E-05733-2015

1/8 Expediente Nº: E/05733/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad DEIMOS INFORMATICA Y SERVICIOS, S.L., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de agosto de 2015, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. en el que declara, como administrador de NIKIDOM, S.L., (en adelante NIKIDOM), que la entidad DEIMOS INFORMATICA Y SERVICIOS, S.L., (en adelante DEIMOS) no ha procedido a la destrucción de los datos relativos a los clientes de NIKIDOM al finalizar la relación mercantil entre ambas entidades, habiendo sido solicitado en repetidas ocasiones. Aporta copia de correos electrónicos intercambiados entre las entidades en los que se refleja que en fecha 27/07/2015 desde NIKIDOM se recuerda el compromiso firmado de destrucción de datos, a lo que DEIMOS contesta, el 30/07/2015, que está a la espera de confirmación que todo lo entregado está en orden y completo, y que si se lo confirma por email procederá de inmediato a la destrucción. En correo de 02/08/2015 NIKIDOM indica a DEIMOS que se proceda a la destrucción. Aporta también copia de un acuerdo suscrito entre ambas entidades, con fecha 20/07/2015, en el que se refleja lo siguiente:  DEIMOS hace entrega a NIKIDOM de un soporte de almacenamiento externo USB con todos los archivos, programas, bases de datos e imágenes relacionados con sus webs.  DEIMOS se compromete a la destrucción de los datos de sus servidores en el plazo de dos días desde esa fecha informando por escrito a DEIMOS.  Las partes declaran que durante el proceso de finalización de la relación mercantil ha habido desacuerdos y desavenencias que no han propiciado un final amistoso de la relación, declarando no haber sufrido perjuicios económicos y renunciando expresamente a formular ninguna reclamación por ningún concepto. El denunciante declara que no ha recibido ninguna comunicación de DEIMOS sobre la destrucción solicitada. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha solicitado a DEIMOS documentación acreditativa del contrato de prestación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 servicios suscrito entre ambas entidades y de la devolución o destrucción de los datos de NIKIDOM, ante lo que los representantes de la entidad manifiestan lo siguiente: “Que, con el único fin y objetivo de ilustrar a ésta Agencia a la cual me dirijo en el marco de las presentes diligencias informativas, consideramos necesario proceder al siguiente relato cronológico sobre los verdaderos hechos acontecidos anteriores a la denuncia: PRIMERO.- INICIO DE LA RELACIÓN CONTRACTUAL ENTRE AMBAS MERCANTILES. Que la mercantil Deimos Informática y Servicios S.L (en adelante sólo Deimos), tiene como actividad principal la prestación de servicios todos ellos relacionados con la informática (desarrollo de proyectos, configuración de servidores, desarrollo de webs, etc) En ese sentido, desde el año 2.000 y hasta el pasado 20 de julio de 2.015, Deimos mantuvo relación contractual pacífica e incontrovertida con la Mercantil Nikidom S.L, (en adelante sólo Nikidom) con CIF B-*******. SEGUNDO.- TRABAJOS ENCARGADOS POR NIKIDOM Y REALIZADOS POR DEÍMOS. Confección de los encargos y desarrollo de proyectos realizado de forma exclusiva por el Director Técnico de Deimos, Sr. B.B.B. para Nikidom. Que Deimos desde el inicio de la relación contractual con Nikidom y por encargo de la misma, realizó diversos y variados trabajos tales como configuración de servidores, proyectos hospedados, condiciones de desarrollo de proyectos, márgenes y costes de los mismos, etc. Además, Deimos, dentro de su actividad de la que le es propia como empresa Servidora percibía cuotas de hospedaje por webs titularidad de Nikidom, denominadas Nikidom.com,nikidomroller.com, gestion.nikidom.com, prensa.nikidom.com, y mobile.nikidom.com. En definitiva, todas las configuraciones, proyectos y Webs de Nikidom, fueron realizados de forma exclusiva por el Director Técnico de Deimos, Sr. B.B.B., con D.N.l n° ***DNI.1 desde el inicio de la relación mercantil con Nikidom. Que en fecha 06 de abril de 2.015, el Sr. B.B.B. sin mediar motivo, ni preaviso, abandona su puesto como Director Técnico de la mercantil Deimos, a pesar de que su esposa, continuaba siendo socia de la misma. TERCERA.