← España

E-04979-2016

1/12 Expediente Nº: E/04979/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades BOOKING CUSTOMER SERVICE CENTER (SPAIN), S.L. y BOOKING HISPÁNICA, S.L. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 14 de septiembre de 2015 tiene entrada en esta Agencia escrito de D. A.A.A., en adelante el denunciante, en el que manifiesta que:

  1. BOOKING BV, sociedad domiciliada en los Países Bajos y dedicada a la reserva de alojamientos a través del sitio web www.booking.com, tiene un servicio dirigido al consumidor español a través de la dirección www.booking.com/index.es.html y opera en España a través de su filial española BOOKINGS HISPANICA SL.
  2. Es usuario habitual del sitio web www.booking.com y tras detectar un fallo de seguridad lo notifica a la entidad en varias ocasiones. En la última de ellas, de fecha 10/07/2015, se le contestó que se le agradecía la información y se le informaba de que su equipo de informáticos estaba evaluando el problema. El denunciante aporta copia del correo enviado y de la respuesta remitidos desde el buzón .....cliente@booking.com.
  3. Las reservas realizadas a través del servicio tienen asignado un número único secuencial y un código PIN que aparecen en los enlaces incluidos en los correos de confirmación de reserva que el servicio envía a sus usuarios. El código PIN es un número de sólo 4 dígitos y por tanto sensible a un ataque de fuerza bruta que permitiría probar todas las combinaciones posibles para una reserva determinada en menos de 60 segundos. Una vez obtenido el PIN de la reserva se podría acceder a los datos de ésta, incluyendo los datos personales tanto de quien realiza la reserva como de aquellos que se alojarán en el establecimiento. Una vez se ha accedido a la reserva se puede no sólo consultarla, sino modificarla o cancelarla. SEGUNDO: El 2 de diciembre de 2015 tiene entrada un escrito de subsanación de denuncia, en respuesta a la solicitud de subsanación y mejora remitida por esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 En el escrito el denunciante manifiesta que:
  4. El denunciante tuvo conocimiento del fallo con anterioridad a julio de 2015 pero las pruebas que realizó en ese momento las hizo sobre su propia reserva para no acceder a datos de terceros.
  5. Con el fin de aportar la información solicitada por la Agencia ha procedido a explotar el fallo descubierto y obtener los datos de la reserva de un tercero, que aporta con su escrito. El escrito aporta impresión de la información de una reserva de un tercero a la que se ha accedido a través del fallo descrito previamente y descripción detallada del procedimiento seguido. TERCERO: La denuncia da lugar a las actuaciones previas de investigación con referencia E/07391/2015 a lo largo de las cuales se realizan pruebas de la vulnerabilidad descrita en la denuncia y se solicita información a BOOKINGS HISPANICA S.L. que dieron como resultado las siguientes conclusiones:  BOOKINGS HISPANICA S.L. no trata los datos de los clientes del sitio web www.booking.com, sino que es BOOKING.COM BV quien lo hace.  BOOKING.COM BV acometió cambios en el funcionamiento de su plataforma, algunos de ellos con el fin expreso de mejorar la seguridad, que hacen que las circunstancias en las que el denunciante realizó sus pruebas no sean reproducibles.  La información disponible y los resultados de las pruebas realizadas no permiten evaluar adecuadamente el riesgo existente a fecha de hoy de un eventual acceso o tratamiento ilícito a los datos de los usuarios del sitio web www.booking.com mediante el uso del procedimiento descrito por el denunciante. En la información proporcionada por BOOKING HISPANICA S.L. presentaba indicios de que si bien dicha sociedad no trataba datos de usuarios españoles, BOOKING CUSTOMER SERVICE CENTER (SPAIN), S.L. sí podía hacerlo. El 21/09/2016 se resuelve el archivo del expediente E/07391/2015 por caducidad y la apertura de las presentes actuaciones previas, en las que se trata de aclarar los tratamientos de datos que lleva a cabo BOOKING CUSTOMER SERVICE CENTER (SPAIN), S.L. y si éstos tienen relación con los hechos denunciados. CUARTO: Durante las presentes actuaciones previas de investigación E/04979/2016 se solicita información a BOOKING CUSTOMER SERVICE CENTER (SPAIN), S.L. Con el fin de resultar lo más completo posible, el presente informe incluye hechos tanto de las actuaciones del presente expediente como de las realizadas en el expediente E/07391/2015, adjuntas mediante su correspondiente diligencia. Descripción de la vulnerabilidad
  6. El denunciante describe en su escrito de subsanación la forma en la que probó la vulnerabilidad. En un correo de confirmación de una de las reservas que él mismo realizó a través del servicio prestado a través de www.bookig.com se incluye un enlace para gestionar la misma con la siguiente URL: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 https://secure.booking.com.............1 Los valores que aparecen en una URL después del carácter ‘?’ son pares de parámetro y valor separados por el carácter ‘&’. En este caso aparecen dos parámetros, el número de reserva bn=***BN.1 y el código PIN ***PIN.
