E-07211-2020

1/3  Procedimiento Nº: E/07211/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 15/01/20, tuvo entrada en esta Agencia escrito presentado por D. A.A.A., (en adelante, “el reclamante”), en los que indicaba, entre otras, lo siguiente: “He recibido por parte de una dirección de correo ajena a la empresa Carrera 5, una comunicación fraudulenta dirigida a mi persona en base a información confidencial que facilité en el marco de la compra de un vehículo. En el correo recibido se refleja parcialmente contenido mantenido en la negociación de la compra y por lo tanto datos con carácter personal, de tipo financiero, del mismo modo han podido verse divulgados documentos oficiales tales como DNI, nóminas, residencia, etc.”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 22/02/20, se dirige requerimiento informativo a la entidad, CARRERA 5 AUTOMOVILES 2000 S.L., (entidad reclamada). TERCERO: Con fecha 05/03/20, tiene entrada en esta Agencia escrito de contestación de la entidad reclamada en la que, entre otras, indica: “Esta parte quiere poner de manifiesto que no nos consta que el servidor de Carrera 5 Automóviles 2000 S.L.U. haya sido atacado. Que revisado el sistema de información no se ha detectado nada. Que todo parece indicar, que el sistema de información que ha sido atacado ha sido el del reclamante; y que ha sido debido a la técnica de phishing que utilizan los hackers. Que el cliente de Carrera 5 Automóviles 2000 S.L.U, una vez que recibió un email el día 14/1/202 a las 18:16 horas, escribe un correo el 14/1/2020 a las 21:20 horas, a Carrera 5 Automóviles 2000 S.L.U, donde indicaba que se habían infectado los sistemas de Carrera 5 Automóviles 2000 S.L.U, que sus datos personales estaban bajo el control de quien lo había infectado, y que pediría responsabilidades. Transcribimos el correo enviado Sin embargo, y una vez revisado el sistema de información de Carrera 5 Automóviles 2000 S.L.U, no se ha detectado ningún ataque informático. 2.- Respecto al punto 2 Informe sobre las causas que han motivado la incidencia que ha originado la reclamación, pasamos a hacer las siguientes manifestaciones: Esta parte quiere manifestar, que todo parece indicar que lo que se ha producido ha sido un ataque a los ordenadores del reclamante, Esta parte quiere manifestar, que a pesar de no haberse producido ningún ataque a los servidores de Carrera 5 Automóviles 2000 S.L.U, se utiliza siempre como medida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/3 de salvaguarda, el cambio periódico de contraseñas, para acceder a los sistemas de información (…)”. CUARTO: A tenor de la información preliminar de la que se dispone y al apreciarse indicios racionales de una posible vulneración de la normativa en materia de protección de datos, con fecha 07/09/20, la Directoria de Agencia Española de Protección de Datos, de acuerdo con el artículo 65 de la LOPDGDD, acordó admitir a trámite la denuncia presentada por la reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones de investigación. II Según el reclamante, sus datos personales están bajo el control de quién ha infectado el sistema informático de la entidad reclamada, pues tienen pleno acceso a su correo electrónico pues ha recibido un correo electrónico malicioso haciéndose pasar por la entidad reclamada. No obstante, ésta manifiesta que, no les consta que su servidor haya sido atacado, que han revisado el sistema de información y no han detectado nada anómalo, que todo parece indicar que el sistema de información que ha sido atacado ha sido el del reclamante y que ha sido con la técnica de phishing que utilizan los hackers. No obstante, lo anterior, han puesto el caso en conocimientos de los técnicos informáticos de la entidad y han detectado que el correo electrónico malicioso, que recibió el reclamante pertenece a: B.B.B. ***DIRECCIÓN.1, que nada tiene que ver con la entidad. Dado que, de la documentación aportada por el reclamante no se puede corroborar que los sistemas informáticos de la entidad hayan sufrido un ataque informático que pusieran en peligro los datos personales de los usuarios y además, según afirma la entidad reclamada, sus sistemas informáticos no han sufrido ningún tipo de problemas de este tipo, no es posible identificar los elementos que permitieran evidenciar una posible vulneración del RGPD, por parte de la entidad reclamada, por lo que, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad CARRERA 5 AUTOMOVILES 2000 S.L., y a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/3 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es