1/5 Expediente Nº: E/05998/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, el RECLAMANTE) con fecha 19 de enero de 2021 interpuso reclamación ante la Autoridad Catalana de Protección de Datos, la cual fue remitida a la Agencia Española de Protección de Datos el 20 de enero de
- La reclamación se dirige contra NOTARIOS DE ***LOCALIDAD.1 ASOCIADOS S.C.P. con CIF ***CIF.1 (en adelante también la RECLAMADA). Los motivos en que basa la reclamación son los siguientes: - El reclamante, que mantuvo relación con la parte RECLAMADA en 2018 con motivo de unos trámites, ha recibido desde el 29 de diciembre de 2020 tres correos electrónicos que, aparentemente proceden de ella, pero han sido remitidos desde direcciones que no parecen corresponderle. En los correos, se reproduce el contenido de mensajes que el reclamante intercambió con la notaría en su día, y se adjuntan ficheros sospechosos. - Por tanto, teme que alguien haya podido acceder sin autorización al contenido de sus comunicaciones con la notaría, especialmente porque en ellas se transmitía información personal (datos identificativos, de contacto, bancarios, escrituras, documentos del Registro de la Propiedad). - Manifiesta que se ha puesto en contacto con la notaría, pero allí tan solo le han dicho que han recibido más quejas de otros clientes sobre hechos similares, que están trabajando en ello, pero, según le comentan, es posible que se trate de un virus informático y le han pedido que no abra los ficheros adjuntos. - Fecha en la que tuvieron lugar los hechos reclamados: Entre el 29 de diciembre de 2020 y el 13 de enero de
- Junto a la reclamación aporta la siguiente documentación: - Copia de correo electrónico remitido al reclamante por ***EMAIL.1 (con seudónimo “***SEUDÓNIMO.1”), que parece haber sido enviado el día 29 de diciembre de 2020 a las 10:58 horas en horario UTC-0500 (que se corresponde con las 15:58 horas en el horario en que el reclamante recibió los correos). En este correo se le indica al reclamante que se han puesto en contacto con la notaría y le han dicho que contacte con el reclamante en relación con la escritura de una obra nueva, y se adjunta un documento “***DOCUMENTO.1” a cuyo contenido no se ha podido acceder. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 - Copia de correo electrónico remitido al reclamante por ***EMAIL.2, que parece haber sido enviado el día 29 de diciembre de 2020 a las 11:15 horas en horario UTC-0500 (que se corresponde con las 16:15 horas en el horario en que el reclamante recibió los correos). Este correo contiene una serie de correos anteriores entre el reclamante y una persona de la NOTARÍA DE ***LOCALIDAD.1 de fecha 24 de octubre de 2018, y adjunta un documento “Documento.doc” a cuyo contenido no se ha podido acceder. - Copia de correo electrónico remitido al reclamante por ***EMAIL.3, que parece haber sido enviado el día 13 de enero de 2021 a las 13:20 horas en horario UTC-0300 (que se corresponde con las 16:20 horas en el horario en que el reclamante recibió los correos). Este correo contiene un fichero comprimido “Documentación.zip” a cuyo contenido no se ha podido acceder. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte RECLAMADA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se remitió a través del sistema Notific@ el día 25 de febrero de 2021, entendiéndose rechazada al no haber accedido la RECLAMADA a su contenido en el plazo de diez días naturales desde la puesta a disposición de la notificación, de conformidad con el art. 43.2 y 43.3 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, entendiéndose cumplida la obligación de notificar con la puesta a disposición de la notificación en la sede electrónica o en la dirección electrónica habilitada única. No obstante, se reiteró el traslado por correo certificado, notificándose el día 22 de marzo de
- No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 24 de mayo de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por el RECLAMANTE. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Se requirió a la parte RECLAMADA información relativa a la violación de seguridad denunciada, recibiéndose contestación a la misma con registro de entrada el 3 de noviembre de 2021, en la que se aporta, entre otra, la siguiente información: - Respecto de la cronología de los hechos. Se indican las siguientes acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Respecto de las causas que hicieron posible la brecha, se declara lo siguiente: (…). (…). Respecto de los datos afectados, se indica lo siguiente: (…). Respecto de las medidas de seguridad implantadas, se indica lo siguiente: Respecto de la notificación con posterioridad a las 72 horas, se indica lo siguiente: (…). Respecto a la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo, se indica lo siguiente: (…). FUNDAMENTOS DE DERECHO I Competencia En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte RECLAMADA realiza, entre otros tratamientos, la recogida, conservación y utilización de datos personales de personas físicas, tales como: nombre, número de identificación, número de teléfono, dirección de correo electrónico, etc. La parte RECLAMADA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse producido un acceso indebido a datos personales del reclamante por un tercero, pues en los correos que ha recibido se reproduce el contenido de mensajes que el reclamante sí intercambió con la misma en su día. III Artículos 5.1.f) y 32, 33 y 34 del RGPD Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.f) del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. No obstante, de las actuaciones de investigación llevadas a cabo no ha quedado acreditado que la brecha de seguridad pueda imputarse a la parte RECLAMADA, pues no se han encontrado evidencias que reflejen el origen de dicha brecha de seguridad. Asimismo, dado lo anterior, no puede exigirse a la parte RECLAMADA la obligación de notificar la brecha de seguridad a la Agencia Española de Protección de Datos ni a los posibles afectados, tal y como exigen los artículos 33 y 34 del RGPD. Por otro lado, la parte RECLAMADA, en cuanto tuvo conocimiento de la recepción de correos electrónicos de clientes antiguos (…). Por último, cabe destacar que no constan ante esta Agencia otras reclamaciones de posibles afectados, a excepción de la que ha dado origen al presente expediente. IV Conclusión Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a NOTARIOS DE ***LOCALIDAD.1 ASOCIADOS S.C.P. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es