  7. La prueba de la vulnerabilidad se realiza suponiendo que en número de reserva es secuencial por lo que selecciona la número ***NÚM.
  8. Mediante un software que permite automatizar los accesos, se accede a las 10.000 URL que surgen de variar el valor del parámetro ‘pincode’ entre 0000 y
  9. https://secure.booking.com/myreservations.es.html?bn=***NÚM.1&pincode=0001 https://secure.booking.com/myreservations.es.html?bn=***NÚM.1&pincode=0002 https://secure.booking.com/myreservations.es.html?bn=***NÚM.1&pincode=0003 .... https://secure.booking.com/myreservations.es.html?bn=***NÚM.1&pincode=9999 Según manifiesta el denunciante, los accesos a las URL devuelven un error con código 404 (página no encontrada) excepto en el caso en el que la URL contenga el PIN adecuado en el que se descargará la información de la reserva. De este modo el denunciante afirma haber obtenido los datos aportados en su escrito de subsanación, una reserva en un hotel de Varsovia (Polonia) realizada por B.B.B. para la noche del 4 al 5 de enero de 2016 en la que además se incluye la dirección de correo electrónico y el teléfono de la persona que realiza la reserva y el aeropuerto y la hora en que llegará a la ciudad. Pruebas realizadas
  10. El subinspector actuante es usuario del sitio web por lo que el 03/08/2016 accede a los correos recibidos como confirmación de dos reservas realizadas a través del sitio web el 09/11/2015, con número ***NÚM.2, y el 29/05/2016, con número ***NÚM.
  11. Cada correo contiene un enlace para la gestión de las reservas, pero se observa que los parámetros incluidos en el enlace han cambiado. Mientras que el enlace de la reserva realizada el 09/11/2015 contiene los parámetros ‘bn’ y ‘pincode’, el enlace de la reserva confirmada el 29/05/2016 no los tiene e incluye tres nuevos parámetros denominados ‘aid’, ‘auth_key ‘ y ‘et’. Al seguir el enlace de la reserva ***NÚM.2 el 03/08/2016 el sistema devuelve un mensaje de error “Lo sentimos, el código PIN no es correcto. Inicia sesión, crea una cuenta con el e-mail que utilizaste para reservar o solicita una nueva confirmación de tu reserva.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Mensaje de error y formulario de autenticación Al seguir el enlace de la reserva ***NÚM.3 el 03/08/2016 el sistema devuelve una página web con los datos de la reserva.
  12. En su segundo correo electrónico1 los representantes de BOOKING.COM BV, manifiestan en relación a los cambios en los enlaces que permiten el acceso a los datos de las reservas que:  El código PIN fue reemplazado por un identificador único con el fin de mejorar el proceso de autenticación e incrementar la seguridad.  El cambio entre ambos sistemas de autenticación, que llevaba tiempo planificado, comenzó en marzo de 2016 y a 11/09/2016 estaba aún en fase de despliegue.