- RESCISIÓN DE SERVICIOS UNILATERAL REALIZADA POR NIKIDOM. INICIO DE LAS NEGOCIACIONES DE RESCISIÓN DE LA RELACIÓN CONTRACTUAL ENTRE AMBAS MERCANTILES. Que, sin existir conflicto alguno, ni queja entre ambas mercantiles, y sorprendentemente a escasamente un mes del abandono de la empresa del Sr. B.B.B., en fecha 04 de mayo de 2.015 se recibe por parte de Nikidom, comunicación vía mail en la que se nos comunica que de forma unilateral, procede a cancelar todos los servicios y contratos mantenidos con la misma y hasta la fecha, a fin de proceder al traslado de las webs de su titularidad del servidor de Deimos, a los servidores de 1 and 1. Que el motivo para ello, según se manifiesta, es el poder recuperar el control sobre sus webs y realizar el trabajo sobre las mismas deforma más In-house. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Que con la rescisión unilateral de la relación contractual, Nikidom solicita además tanto las copias de todos los archivos de las 4 webs, la aplicación IPAD, la destrucción de los archivos contenidos en los servidores, y solicitando por último, se le facture por mantenimiento y hospedaje de mayo únicamente hasta fecha 15 del mismo mes. Que a partir de la comunicación recibida, se inicia entre ambas mercantiles un periodo de negociación a fin de proceder de forma pacífica a la rescisión de la relación mercantil mantenida entre ambas. CUARTA.- COMISIÓN DE PRESUNTOS ILÍCITOS PENALES POR PARTE DE NIKIDOM EN CONNIVENCIA CON EL DIRECTOR TÉCNICO DE DEÍMOS, SR. B.B.B.. QUINTA.- RESOLUCIÓN DE CONTRATO EN FECHA 20 DE JULIO DE 2.015 ENTRE AMBAS MERCANTILES. Que, en fecha 20 de julio finalmente se alcanzó acuerdo satisfactorio entre ambas mercantiles únicamente a fin de resolver su relación mercantil, (quedando a salvo las acciones penales que pudieran corresponder por los actos antedichos), procediéndose por parte de Deimos en el mismo acto de la firma a la entrega mediante soporte USB de TODOS LOS ARCHIVOS, PROGRAMAS, DOCUMENTOS, BASES DE DATOS E IMÁGENES RELACIONADOS CON SUS WEBS: -NIKlDOM.COM, -NIKIDOMROLLER.COM, -MOBILE.NIKIDOM.COM, -PRENSA.NIKIDOM.COM y, -GESTION.NIKIDOM.COM, Que la entrega de la totalidad de los archivos arriba mencionados fue verificada de forma satisfactoria por parte del Sr. B.B.B., el cual compareció a la firma del contrato resolutorio acompañando al Sr. A.A.A., administrador de Nikidom. Es de ver, por tanto, la clara connivencia de intereses entre la mercantil Nikidom y el Sr. B.B.B.. Que habida cuenta de la preparación de demanda que se está realizando por parte de Deimos a fin de depurar las responsabilidades derivadas de los ilícitos cometidos, se procedió a la entrega de los archivos a Nikidom pero no a su destrucción, por ser prueba concluyente de los ilícitos cometidos tanto por dicha mercantil, como por el Sr. B.B.B.. En consecuencia, de conformidad con lo requerido por parte de ésta Agencia a la que me dirijo, es de ver que el propio contrato de resolución de relación de mercantiles acredita la DEVOLUCIÓN por parte de Deimos de los datos personales contenidos en los archivos entregados a Nikidom. Así mismo, y a los efectos igualmente requeridos, procedemos a anexar debidamente desglosados las copias de los contratos que Deimos ha venido manteniendo con Nikidom hasta fecha 20 de julio de 2.015. SEXTA.- QUE POR MEDIO DEL PRESENTE ESCRITO Y CON APROVECHAMIENTO DE LAS DILIGENCIAS APERTURADAS DE CONTRARIO, SE SOLICITA LA INSCRIPCIÓN DE LA PRESENTE INCIDENCIA ANTE LA AGENCIA ESTATAL DE PROTECCIÓN DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 DATOS. Que a consideración de esta parte, los hechos narrados constituyen tanto actos enmarcados dentro de la competencia desleal cometidos por el Sr. B.B.B. y para el beneficio de Nikidom, como de actos incardinados en el denominado delito de intrusión informática, previstos y penados, en el artículo 197 en relación con el artículo 74 del Código Penal. En ese sentido, el nuevo párrafo tercero del artículo 197 CP castiga, con la pena de reclusión de 6 meses a dos años «el que por cualquier medio o procedimiento y vulnerando las medidas de seguridad establecidas para impedirlo, acceda sin autorización a datos o programas informáticos contenidos en un sistema informático o en parte del mismo o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo». El artículo 197.3 CP, castiga dos hipótesis alternativas de