E-07214-2019

1/4  Procedimiento Nº: E/07214/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 11 de junio de 2019, la entidad FK ESTÉTICA INFANTIL, S.L. (en adelante FK) notifica a esta Agencia Española de Protección de Datos (en adelante AEPD) una vulneración de seguridad de datos personales (en adelante quiebra de seguridad), al tener conocimiento de tratamiento de datos del fichero de clientes por una antigua trabajadora. SEGUNDO: Recibida la notificación de quiebra de seguridad, la directora de la AEPD insta a la Subdirección General de Inspección de Datos a que proceda a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la notificación, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS FK ESTETICA INFANTIL S.L con NIF B84583780 con domicilio en C/ Pollensa 4, piso 2, pta. 6 - 28290 LAS MATAS (MADRID) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1. Con fecha 2 de agosto de 2019 se remitió escrito de requerimiento de información a la entidad, y de las respuestas recibidas se desprende: Respecto de la empresa  FK tiene la sede principal en Las Matas Madrid y nueve delegaciones en territorio nacional. Además, tratan datos de clientes de terceras empresas, la mayor parte de ellas en régimen de franquicia. Respecto de la cronología de los hechos.  FK manifiesta que, aproximadamente el 10 de junio de 2019, a través de un cliente tuvo conocimiento de que una extrabajadora del Grupo había enviado correos electrónicos con publicidad de otra empresa a clientes habituales de la compañía sin autorización de los mismos. Respecto de los datos afectados. Notificación.  C/ Jorge Juan, 6 28001 – Madrid FK manifiesta que la extrabajadora ha tenido acceso a toda la base de datos de clientes ya que era necesario para el desarrollo de su trabajo. www.aepd.es sedeagpd.gob.es 2/4   Los datos que figura en la base de datos corresponden a: Nombre y apellidos, edad, DNI, datos de contacto y dirección. Respecto de la comunicación a los clientes afectados, FK manifiesta que se ha decidido no informar al entender que no supondría un alto riesgo para los derechos y libertades de los ciudadanos ya que la sustracción de datos servía para enriquecer el fichero de la tercera empresa. Respecto de las medidas de seguridad implantadas con anterioridad al incidente   FK manifiesta que el fichero se encontraba ubicado en un ordenador al que acceden los trabajadores con sus credenciales (código de usuario y contraseña personalizado). FK manifiesta que todos los trabajadores reciben la política de seguridad y firman un acuerdo de confidencialidad. Las empresas con acceso a datos también firman un contrato de encargado de tratamiento con objeto de salvaguardar la confidencialidad. FK ha aportado copia del contrato suscrito con la extrabajadora de fecha 15 de abril de 2013 en el que figura una cláusula sobre confidencialidad. FK ha aportado registro de actividad de tratamientos de todas las empresas del Grupo. FK tiene establecido un protocolo para la notificación de brechas de seguridad en el plazo de 72 horas. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, no consta que se produjera una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una posible brecha de confidencialidad, como consecuencia del supuesto tratamiento posterior de los datos personales del fichero de clientes por parte de una extrabajadora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 De las actuaciones de investigación se desprende que la entidad FK disponía de razonables medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencias y acordes con el nivel de riesgo. No consta que el origen de los datos supuestamente objeto de tratamiento por la exempleada procedan de los ficheros de FK. Asimismo, la entidad FK disponía de protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación del supuesto incidente de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar e implementar nuevas medias razonables y oportunas para evitar que se repita la supuesta incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y el Delegado de Protección de Datos. No constan reclamaciones ante esta Agencia de los supuestos afectados. En consecuencia, consta que la entidad FK disponía de forma previa de medidas técnicas y organizativas razonables, en concreto cláusulas de confidencialidad suscritas por los empleados y control de accesos personalizados, en función del nivel de riesgo. No obstante, se recomienda la realización de un informe final sobre el incidente notificado. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada causada previsiblemente por un error puntual. III Por lo tanto, se ha acreditado que la actuación de FK como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a FK ESTETICA INFANTIL S.L con NIF B84583780 y con domicilio en C/ Pollensa 4, piso 2, pta. 6 - 28290 LAS MATAS (MADRID) De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es