  13. Entre los días 04/08/2016 y 26/08/2016 se llevan a cabo varias pruebas utilizando el procedimiento descrito por el denunciante cuya descripción detallada se encuentra en el ANEXO
  14. En base a los resultados obtenidos en las pruebas se constata que: 4.
  15. A pesar de que el formato de los enlaces incluidos en los correos de confirmación de reserva ha cambiado, el 04/08/2016 se comprueba que al utilizar en el navegador una URL con el formato anterior y los parámetros ‘bn’ y ‘pincode’ de la reserva ***NÚM.3, éste devuelve los datos de la reserva. 4.
  16. Cuando se trata de acceder a los datos de una reserva con un código PIN equivocado el servidor no devuelve un código de error 2 como manifiesta en su escrito el denunciante sino que devuelve un código de respuesta correcta3, junto con una página web que muestra el mensaje de error mostrado en el punto
  17. Este comportamiento impide identificar el código PIN correcto consultando únicamente el registro de las solicitudes realizadas (log) y obliga a consultar el 1 Registrado con número de entrada 302564/
  18. 2 Código 404: Recurso (página) no encontrado 3 Código 200: Ok C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 fichero con el HTML proporcionado por el servidor en respuesta las 10.000 solicitudes. El tamaño de ese fichero en cada prueba completa realizada es de 2,4 GB. 4.
  19. Las pruebas completas, en las que se accede a 10.000 URL con el fin de probar todos los posibles códigos PIN, tienen una duración de casi 3 horas. 4.
  20. Cuando se solicitan 10.000 direcciones con el fin de probar todos los posibles códigos PIN, el sistema rechaza el 90,9% de las solicitudes y llega a devolver un mensaje de error incluso cuando se le proporciona un código PIN correcto. 4.
  21. Cuando se accede a un número pequeño (15 o menos) de URL consecutivas el servidor web responde sin problemas con los datos de la reserva o un mensaje de error. 4.
  22. Al introducir un tiempo de espera entre acceso y acceso se comprueba que cuanto mayor la espera menor el porcentaje de errores. Se constata que al esperar 15 segundos entre accesos todas las peticiones son atendidas sin error La espera entre peticiones alarga la duración4 de cada una de las pruebas a 45 o 46 horas aproximadamente. La explicación más probable al comportamiento descrito en este punto y el anterior es que el servidor del sitio web dispone de herramientas que permiten detectar cuándo desde un mismo origen se están produciendo un número elevado de accesos en un corto periodo de tiempo y bloquea la mayor parte de dichos accesos para hacer impedir un eventual ataque. 4.
  23. Se han realizado dos pruebas sobre reservas realizadas por el subinspector actuante (***NÚM.2 y ***NÚM.3) en las que se conocía el código PIN y una sobre la reserva con número ***NÚM.4, de la que se desconocía el PIN. En la prueba de acceso a la reserva ***NÚM.2 no se obtuvieron como respuesta los datos de la misma. En la prueba de acceso a la reserva ***NÚM.3 se obtuvieron como respuesta los datos de la misma. En la prueba de acceso a la reserva ***NÚM.4 no se ha podido identificar el PIN o acceder a los datos de la reserva.
  24. Tal y como consta en la correspondiente diligencia, el 09/09/2016 se consultan los datos obrantes en el sitio web www.booking.com para el usuario del subinspector actuante, se observa que constan las reservas ***NÚM.2 y ***NÚM.3 constan. Se desconoce el motivo por el que al tratar de acceder en esa misma fecha a los datos de la reserva ***NÚM.3, bien mediante el enlace incluido en el correo electrónico, bien mediante el enlace en formato antiguo, el sitio web devuelve una página con el mensaje de error descrito en el punto
  25. Se desconoce el motivo por el que, a través del procedimiento utilizado durante las pruebas, no fue posible acceder a los datos de la reserva número ***NÚM.2 y sí en cambio a los de la ***NÚM.
  26. Se desconoce asimismo el motivo por el que, a través del procedimiento utilizado 4 Se ha de tener en cuenta que 9.999 esperas de 15 segundos representan, por si solas, 41:39:45 de espera. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 durante las pruebas, no fue posible acceder a los datos de la número ***NÚM.