conductas: aquella activa de quien «acceda sin autorización» a datos y programas informáticos contenidos en todo o en parte de un sistema informático y aquella omisiva de quien «se mantenga en el sistema contra la voluntad de quien tenga el legítimo derecho a excluirlo». La primera conducta que castiga el artículo 197.3 CP es la de acceso no autorizado a datos y programas informáticos. De esta manera se castiga el mero hacking, o hacking blanco. La segunda conducta castiga a quién se mantenga en el sistema ya sea para la introducción de elementos ajenos como virus, o para copiar o trasladar datos o archivos. A mayor abundamiento, el nuevo artículo 570-bis CP, introducido por la Ley Orgánica 05/2010, establece que a los efectos del Código Penal se entiende por organización criminal «la agrupación formada por más de dos personas con carácter estable o por tiempo indefinido, que de manera concertada y coordinada se repartan diversas tareas o funciones con el fin de cometer delitos, así como de llevar a cabo la perpetración reiterada de faltas. Por su parte, el nuevo artículo 570-ter CP establece que para los efectos del Código Penal constituye un grupo criminal «la unión de más de dos personas que, sin reunir alguna o algunas de las características de la organización criminal definida en el artículo anterior, tenga por finalidad o por objeto la perpetración concertada de delitos o la comisión concertada y reiterada de faltas». El nuevo artículo 31-bis CP prevé un doble criterio de imputación de la responsabilidad penal de las personas jurídicas, inspirado en el modelo de la llamada responsabilidad vicarial. La responsabilidad penal del ente se basa en la comisión de un delito por parte de una o más personas físicas pertenecientes a determinadas categorías. En base al artículo 31-bis. 1, primer inciso, CP, el ente colectivo es penalmente responsable por los delitos cometidos por parte de sus representantes legales, del administrador de derecho o de hecho que hayan actuado en nombre o por cuenta o en beneficio del mismo ente. La persona jurídica responde además por los delitos cometidos por sujetos «subordinados» en el ejercicio de actividades sociales y por cuenta, y en provecho de la misma cuando los hechos se hayan podido realizar por la falta de control de la persona jurídica sobre su actuación (art. 31-bis.1, segundo inciso, CP). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 En el Código Penal español no se ha introducido un modelo de culpabilidad de organización en la reglamentación de la responsabilidad penal de las personas jurídicas. El artículo 31-bis CP requiere solamente de una omisión de los deberes de control y vigilancia correspondientes a la persona jurídica cuando la actividad delictiva se cometa por parte de un sujeto subordinado. En consecuencia, la acción de acceso ilícito a los servidores de Deimos por parte del Sr. B.B.B. a instancia y beneficio de la empresa Nikidom, representada por el Sr. A.A.A., en fechas 7 y 9 de mayo de 2.015 es constitutiva de delito penal. A mayor abundamiento, realizando pruebas en Deimos desconectando las webs de Nikidom, se verificó sorprendentemente que las mismas continuaban funcionando con todas las actualizaciones realizadas en las mismas, y ello por cuanto a consideración de esta parte, dichas webs ya estaban instaladas en otro servidor, habida cuenta de que el Sr. B.B.B. en su acceso ilegítimo y no autorizado y a instancias de Nikidom, ya se las había llevado. En esa consecuencia, y dado el carácter reprochable y delictivo de los hechos narrados, por medio del presente escrito esta mercantil SOLICITA de esta Agencia se aperture incidencia regulada en el artículo 88 RD1720/2007, al respecto y permita la no destrucción de dichos archivos por cuanto los mismas, contienen el rastro de la entrada ilegítima y por tanto son prueba judicial que no debe ser destruida. A mayor abundamiento, y a tenor de lo dispuesto en el artículo 11.2 apartado

