E-03196-2014

1/5 Expediente Nº: E/03196/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BETPARTNER MARKETING, S.L., en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: En relación con la entidad BETPARTNER MARKETING, S.L. (en lo sucesivo BETPARTNER), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Apercibimiento de referencia A/00242/2013, que concluyó mediante resolución nº R/01072/2014, de fecha 27/05/2014, en la que se tuvieron por probados los siguientes hechos: “1. Con fecha 04/01/2013, el denunciante adquirió una tablet en un establecimiento de la entidad BETPARTNER, procediendo a la devolución del citado dispositivo el día 08/01/2013. El día de la devolución, el denunciante advirtió al responsable del establecimiento que la tablet contenía información personal. . El responsable del establecimiento de BETPARTNER en el que el denunciante adquirió la tablet, en declaración prestada ante la Comisaría de Policía de Cartagena de fecha 25/02/2013, manifestó que la tablet fue vendida a un segundo comprador y finalmente devuelta al fabricante el día 30/01/2013. Preguntado si pudo quedar almacenada algún tipo de información del primer comprador, su dirección de correo electrónico y contraseña y si era posible recuperar información previamente eliminada, el declarante respondió “que no lo sabe”. . El segundo comprador de la tablet que había sido devuelta por el denunciante a BETPARTNER declaró ante la Comisaría de Policía de Cartagena que a través de dicho dispositivo “accedió a la cuenta de correo electrónico de una persona desconocida, habiendo encontrado en ésta un mensaje conteniendo un archivo Excel”. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 19/09/2014 se acordó lo siguiente: <<1.- APERCIBIR (A/00242/2013) a la entidad BETPARTNER MARKETING, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.

1. h)de la citada Ley Orgánica, respectivamente, y de conformidad con lo establecido en los artículos 36 y 37.a),
2. f)y
3. n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos>>. <<2.- REQUERIR a BETPARTNER MARKETING, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan el acceso indiscriminado y sin restricciones por parte de terceros a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, y sin el consentimiento de los afectados, estableciendo mecanismos para que la información resulte accesible únicamente a los interesados y no a terceros y comprometiéndose expresamente a destruir o borrar cualquier documento o soporte que vaya a desecharse o a comercializarse, evitando el acceso a la información contenida en los mismos o su recuperación posterior. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento>>. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/03196/2014. CUARTO: En relación con lo instado en la resolución mencionada, se recibió correo electrónico del denunciante, de fecha 13/06/2014, mediante el que informa que está en proceso de adaptación a la normativa de protección de datos, para lo que ha contratado a una entidad tercera. Posteriormente, informó que ha inscrito sus ficheros, elaborado el Documento de Seguridad en el que se refleja su política de protección de datos personales y está implantando los protocolos para cumplir el deber de información regulado en el artículo 5 de la la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), además de haber tomado medidas con el personal de la tienda para el cumplimiento de esta normativa. Con su escrito, aporta copia de la información que facilita a los clientes que dejan sus equipos para reparar o bien los devuelven, cuyo contenido es el siguiente: “MODELO DE CLAUSULA PARA LA RECOGIDA DE EQUIPOS Y SOPORTES Según lo dispuesto en la LOPD, le informamos que todos los soportes entregados con motivo de la prestación del servicio de reparación, (equipos informáticos u otros soportes) serán tratados con todas las medidas de seguridad técnica, jurídica y organizativa, exigidas legalmente. Así mismo, se informa al cliente, que para el correcto desarrollo de citada prestación de servicios, se podrán hacer copias de seguridad de archivos contenidos en los soportes o cualquier otra acción que implique un acceso a dichos archivos, con la única finalidad de la gestión de reparación y/o recuperación. Se determina igualmente que dichas copias o accesos, serán eliminados una vez sean devueltos los soportes y únicamente se conservarán si el servicio técnico estima su conservación para futuras intervenciones en los citados equipos o soportes. Así mismo, ponemos en su conocimiento que los equipos o soportes proporcionados, quedan vinculados a una relación que pudiera conllevar la entrega, con motivo de la reparación de los mismos, a otros profesionales, empresas suministradoras, o proveedores oficiales, que por motivo del desarrollo de la prestación de servicios correspondiente, y para su tramitación y ejecución tuvieran que ser objeto de revisión por los citados, otorgándoles, de la misma forma todas las medidas de seguridad de índole técnica y organizativa legalmente exigidas a fin de garantizar la seguridad de los mismos. Los soportes que sean objeto de devolución por el cliente serán formateados antes de su posterior reventa. Siendo usted titular de derechos reconocidos en la normativa vigente en materia de protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 datos, podrá ejercer los mismos, dirigiéndose a la dirección del Responsable del Fichero: BETPARTNER MARKETING SL (C/.................1) (Murcia) o a la dirección de correo electrónico: ...@...”. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
4. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el procedimiento A/00242/2013 se imputó a BETPARTNER el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El artículo 9 de la LOPD, relativo a la seguridad de los datos, dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El art. 81.1 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD señala que “Todos los ficheros o tratamiento de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”, y entre ellas las reguladas en los artículos 91 y 93 de dicho Reglamento, referidos al control de accesos, identificación y autenticación de los usuarios. En este caso, se constató, y así lo reconoció la propia imputada BETPARTNER, que incumplió estas obligaciones, en lo relativo a la supresión de los datos personales del denunciante contenidos en una tablet vendida a un tercero por dicha entidad, la cual había sido previamente adquirida y utilizada por aquél. Dicha eliminación hubiese impedido que el tercero que adquirió la tablet devuelta a BETPARTNER por el denunciante accediera a la información personal relativa a éste contenida en la misma. El propio responsable del establecimiento en cuestión reconoció, en declaración prestada ante la Policía, que fue advertido por el denunciante sobre la naturaleza de la información contenida en la tablet y que devuelta por el mismo y, a pesar de ello dispuso la venta del aparato C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 sin adoptar ninguna medida para impedir que dicha información pudiera ser accedida por un tercero Por otra parte, a la vista de la documentación formalizada por la Comisaría de Policía de Cartagena, consta igualmente acreditado que el tercero adquirente de la tablet devuelta a BETPARTNER por el denunciante pudo acceder a la cuenta de correo electrónico de éste. En consecuencia, en este caso, resultó que BETPARTNER no había garantizado la seguridad de los datos personales del denunciante, por lo que se declaró cometida una infracción del artículo 9.1 de la LOPD, En consecuencia, se consideró que la entidad BETPARTNER no había dado cumplimiento a las normas expuestas, y se requirió a la adopción de medidas correctoras para impedir el acceso indiscriminado a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, evitando que resulten accesibles por parte de terceros. Posteriormente, esta Agencia Española de Protección de Datos ha tenido conocimiento de que la entidad BETPARTNER ha atendido el requerimiento efectuado en la resolución de 27/05/2014, habiendo inscrito sus ficheros, elaborado el Documento de Seguridad en el que se refleja su política de protección de datos personales e implantado protocolos para cumplir el deber de información regulado en el artículo 5 de la LOPD, además de haber tomado medidas con el personal de la tienda para el cumplimiento de esta normativa y, en relación con los clientes que dejan sus equipos para reparar o bien los devuelven, se facilita la información que se detalla en el Antecedente Cuarto de la presente resolución, lo que conlleva el archivo de las actuaciones previas de referencia, iniciadas para el seguimiento de las medidas a adoptar. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a BETPARTNER MARKETING S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es