  27. Es posible que la suposición del denunciante de que los números de reserva son secuenciales no sea cierta y la reserva con número ***NÚM.4 no exista. Responsable del tratamiento
  28. A 03/08/2016 se constata, tal y como figura en la diligencia de esa misma fecha, que el sitio web www.booking.com informa de que: 6.
  29. BOOKING.COM BV es la responsable del sitio web y del fichero en el que se incluirán los datos de los usuarios del mismo. 6.
  30. En el listado de sedes y sociedades que ofrece el sitio web la sociedad que figura asociada a España es BOOKINGS HISPANICA SL, que tiene oficinas en Barcelona, Las Palmas de Gran Canaria, Madrid, Málaga, Palma de Mallorca y Sevilla.
  31. Tal y como consta en la diligencia de 12/09/2016, BOOKINGS HISPANICA SL figura inscrita en el Registro Mercantil Central como una sociedad con sede en Barcelona cuyo objeto social es “La organización y realización de actos corporativos o sociales para empresas, grupos, asociaciones, entidades diversas y particulares. intermediar en la organización de actos corporativos o sociales para empresas, grupos, etc.”.
  32. Los ficheros En el Registro General de Protección de Datos constan dos ficheros denominados “Recursos humano” y “Contactos” cuyas finalidades no tiene relación con la actividad del sitio web www.booking.com.
  33. De la documentación proporcionada por BOOKING.COM BV y BOOKING CUSTOMER SERVICE CENTER (SPAIN) SL, en adelante BCSCS, se desprende: 9.
  34. Que entre BOOKINGS HISPANICA SL y BOOKING.COM BV existe un contrato de prestación de servicios lo acredita la copia del mismo que se aporta en el correo electrónico de respuesta5 recibido el 11/09/
  35. El contrato está firmado el 28 de diciembre de 2015 pero tiene fecha de entrada en vigor de 1 de enero de
  36. Los servicios que la sociedad española presta a la holandesa en cumplimiento del contrato, definidos en el punto 2.1 del mismo, no tienen relación con la plataforma tecnológica que gestiona las reservas sino con la promoción de los servicios de BOOKING.COM BV en España. El contrato incluye disposiciones específicas que prohíben a la sociedad española negociar o firmar acuerdos o contratos en nombre de la holandesa. 9.
  37. Que entre BCSCS y BOOKING.COM BV existe un contrato de prestación de servicios lo acredita la copia del mismo que se aporta junto con el correo electrónico de respuesta6 recibido el 23/03/
  38. El contrato está firmado el 28 de diciembre de 2015 pero tiene fecha de entrada en vigor de 1 de enero de
  39. Los servicios que la sociedad española presta a la holandesa en cumplimiento del contrato son descritos en el apartado B y en el punto 2.1 como servicios de soporte a la actividad de BOOKING.COM BV. 5 Registrado con número de entrada 302574/
  40. 6 Registrado con número de entrada 97343/
  41. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 El contrato incluye disposiciones específicas que prohíben a la sociedad española negociar o firmar acuerdos o contratos en nombre de la holandesa. El correo electrónico aporta un memorando en el que se describe la naturaleza de los servicios que los empresas de soporte prestan a de BOOKING.COM BV. En el punto 2.1.1 del documento se indica que los servicios de soporte se limitan a la operativa de negocio diaria que implica:  Informar a los socios de BBOKING.COM BV y los alojamientos de las ventajas de trabajar con ésta.  Atender a los alojamientos.  Prestar, de manera limitada y bajo petición de BOOKING.COM BV, servicio de atención a los clientes de ésta. El punto 2.1.3 del documento indica que con los centros de soporte como BCSCS solo puede contactarse por teléfono y correo electrónico y que en ningún caso pueden realizarse reservas por dichos medios. 9.