1. d)de la ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal, con la previa autorización de ésta Agencia, se aportaran ante la Jurisdicción competente y previa Demanda, los archivos con los rastros de sus entradas ilegítimas y de funcionamiento de la web con la desconexión junto con informe de perito conforme en las fechas indicadas se entró en las mismas y con sus claves de acceso por parte del Sr. B.B.B.. Y todo ello, a fin de depurar las responsabilidades tanto penales como civiles por los daños que pudieran haber causado a los servidores las actuaciones ilícitas del Sr. B.B.B., como del Sr. A.A.A. en su calidad de administrador de Nikidom.” Los representantes de DEIMOS solicitan a la Agencia se “tenga por formulada INCIDENCIA al amparo de lo establecido en el artículo 88 del RD1720/2007 en la que proceda a realizar la instrucción necesaria a fin de proceder a la sanción en su caso de las acciones punibles que pudieran derivarse de los hechos relatados, y acceda además a permitir la NO destrucción de los archivos de Nikidom, los cuales son prueba de los actos ilícitos cometidos por el Sr. B.B.B., en connivencia con dicha empresa, y que será debidamente aportada junto con la demanda que se está confeccionando por parte de Deimos.” A la solicitud efectuada a DEIMOS de aportar copia del contrato suscrito con NIKIDOM con todas sus cláusulas de protección de datos, la entidad aporta copia del documento, que cita en su cláusula 11 lo siguiente: “11.- A efectos de lo dispuesto en la Ley de Protección de Datos, Deimos informa al Cliente de la existencia de un fichero de datos, creado y bajo la responsabilidad de Deimos, con la finalidad de llevar a cabo la prestación de los servicios contratados y gestionar la relación contractual con el Cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Asimismo, le informa sobre la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición de los datos solicitados en el presente contrato. Deimos se compromete al cumplimiento de su obligación de secreto de los datos y de su deber de guardarlos, adoptando las medidas necesarias para evitar su alteración, pérdida, tratamiento o acceso no autorizado. En relación con el art. 12.2 de la Ley Orgánica 15/1999 de 13 diciembre, que regula la relación entre el Responsable del Fichero y el Encargado de Tratamiento de los datos, se le informa que en ningún caso Deimos trata datos en nombre del Responsable del Fichero. Conforme al contrato suscrito entre ambas empresas, Deimos únicamente provee de herramientas al Responsable del Fichero para facilitar el trabajo de la Empresa Cliente. En caso de que por cualquier circunstancia Deimos se pueda considerar Encargado de Tratamiento de datos del Cliente firmante de este contrato, se realizara un anexo con las condiciones impuestas por el cliente para el tratamiento de los datos, así como las medidas de seguridad y otras condiciones reguladas en el Art. 12 de la LO 15/1999 de 13 de diciembre.” No aportan anexo ningún tipo de anexo o cláusula adicional. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el supuesto denunciado, Nikidom realizó un contrato de prestación de servicios con Deimos. El artículo 12 de la LOPD, dispone lo siguiente: “Artículo 12. Acceso a los datos por cuenta de terceros 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. El citado artículo 12 de la LOPD establece la obligación de devolver los ficheros cuando finalice la prestación de servicios. No obstante, el artículo 22 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, establece lo siguiente: “Conservación de los datos por el encargado del tratamiento 1. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. No procederá la destrucción de los datos cuando exista una previsión legal que exija su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación. 2. El encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento.” Por tanto, desde la perspectiva de la legislación sobre protección de datos, Deimos está habilitado para conservar los datos debidamente bloqueados, durante el tiempo en que pudieran derivarse responsabilidades con Nikidom. En cuanto al delito penal que pudiese haber cometido Nikidom y el Director Técnico de Deimos, esta Agencia Española de Protección de Datos carece de competencias para enjuiciar los ilícitos penales referidos en su escrito de alegaciones, debiendo dirigirse a las instancias competentes. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: -PROCEDER AL ARCHIVO de las presentes actuaciones. -NOTIFICAR la presente Resolución a DEIMOS INFORMATICA Y SERVICIOS, S.L., y a Don A.A.A., como Administrador de NIKIDOM, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es