E-08113-2015

1/5 Expediente Nº: E/08113/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de denuncia presentada por doña A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 25 de septiembre de 2015 tiene entrada en esta Agencia un escrito de doña A.A.A. en el que manifiesta que accedió al sitio web de MUTUA MADRILEÑA, para obtener un descuento en la compra de unas entradas. Según expone, desde ese sitio fue direccionada al sitio web www.entradas.com, donde, siguiendo las instrucciones del primer sitio, pudo acceder a los datos de compras no realizadas por ella. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Tal y como como consta en el Acta de Inspección E/8113/2015-I/1 realizada en ENTRADAS EVENTIM S.A.U. en fechas 22 y 26 de febrero de 2016:

1. ENTRADAS EVENTIM, S.A.U. tiene como actividad principal la venta de entradas on-line para espectáculos. ENTRADAS EVENTIM, S.A.U. tiene suscrito un contrato de colaboración con SERVEIS PER A LA GESTIO D’ESPECTACLES I EVENTS CULTURALS, S.L. (en adelante PROMENTRADA), por el cual PROMENTRADA ofrece a sus usuarios la posibilidad de la compra de entradas mediante el direccionamiento a la web de ENTRADAS EVENTIM S.A.U. en la dirección www.entradas.com.
2. PROMENTRADA tiene entre sus promotores a MUTUA MADRILEÑA y tiene suscrito un Acuerdo de Colaboración, originariamente suscrito en fecha 1 de julio de 2011 entre MUTUA MADRILEÑA y PUBLIESCENA MADRID SL, que actualmente se encuentra vigente. El objeto del contrato es ofertar ventajas especiales a determinados clientes de la aseguradora en espectáculos promocionados por PROMOENTRADA. En dicho Acuerdo se hace referencia a lo estipulado en el artículo 12 de la LOPD y se garantiza expresamente que PROMOENTRADA no tratará ningún dato personal con otros fines distintos a esta prestación de estos servicios. PROMOENTRADA manifiesta que este acuerdo de colaboración no prevé cesión alguna de datos personales de los clientes de MUTUA MADRILEÑA a su compañía ya que la promoción y publicidad de espectáculos que es objeto de dicho acuerdo no precisa ni requiere que se cedan datos personales.
3. Para obtener descuentos en los espectáculos que promociona PROMOENTRADA, los clientes de la MUTUA MADRILEÑA tienen que acceder a la web de la compañía www.autoclubmutua.es, y escoger un espectáculo entre los que se ofertan. En las condiciones figura que hay que realizar la siguiente operación: “Haga click aquí”, indique en el registro como usuario y contraseña la palabra mutuateatro”. Al hacer click se direcciona a http://empresas.promoentrada.com, web de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 PROMOENTRADA, desde la cual se solicita el usuario y contraseña genéricos, para validar y activar los correspondientes descuentos para los clientes de MUTUA MADRILEÑA. Una vez introducidos, se direcciona a diferentes plataformas de compra-venta on-line, entre ellas, a www.entradas.com, web de la compañía ENTRADAS EVENTIM S.A.U. Respecto de ENTRADAS EVENTIM S.A.U.:
4. Para adquirir entradas para los espectáculos a través de la web de ENTRADAS EVENTIM S.A.U., los clientes tienen la opción de registrarse como usuarios en www.entradas.com, y para ello deben introducir un código de usuario y una contraseña elegida por el usuario junto con una serie de datos identificativos (nombre y apellidos, domicilio, dirección de correo electrónico…) que conforman el perfil del usuario. El sistema comprueba que no exista un usuario con el mismo código. Una vez registrado los datos, el Sistema permite la modificación de cualquier dato del perfil del usuario salvo el código de usuario ya que este dato es único y le identifica. Las entradas que se adquieren en www.entradas.com se almacenan junto con los datos del perfil del usuario y se puede asignar en cada compra datos de identificación, de domicilio y de facturación distintos de los que ya figuran, actualizando el perfil con los datos que se han introducido.
5. Se ha verificado que la web www.autoclubmutua.es permite seleccionar distintos espectáculos y que, para obtener un descuento, consta la indicación de realizar “click aquí” y utilizar como usuario y contraseña la palabra “mutuateatro”. Se comprueba que, al pulsar descuento, se direcciona a http://empresas.promentrada.com, la cual solicita para continuar una clave de usuario y una contraseña y al identificarse como “mutuateatro” se redirige a la web www.entradas.com Se verifica que, una vez situados en la web www.entradas.com y al solicitar la compra de una entrada para uno de los espectáculos, se oferta la posibilidad de registrarse como usuario, en cuyo caso, se solicitan los datos de dirección de correo electrónico, código de usuario y contraseña junto con datos del comprador (nombre y apellidos, fecha de nacimiento, dirección, teléfono y datos de facturación). Se comprueba que una vez registrado los datos, la información relativa a las entradas adquiridas se encuentran asociadas al código de usuario y contraseña y al nombre del comprador registrado como cliente. Se verifica que en la opción de “Mis compras” figura como nombre de usuario el introducido en el registro y la anotación de la compra de una entrada junto con la fecha de la misma.