  42. Que entre BOOKING.COM BV y otras 78 sociedades de su grupo existe un contrato firmado que establece las condiciones en las que se tratarán y transferirán los datos personales entre ellas, lo acredita la copia del mismo que se aporta junto con el último escrito de respuesta
  43. El contrato tiene fecha de entrada en vigor 1 de enero de
  44. En el contrato, además de BOOKINGS HISPANICA SL y BOOKING.COM BV figura también BCSCS. En relación dicha sociedad BOOKING BV manifiesta en el punto 2 de su escrito de 24/10/2016 que “La filial Booking Customer Service Center (Spain) SL tiene acceso a los datos de usuarios que realizan reservas en España en capacidad de encargado de tratamiento, para prestar servicios de atención al cliente en nombre de Bookig.com B.V.”. El contrato incluye en su Anexo 2 las medidas de seguridad que deberán implementarse en el tratamiento de los datos personales y prevé específicamente que BOOKING CUSTOMER SERVICE CENTER (SPAIN) SL cumpla con las medidas de seguridad requeridas por el RD 1720/
  45. 9.
  46. Que la entidad se encuentra en proceso de aprobación con la Agencia de Protección de Datos holandesa de un documento de Reglas Corporativas Vinculantes para el grupo del que aporta copia en su correo electrónico de respuesta
  47. QUINTO: Ni BOOKINGS HISPANICA SL ni BCSCS son responsables de las medidas de seguridad aplicadas sobre el fichero de clientes en el que se encuentran los datos de los usuarios del sitio web www.booking.com, sino que lo es BOOKING.COM BV. BOOKING.COM BV ha acometido cambios en el funcionamiento de su plataforma, algunos de ellos con el fin expreso de mejorar la seguridad, que hacen que las circunstancias en las que el denunciante realizó sus pruebas no sean reproducibles. La información disponible y los resultados de las pruebas realizadas no permiten evaluar adecuadamente el riesgo existente actualmente de un eventual acceso o tratamiento ilícito a los datos de los usuarios del sitio web www.booking.com mediante el uso del 7 Registrado con número de entrada 6334/
  48. 8 Registrado con número de entrada 302574/
  49. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 procedimiento descrito por el denunciante. SEXTO: Detalle de las pruebas realizadas En la memoria USB que figura adjunta a la diligencia de 07/09/2016 constan los ficheros utilizados y los obtenidos como resultado de las pruebas que se describen a continuación. Éstas se han llevado a cabo utilizando el procedimiento descrito por el denunciante utilizando un único equipo con Windows 7 Professional y una versión del programa wget para dicho sistema operativo: 1 El 04/08/2016 se realiza una prueba con un fichero que trata de acceder a los datos de la reserva ***NÚM.3 utilizando 6 direcciones que incluyen un código PIN desde el ***1 al ***
  50. Se obtiene un fichero HTML con las seis páginas web, 5 de ellas con el mensaje de error y una con los datos de la reserva. 2 El 04/08/2016 se realizan dos pruebas que tratan de acceder a los datos de las reservas ***NÚM.3 y ***NÚM.4, cada una de las pruebas accede a las 10.000 posibles direcciones. El resultado es que el fichero de registro (log) informa de que en 9.090 ocasiones el servidor ha devuelto el código de error 404 y sólo en 910 ocasiones ha devuelto una página web. En el caso de la reserva ***NÚM.3, el acceso utilizado el código PIN correcto, ***16, ha devuelto un código de error
  51. 3 El 05/08/2016 se realiza una prueba que trata de acceder a través de las 10.000 posibles direcciones a los datos de la reserva ***NÚM.3, se configura el sistema para que espere 15 segundos entre cada acceso a un dirección ya que es la separación mínima que asegura una respuesta por parte del servidor. La prueba, que comienza el 05/08/2016 a las 14:37, termina el 07/08/2016 a las 11:
  52. Analizado el registro de resultados y el fichero con las 10.000 páginas se observa que el sistema de www.booking.com, dado el código PIN adecuado, sí devuelve la información de la reserva. 4 El 08/08/2016 se realiza una prueba que trata de acceder a través de las 10.000 posibles direcciones a los datos de la reserva ***NÚM.4, se configura el sistema para que espere 15 segundos entre cada acceso. La prueba, que comienza el 08/08/2016 a las 10:53, termina el 10/08/2016 a las 8:
  53. Analizado el registro de resultados y el fichero con las 10.000 páginas se observa que el sistema de www.booking.com no proporciona la información de la reserva. 5 El 24/08/2016 se realiza una prueba que trata de acceder a través de las 10.000 posibles direcciones a los datos de la reserva ***NÚM.1, se configura el sistema para que espere 15 segundos entre cada acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 La prueba, que comienza el 24/08/2016 a las 14:28, termina el 26/08/2016 a las 12:
  54. Analizado el registro de resultados y el fichero con las 10.000 páginas se observa que el sistema de www.booking.com no proporciona la información de la reserva. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II El artículo 9 de la LOPD, establece: “Seguridad de los datos.
