E-05404-2013

1/6 Expediente Nº: E/05404/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad EDOMESTICO, S.L. en virtud de las denuncias presentadas, y teniendo como base los siguientes, HECHOS PRIMERO: En relación con la entidad EDOMESTICO, S.L. (en lo sucesivo EDOMESTICO), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Apercibimiento de referencia A/00082/2013, que concluyó mediante resolución nº R/01482/2013, de fecha 18/11/2013, en la que se tuvieron por probados los siguientes hechos: <<1. La entidad EDOMESTICO, S.L. es responsable del sitio web http://www.edomestico.com. 2. El denunciante registró http://www.edomestico.com. sus datos personales y curriculares en la web 3. Con fecha 07/06/2012, el denunciante remitió a la entidad EDOMESTICO, S.L. un correo electrónico en el que indicó lo siguiente: “… estoy interesado en dar de baja mi perfil en vuestra red, porque no llego a entender porque escribiendo mi nombre en internet, o cualquier otro internauta, tendría la capacidad de descargar mi currículum con foto y hasta en formato Word… He releído vuestra información legal, y estoy seguro que el poner a disposición de todo el mundo, tal información… no es legal”. 4. Con fecha 09/07/2012, por el denunciante 1 se formuló denuncia ante la Agencia Española de Protección de Datos contra la entidad EDOMESTICO, S.L. por la divulgación de su currículum a través de la web http://www.edomestico.com, accesible a terceros mediante un buscador de internet. 5. Con fecha 07/09/2012, el Grupo de Delitos Telemáticos de la Guardia Civil puso en conocimiento de la Agencia Española de Protección de Datos que en la web http://www.edomestico.com se publican currículos de gran cantidad de personas, con detalle de sus datos personales relativos a nombre, apellidos, NIE, lugar y fecha de nacimiento, dirección, correo electrónico, teléfono e información profesional, además de una fotografía; accesibles a terceros a través de Google sin necesidad de registrarse. Según consta en su informe, el Grupo de Delitos Telemáticos de la Guardia Civil verificó que la web http://www.edomestico.com tiene habilitado un formulario para el registro de datos que permite, además, subir a dicha página el curriculum del interesado. Añade que en la citada web no se informa a los usuarios que sus datos serán expuestos públicamente. El Grupo de Delitos Telemáticos de la Guardia Civil aportó copia impresa de la “Información legal” insertada en la web, que contiene, entre otras, las siguientes indicaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 “La finalidad de Edomestico.com es la de proporcionar una plataforma que permita el encuentro entre candidatos y contratantes en un entorno on line. En este sentido, permite a los contratantes el acceso a la base de datos de candidatos registrados en EDOMESTICO SL de acuerdo con el nivel de privacidad seleccionado por cada candidato” “EDOMESTICO no se hace responsable de los datos que publique el usuario siendo este último responsable de la información que publique en su perfil y del grado de seguridad que a este le asigne”. “EDOMESTICO cumple todas las normas legales de protección de datos que sean aplicables y establece mecanismos y procedimientos de seguridad para la gestión de los datos de los usuarios”. “… ha adoptado las medidas de índole técnica y organizativas reglamentariamente establecidas, que garantizan la seguridad de los datos de carácter personal y evitan su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a los que están expuestos…”. “Responsable del fichero y tratamiento de los datos: EDOMESTICO, S.L.”. 6. Con fecha 12/07/2012, por la Inspección de Datos se realizó una consulta a través del buscador Google, utilizando como criterio de búsqueda el nombre y apellidos del denunciante, obteniendo una referencia a la web userimg.edomestico.com (userimg.edomestico.com/usuarios/ …/docs/referencias.doc), que permite acceder e imprimir el curriculum del mismo. 7. Con fechas 16/07 y 28/09/2012, por la Inspección de Datos se realizó la consulta “userimg edomestico.com” a través del buscador Google, obteniendo referencias a la dirección userimg.edomestico.com y el acceso a diversos currículos de personas que se habían registrado en la web http://www.edomestico.com. 8. Con fechas 28/09 y 08/11/2012, por la Inspección de datos se accedió a la web www.edomestico.com comprobando que constan varios registros de datos de personas con su nombre y apellidos, edad, ciudad y tipo de empleo solicitado, así como fotografías de los solicitantes. 9. Con fecha 02/11/2012, por la Inspección de Datos se ha realizado la consulta “edomestico” en el buscador Google, obteniendo una referencia a la dirección edomestico.com con la indicación siguiente: “No hay disponible una descripción de este resultado debido al archivo robots.txt de este sitio”. 10. Con fecha 13/11/2012, durante la inspección realizada a EDOMESTICO, S.L., por los Servicios de Inspección de la Agencia Española de Protección de Datos se verificó lo siguiente: . Los representantes de la entidad inspeccionada manifestaron que, considerando que cuanta más publicidad se proporcione a los demandantes de empleo más facilidad se tendrá para encontrar un puesto de trabajo, la filosofía de la web http://www.edomestico.com es considerarla como de acceso público sin restricciones y, además, que sea susceptible de indexación por parte de los buscadores de los datos personales de los candidatos. . Los representantes de la entidad inspeccionada manifestaron que la dirección userimg.edomestico.com indexada por Google, en la que se hace referencia a datos personales y curriculares de candidatos registrados en la web, se utiliza para almacenar los recursos estáticos, entre ellos, los currículos publicados por los candidatos en formato pdf y las fotografías. . Los representantes de la entidad inspeccionada manifestaron que, con motivo de haber recibido algún comentario en relación con la indexación por Google de los currículos de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 candidatos, han eliminado el acceso a los mismos a través de la web para evitar la indexación por buscadores. . Por la Inspección de Datos se realizó una búsqueda a través de Google utilizando como argumento “site:edomestico.com… (nombre y primer apellido del denunciante 1)” verificando que consta una anotación a nombre del mismo y comprobando que al intentar acceder a la misma el sistema devuelve un error. No obstante, se comprobó que en la cache de Google constaba el currículo. 11. Con fecha 08/04/2013, por la Inspección de Datos se ha realizado la consulta “edomestico” en el buscador Google no obteniendo referencias a edomestico.com. 12. Con fecha 08/04/2013, por la Inspección de Datos se realizó una búsqueda a través de Google utilizando como argumento “site:edomestico.com (nombre y primer apellido del denunciante 1)” verificando que no se obtiene información al respecto>>. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 18/11/2013 se acordó lo siguiente: <<1.- APERCIBIR (A/00082/2013) a EDOMESTICO, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.

