1/4 Procedimiento Nº: E/05430/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por la Dirección Provincial de Madrid del Servicio Público de Empleo Estatal (en adelante, el reclamante) tiene entrada, con fecha 12 de junio de 2020, en la Agencia Española de Protección de Datos. La reclamación expone que se ha detectado que un usuario, utilizando el acceso por vía internet, del servicio de Cita previa para atención y tramitación de las prestaciones en las Oficinas, y del que se ignora su identidad, "ha extraído un número de citas previas ficticias o simuladas con el ánimo específico de menoscabar nuestra actividad, pero lo que es peor, utilizando identidad falsa o, sirviéndose de manera interpuesta de una verdadera, suplantando datos". De la información de los ficheros de log se desprende que los accesos se realizaron desde la dirección IP ***IP.1 al menos en las fechas 10 de diciembre de 2019 a las 18:07, 20 de diciembre de 2019 a las 13:39; y 9 de enero de 2020 a las 11:15 horas. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ Consultada la base de datos de dominios de WHOIS, se comprueba que la dirección IP ***IP.1 está gestionada por la entidad Grupalia Internet, S.A. ~ Se solicitó información a Grupalia Internet, S.A., relativa al usuario que tuvo asignada la IP ***IP.1 en las fechas y horas en que se produjeron los accesos, informando que la IP mencionada corresponde a Segittur-Sdad. Mercantil Estatal para la Gestión de la Innovación y las Tecnologías Turísticas SAMP, con domicilio en Paseo de la Castellana 135, Planta 16 - 28046 MADRID. ~ Seguidamente se requirió al reclamante para que facilitase la dirección IP de la entidad a la que se han solicitado citas simulando identidades falsas, desde la IP ***IP.1 sin obtener respuesta a este requerimiento. ~ En fecha 27 de mayo de 2021, se contactó con Don A.A.A., en el teléfono ***TELÉFONO.1, Inspector de Servicios del SEPE, para solicitarle información relativa a la dirección IP de su entidad a la que se han solicitado citas simulando identidades falsas desde la IP ***IP.
- ~ En fecha 27 de mayo de 2021, se ha adjuntado por correo certificado el requerimiento de información y también se ha enviado a la dirección de correo electrónico facilitada por Don A.A.A.,: ***EMAIL.
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 ~ En fecha 27 de mayo de 2021 se ha enviado además esta información por correo certificado ~ En fecha 14 de junio de 2021 se ha contactado nuevamente con Don A.A.A., en el teléfono ***TELÉFONO.1, y ha informado que ya había solicitado la IP, pero que no le habían dado respuesta. ~ En fecha 14 de junio responde por correo electrónico que la IP destino de los accesos en el SEPE es ***IP.
- ~ En fecha 15 de junio de 2021, se requiere información a Segittur-Sdad. Mercantil Estatal para la Gestión de la Innovación y las Tecnologías Turísticas, para que informe sobre la identidad de los usuarios de sus sistemas de comunicaciones que han realizado accesos a la dirección IP ***IP.2 procedentes de la dirección IP ***IP.
- ~ La dirección IP ***IP.2 corresponde a una oficina del Servicio Público de Empleo Estatal (SEPE) de XXXXXX y se ha accedido con el objeto de solicitar citas de forma masiva. ~ Con fecha 29 de junio de 2021, se recibe contestación de Segittur-Sdad. Mercantil Estatal para la Gestión de la Innovación y las Tecnologías Turísticas, indicando que la entidad conserva y cuenta con archivos de log correspondientes a los accesos desde la red de Segittur hacia y desde internet, durante los 6 últimos meses. Dado que el periodo de la información solicitado es de hace 18 meses, Segittur-Sdad. Mercantil Estatal para la Gestión de la Innovación y las Tecnologías Turísticas no cuenta con los ficheros logs de las fechas solicitadas para poder dar la información de identidad de los usuarios que han realizado los accesos a la dirección IP ***IP.
- ~ Añade Segittur que los sistemas de seguridad y protección se controlan a través de servicios del software de los productos de FORTINET, sistemas que se mantienen actualizados según indicaciones del fabricante. ~ Los únicos equipos que tienen salida hacia internet a través de la IP: ***IP.1, desde la que se han producido los accesos hacia la IP: ***IP.2, corresponden a tres servidores de un entorno de preproducción a los que se tienen accesos muy limitados. SEGITTUR ha revisado 2 de los 3 servidores sin encontrar ninguna incidencia. Según indican los representantes de la entidad el tercer equipo está apagado desde hace más de un año. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 de Datos. II Las actuaciones previas de investigación, efectuadas tras recibir la reclamación, tienen como finalidad, en el supuesto presente, determinar la persona que había accedido al SEPE para solicitar citas previas haciéndose pasar por terceros o inventándose los datos de los solicitantes, de conformidad con lo señalado en el artículo 67, apartado primero, de la LOPDGDD, que establece lo siguiente:
- Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. La entidad desde la que se solicitaron las citas, SEGITTUR, es una sociedad estatal española dedicada a la gestión de la innovación y las tecnologías turísticas. Su principal objetivo es acercar las nuevas tecnologías al sector turístico, centrándose en la promoción del turismo a través de estas. Su trabajo no consiste en solicitar citas previas al SEPE. Tras la realización de las actuaciones previas, y dado el tiempo transcurrido desde la solicitud de citas y la presentación de la reclamación, así como la duración de las actuaciones, no ha sido posible identificar a la persona que solicitó las citas al SEPE con datos falsos o sin conocimiento ni consentimiento de los afectados. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es