  55. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
  56. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
  57. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” III Los artículos 81.1 del RLOPD, establece: “Aplicación de los niveles de seguridad.
  58. Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Los artículos 91 y 93 del RLOPD, establecen: “Control de acceso.
  59. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.
  60. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos.
  61. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.
  62. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.
  63. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” “Identificación y autenticación.
  64. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios.
  65. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado.
  66. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad.
  67. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” IV - En este caso el 04/08/2016 la Inspección de Datos ha realizado una prueba con un fichero que trata de acceder a los datos de la reserva ***NÚM.3 utilizando 6 direcciones que incluyen un código PIN desde el ***1 al ***
  68. Como resultado de dicha prueba se obtiene un fichero HTML con las seis páginas web, 5 de ellas con el mensaje de error y una con los datos de la reserva. - Así mismo el 04/08/2016 la Inspección de Datos realiza dos pruebas que tratan de acceder a los datos de las reservas ***NÚM.3 y ***NÚM.4, cada una de las pruebas accede a las 10.000 posibles direcciones. El resultado es que el fichero de registro (log) informa de que en 9.090 ocasiones el servidor ha devuelto el código de error 404 y sólo en 910 ocasiones ha devuelto una página web. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 En el caso de la reserva ***NÚM.3, el acceso utilizado el código PIN correcto, ***16, ha devuelto un código de error
  69. - Igualmente el 05/08/2016 se realiza una prueba que trata de acceder a través de las 10.000 posibles direcciones a los datos de la reserva ***NÚM.3, se configura el sistema para que espere 15 segundos entre cada acceso a un dirección ya que es la separación mínima que asegura una respuesta por parte del servidor. La prueba, que comienza el 05/08/2016 a las 14:37, termina el 07/08/2016 a las 11:
  70. Analizado el registro de resultados y el fichero con las 10.000 páginas se observa que el sistema de www.booking.com, dado el código PIN adecuado, sí devuelve la información de la reserva. - También el 08/08/2016 se realiza una prueba que trata de acceder a través de las 10.000 posibles direcciones a los datos de la reserva ***NÚM.4, se configura el sistema para que espere 15 segundos entre cada acceso. La prueba, que comienza el 08/08/2016 a las 10:53, termina el 10/08/2016 a las 8:
  71. Analizado el registro de resultados y el fichero con las 10.000 páginas se observa que el sistema de www.booking.com no proporciona la información de la reserva. - Posteriormente el 24/08/2016 se realiza una prueba que trata de acceder a través de las 10.000 posibles direcciones a los datos de la reserva ***NÚM.1, se configura el sistema para que espere 15 segundos entre cada acceso. La prueba, que comienza el 24/08/2016 a las 14:28, termina el 26/08/2016 a las 12:
  72. Analizado el registro de resultados y el fichero con las 10.000 páginas se observa que el sistema de www.booking.com no proporciona la información de la reserva. Del análisis de las actuaciones practicadas por la Inspección de Datos, se desprende que en este caso, no ha sido posible reproducir los hechos descritos por el denunciante, toda vez que a través de las pruebas practicadas no ha sido posible acceder a los datos de las reservas, sin el PIN adecuado. Tampoco el sistema permite acceder a datos si se realiza una consulta masiva. En este orden de cosas, se ha de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a BOOKING CUSTOMER SERVICE CENTER (SPAIN), S.L., BOOKING HISPÁNICA, S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.