1/5 Expediente Nº: E/04022/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad INDUSTRIAS JIJONENCAS, S.A.. en virtud de denuncia presentada por B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 11/05/2017, tuvo entrada en esta Agencia escrito de D. B.B.B. (en lo sucesivo el denunciante), en el que denuncia a INDUSTRIAS JIJONENCAS, S.A.. (en lo sucesivo INDUSTRIAS JIJONENCAS) por los siguientes hechos: el verano pasado envié mi CV a la citada entidad para trabajar en una de sus heladería y cuál es su sorpresa que a través del buscador Google figuro en internet con todos los datos personales a la vista. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Desde la Inspección de Datos se ha obtenido a través de internet copia impresa de informaciones relacionadas con la denuncia. Consta Diligencia de 24/05/2017 en la que se hace constar que el CV del afectado ya no se encuentra accesible por Internet, aunque si otros. Diligencia de 19/02/2018 haciendo constar que ya no se encuentran accesibles los CVs por Internet colgado en la web de INDUSTRIAS JIJONENCAS. Asimismo, consta diligencia de la Inspección de Datos incorporando con fecha 19/02/2018 la consulta de datos sobre empleados y ventas registrados por el servicio de Axexor correspondiente a la entidad investigada INDUSTRIAS JIJONENCAS. Con fecha 19/02/2018 se solicitó información a INDUSTRIAS JIJONENCAS, quien respondía el 14/03/2018 señalando que tenía contratado los servicios de gestión de páginas web con la empresa Calmatec Ibérica, S.L. (en lo sucesivo Calmatec); que cuando tuvieron conocimiento de través de personas que habían solicitado eliminar el enlace a través del buscador Google donde se podía acceder a su CV, procedieron a comunicarlo inmediatamente a la citada empresa, informándole que en dichos momentos se encontraban trabajando en la brecha de seguridad producida; señala que siempre ha respetado la privacidad de las personas, disponiendo de un riguroso protocolo de protección de datos y una arquitectura de seguridad, con zona privada en la web accesible mediante contraseña encriptada y Data Center que evita los ataques a la web, exigiendo a la empresa Calmatec su solución inmediata del hecho producido. Aporta el último informe de auditoría de seguridad de sus sistemas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 Enumera una serie de medidas de seguridad adoptadas a raíz del incidente denunciado: solicito a la empresa Calmatec la desindexación por parte de Google de los enlaces; mejoró el sistema web para que este contenido no se indexe en Google; mejoro la programación del sistema creando un enlace para que una vez descargado el CV se pudiera borrar de manera manual; se creó un cron par que este proceso se hiciera de forma automática todos los días. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo artículo 9 de la LOPD establece que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. Por otra parte, el artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. IV En el presente caso, el afectado ha manifestado que envió el CV a la entidad denunciada y que su sorpresa fue que introduciendo su nombre y apellidos a través del buscador google se visualizaba además de la posición obtenida para trabajar, todos los datos personales que habían sido incorporados al curriculum. Aporta correos electrónicos remitidos por el padre del afectado a la empresa para que borraran los datos que se encontraban expuestos a través del buscador, consecuencia evidente de la falta de medidas de seguridad y que transcurrido un mes desde la solicitud los datos continuaban siendo accesibles a través de internet, si bien la empresa le había indicado que el proceso tardaría un tiempo. Hay que señalar que por los servicios de inspección de este organismo se llevaron a cabo gestiones ante la web de la entidad verificándose que el 24/05/2017 el CV del afectado no se encontraba accesible a través de internet aunque sí que eran visibles otros. Posteriormente por los citados servicios se llevaron a cabo nuevas gestiones verificándose que los anteriores CVs ya no se encontraban visibles ni accesibles por internet en la web de la entidad a través de la ruta ***ENLACE.1. La misma entidad a requerimiento de la Agencia ha manifestado que había tenido constancia de la brecha de seguridad producida como consecuencia de las peticiones de cuatro personas solicitándoles procedieran a eliminar el enlace en Google a través del cual se podía acceder a sus CV e inmediatamente procedieron a comunicarlo a su proveedor, quien les había informado de que el citado fallo fue debido a un periodo de mantenimiento y actualización de la web, que ya había sido detectada y estaban trabajando para solucionarlo. Asimismo, ponía en conocimiento de la Agencia las medidas que habían sido adoptadas a raíz de la detención de la brecha surgida y que habían motivado las reclamaciones de las personas que habían enviado sus CV y en la esperanza de que tales hechos no volvieran a producirse. Ha de señalarse que si bien nos hallaríamos ante una posible infracción a la LOPD, en el caso examinado concurren circunstancias que atenúan la responsabilidad procediendo apercibir al responsable de la misma, que nunca ha sido sancionado por vulneración a la LOPD. No obstante, en congruencia con la naturaleza atribuida a la figura del apercibimiento –alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la Audiencia Nacional en numerosas sentencias concluye que cuando las medidas pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 En este sentido, la sentencia de la A.N. de 29/11/2013 (Rec.455/2011), en su Fundamento de Derecho Sexto señala, a propósito de la naturaleza jurídica del apercibimiento regulado en el artículo 45.6 de la LOPD, que ”no constituye sanción” y que se trata de ”medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una potestad diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. Por todo ello, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la sentencia anterior deber acordarse el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a INDUSTRIAS JIJONENCAS, S.A.. y B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es