6. Se ha constatado que al realizar una nueva compra de entradas utilizando la misma clave de usuario y contraseña (accediendo a la web como cliente ya registrado) se permite la modificación de los datos del comprador y de facturación incluyendo la dirección de correo electrónico. Se comprueba que, una vez modificados los datos del comprador, la nueva compra de entradas se encuentra asociada a estos datos con el código de usuario y contraseña del cliente ya registrado. Y en la opción de “Mis compras” figuran las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 compras realizadas con el mismo código de usuario y contraseña asociado a dos nombres de clientes distintos. Se ha constatado que las compras realizadas en el transcurso de la inspección, con fecha 22 de febrero de 2016 a las 13:37 y 13:50, se encuentran asociadas al mismo código de usuario y contraseña pero con dos nombres de cliente distintos. Respecto de la información de la denuncia:
7. Se ha comprobado que, en los Sistemas de Información de ENTRADAS EVENTIM S.A.U., figuran las compras realizadas por la denunciante en fecha 17 de septiembre de 2015 a las 12:03, y por otro usuario en fecha 31 de agosto de 2015 a las 13:54, asociadas todas al mismo identificador de usuario.
8. Se ha verificado que en el Sistema de Información consta el usuario “mutuateatro” en situación de “inactivo” y asociado al nombre ficticio que la denunciante reconoce haber grabado tras detectar posibles accesos por terceros.
9. Se ha comprobado que a través de la web www.entradas.com utilizando como clave de usuario y contraseña “mutuateatro” no se permite el acceso y devuelve el mensaje “Se ha producido un error durante la introducción de los datos. Los datos introducidos no son correctos”.
10. Se ha verificado que, en el Sistema de Información, la dirección de correo electrónico de la denunciante se encuentra asociada al citado identificador de usuario con fecha de registro de datos 24 de septiembre de
11. A este respecto, ENTRADAS EVENTIM S.A.U, manifiesta que los datos que figuraban en el Sistema asociados al código de usuario “mutuateatro”, fueron borrados al solicitar la cancelación y posteriormente, el cliente volvió a registrar sus datos con motivo de unas compras de entradas en fecha 24 de septiembre de
13. Respecto de la denuncia, ENTRADAS EVENTIM S.A.U. manifiesta: • Un usuario contactó con el Servicio de Atención al Cliente de ENTRADAS EVENTIM S.A.U. manifestando que al identificarse en la web www.entradas.com con el código de usuario y contraseña “mutuateatro” se visualizan datos de otro usuario. • Al tener conocimiento de estos hechos, ENTRADAS EVENTIM S.A.U. validó el sistema y comprobó la existencia de un código de usuario “mutuateatro” que había realizado dos procesos de compra. El primero de ellos, en fecha 31 de agosto de 2015, entradas para un espectáculo musical y en el que figuraba asociado el nombre del otro usuario mencionado y con fecha 17 de septiembre de 2015 se habían adquirido entradas para otro espectáculo, éstas a nombre de la denunciante, quedando asociadas a las compras realizadas por el usuario “mutuateatro”, puesto que para el Sistema Informático son un único usuario que ha modificado los datos de nombre y apellidos, forma de pago y domicilio. • Al finalizar las comprobaciones realizadas se procedió a desactivar el usuario “mutuateatro” y a contactar con la persona que había puesto la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD, establece: “
14. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
15. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
16. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” En el Título VIII del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, se concretan las medidas de seguridad que han de adoptarse en los tratamientos de datos de carácter personal, en función de la tipología de los datos tratados. En particular, en el artículo 93 se establecen, para los ficheros de datos de nivel básico, las siguientes medidas: “
17. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios.
18. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado.
19. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad.
20. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” De las actuaciones practicadas en el presente caso, se desprende que para la compra de entradas en la plataforma www.entradas.com resulta opcional la identificación y autenticación del usuario, habiéndose detectado que la denunciante se conectó haciendo uso del mismo identificador utilizado previamente en ese sitio web por otro usuario. Según lo analizado, la denunciante debió de interpretar erróneamente las instrucciones facilitadas, consignando en esa plataforma el mismo nombre de usuario (“mutuateatro”) que, para beneficiarse del descuento ofrecido por Mutua Madrileña, se requería en el sitio web de procedencia, http://empresas.promentrada.com, si bien su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 uso en este sitio web no habilita el acceso a datos personales. En consecuencia, la responsabilidad por el acceso, por parte de la denunciante, a los datos de un tercero en la plataforma www.entradas.com no resulta atribuible a la compañía inspeccionada que, tras detectar la incidencia, implementó medidas correctoras para evitar nuevas conexiones con ese mismo identificador de usuario. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
21. PROCEDER AL ARCHIVO de las presentes actuaciones.
22. NOTIFICAR la presente Resolución a ENTRADAS EVENTIM, S.A.U., a SERVEIS PER A LA GESTIO D'ESPECTACLES I EVENTS CULTURALS, S.L. y a doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es