el que se le impongan a este las mismas obligaciones impuestas al importador de datos con arreglo a las cláusulas. En los casos en que el subencargado de tratamiento de datos no pueda cumplir sus obligaciones de protección de los datos con arreglo a dicho acuerdo escrito, el importador de datos seguirá siendo plenamente responsable frente al exportador de datos del cumplimiento de las obligaciones de subencargado de tratamiento de datos con arreglo a dicho acuerdo. o Disposiciones adicionales. Apartado A. El importador de datos mantiene las certificaciones ISO/IEC 27001:2013 e ISO/IEC 27018:2014 emitidas por un auditor independiente. o Disposiciones adicionales. Apartado B. El importador de datos tal vez implique a otras empresas para proporcionar partes limitadas de los servicios en nombre del importador de datos (…). El importador de datos se asegurará de que cualquier subencargado solo acceda y utilice los datos personales con el fin de proporcionar los servicios tal y como se especifica en un acuerdo escrito entre el importador de datos y el subencargado. Asimismo, la asociación aporta a la Agencia un documento de seguridad proporcionado por la empresa Dropbox Inc. titulado “Seguridad de Dropbox Business. Informe técnico de Dropbox”, donde se abordan con detalle las cuestiones de las funciones de seguridad, control y visibilidad del producto, seguridad de la aplicación, aplicaciones para Dropbox, seguridad de la red, gestión de vulnerabilidades, seguridad de la información en Dropbox, seguridad física, conformidad, privacidad y programa de confianza de Dropbox. Dicho documento está accesible a través de la web de Dropbox. Una versión actualizada en idioma inglés se puede encontrar en ***WEB.2 FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establece: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El artículo 10 de la LOPD, relativo al deber de secreto señala que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Y el artículo 12 de la LOPD Acceso a los datos por cuenta de terceros, establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. IV En el presente caso, el denunciante ha declarado la existencia de una brecha de seguridad en la empresa denunciada al ser hackeados y colgarse en internet un gran volumen de datos personales y dejando expuesta citada la información en una web, que a través de la caché de Google se puede consultar e incluyendo el enlace a dicha caché. Hay que señalar que la información supuestamente disponible a través de la web aportada dejo de estarlo a los pocos días de su exposición tras la aplicación de medidas cautelares dictadas por el Juzgado de Instrucción nº 11 de los de Madrid y que las investigaciones policiales determinaron que ninguno de los ordenadores o servidores de la asociación habían sido comprometidos. De la misma forma, tras la investigación de la Brigada de Delitos Informáticos de la Policía y las de carácter interno llevada a cabo por la asociación, determinaron que no existe la certeza sobre la forma en la que los hackers se pudieron introducir en los sistemas informáticos. HAZTEOIR.ORG a requerimiento de los servicios de inspección de este centro directivo ha informado exhaustivamente de los detalles de la brecha de seguridad así como de la documentación comprometida, número de afectados, características y naturaleza de los datos, soportes de información afectados, posibles causas de las misma, etc. Asimismo, ha aportado informe de auditoría de seguridad de los sistemas donde se encontraba la información almacenada y de las medidas adoptadas a raíz del incidente para evitar que en el futuro se vuelvan a producir hechos similares. De toda esta información, el análisis forense realizado en los ordenadores de la entidad a fin de determinar las responsabilidades, medios, herramientas y medidas adoptadas se contiene detalladamente en la información aportada por la entidad denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 También se ha aportado el contrato suscrito con Dropbox Business verificándose que cumple con todas las garantías especificadas en el artículo 12 de la LOPD. En el caso examinado, se ha constatado que la entidad denunciada no ha incumplido la obligación de adoptar de manera efectiva las medidas dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros, por lo que no cabe entender infringido el artículo 9 de la LOPD citado, actuando con posterioridad con razonable diligencia como consecuencia del ataque sufrido en sus sistemas por parte de hackers y que provoco la brecha de seguridad sufrida, adoptando las medidas oportunas para impedir que la información quedara expuesta a través de internet y se hicieran públicos los datos a través de la web aportada. Procede tener en consideración la Sentencia de la Sala de lo ContenciosoAdministrativo de la Audiencia Nacional de fecha 25 de febrero de 2010 que, en relación con un caso similar al presente, señaló lo siguiente: "En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por el ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www..., descargándose una copia de la misma. Y tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad. El principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita después de la STC 76/1999, que señaló que los principios del ámbito del derecho penal son aplicables, con ciertos matices, en el ámbito del derecho administrativo sancionador, requiriéndose la existencia de dolo o culpa. En esta línea la STC 246/1999, de 19 de diciembre (RTC 1991/246), señaló que la culpabilidad constituye un principio básico del Derecho administrativo sancionador. Culpabilidad, que no concurre en la conducta analizada de xxx". No obstante, aunque en la citada Sentencia no se considera probada una vulneración del artículo 9 de la LOPD, sí se apreció una conducta infractora por parte del responsable del fichero, en concreto la vulneración del deber de guardar secreto, al considerar la tardanza de la entidad responsable en adoptar un comportamiento activo para impedir que se hicieran públicos en internet los datos personales comprometidos, cosa que en el presente caso no se da puesto que cuando se tuvo conocimiento de los hechos se interpusieron las correspondientes denuncias consiguiendo que se dictaran medias cautelares por el juzgado correspondiente, entre ellas el bloqueo de las conexiones a la página de ACAB Gang, grupo de hackers informáticos a los que la propia policía no logro indentificar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 En este orden de ideas debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Como ha precisado el Tribunal Supremo en STS de 26 de octubre de 1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por su parte el Tribunal Constitucional en STC 24/1997 ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
2. a)La prueba indiciaria ha de partir de hechos plenamente probados.
3. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” A la luz de lo expuesto se concluye que el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. Trasladando los razonamientos precedentes al supuesto que nos ocupa, habida cuenta de que no se ha podido constatar los hechos denunciados, conducta que pudiera ser constitutiva de una infracción de la LOPD, corresponde acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ASOCIACIÓN HAZTEOIR.ORG y B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es