1. h)de la citada Ley Orgánica>>. <<2.- REQUERIR a EDOMESTICO, S.L. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan su divulgación a terceros sin restricciones y sin el consentimiento de los afectados, estableciendo mecanismos para que la información resulte accesible únicamente a los interesados, mediante la creación en la web www.edomestico.com de una zona de acceso restringido para empresas y particulares que pretendan llevar a cabo una selección de personal, que previamente se hayan registrado como tales la web; se defina el perfil de los usuarios demandantes de empleo que será visible desde la web para cualquier tercero que acceda a la misma; y se modifique la cláusula informativa insertada en la menciona web, de modo que el consentimiento prestado por los afectados al aceptar las condiciones y la política de privacidad pueda estimarse válido, considerando el tratamiento, cesión y divulgación de datos de carácter personal que se realiza. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento>>. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/05404/2013. CUARTO: Con motivo de lo instado en la resolución, la denunciada, EDOMESTICO, remitió a esta Agencia escrito en el que informa sobre las medidas adoptadas en los siguientes términos: 1. Los socios han resuelto la disolución de la sociedad y han procedido a cancelar la base de datos de usuarios registrados y a desconectar la web www.edomestico.com con posterioridad a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 la inspección. 2. La máquina que servía de hosting de producción para el portal web lleva meses sin dar servicio. 3. En ningún buscador de Internet aparece referencia alguna a contenidos relacionados con la web www.edomestico.com y sus subdominios. 4. Todas las bases de datos han sido eliminadas, tanto de los servidores como de los equipos de desarrollo. 5. No existe en Internet ninguna referencia a usuarios. 6. No se realizará ninguna actuación para poner en funcionamiento la web en el futuro. Aporta detalle de la búsqueda realizada con el buscador Google, utilizando como criterio “site:edomestico.com”, que no ofrece ningún resultado. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el procedimiento A/00082/2013 se imputó a la entidad EDOMESTICO el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El artículo 9 de la LOPD, relativo a la seguridad de los datos, dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por EDOMESTICO a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 través de la web www.edomestico.com, relativos a los usuarios que se inscribían en la misma como solicitantes de empleo, correspondiendo adoptar las calificadas de nivel básico, en atención al tipo de información básica que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD y, entre ellas, las adecuadas para el control de accesos, identificación y autenticación de usuarios, establecidas en los artículos 91 y 93 del citado Reglamento En este caso, se constató la posibilidad de que por parte de terceros se pudo acceder a datos personales y documentos curriculares de los usuarios del sitio web edomestico.com contenidos en la base de datos de EDOMESTICO, S.L., que además pudieron ser indexados por buscadores de Internet; todo ello por un error en el sistema de información diseñado por la propia entidad. Dicho fallo posibilitó que gran cantidad de registros personales permanecieran abiertos a cualquier persona que accediera a la citada web sin necesidad de registrarse, incluso con la posibilidad de descargar el curriculum vitae de las personas registradas, con detalle de datos personales relativos a nombre, apellidos, edad, nacionalidad, localidad, provincia y país, DNI/NIE, fecha de nacimiento, dirección postal, dirección de correo electrónico y teléfono, así como los datos de formación, conocimientos y experiencia laboral. En consecuencia, se consideró que la entidad EDOMESTICO no había dado cumplimiento a las normas expuestas, y se requirió a la misma el establecimiento de mecanismos para que la información resulte accesible únicamente a los interesados, mediante la creación en la web www.edomestico.com de una zona de acceso restringido para empresas y particulares que pretendan llevar a cabo una selección de personal, que previamente se hayan registrado como tales la web; se defina el perfil de los usuarios demandantes de empleo que será visible desde la web para cualquier tercero que acceda a la misma; y se modifique la cláusula informativa insertada en la menciona web, de modo que el consentimiento prestado por los afectados al aceptar las condiciones y la política de privacidad pueda estimarse válido, considerando el tratamiento, cesión y divulgación de datos de carácter personal que se realiza. En respuesta a este requerimiento, se recibe de la denunciada la información que se detalla en el Antecedente Cuarto, señalando que ha cesado en su actividad y cancelado la web y las bases de datos de usuarios, lo que conlleva la pérdida del objeto del requerimiento de adopción de medidas contenido en la resolución de 18/11/2013. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR el presente Acuerdo y el Anexo a EDOMESTICO, S.L. 3. NOTIFICAR el presente Acuerdo, sin el Anexo, a la DIRECCION GENERAL DE LA GUARDIA CIVIL (GRUPO DELITOS TELEMATICOS). 4. NOTIFICAR el presente Acuerdo al denunciante 1, cuya identidad figura en el Anexo. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es