1/5 Expediente Nº: E/09545/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ADECCO OUTSOURCING SA en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 13/06/2018, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) frente a ADECCO OUTSOURCING SA (en lo sucesivo la denunciada). Manifiesta el denunciante que recibió un correo con una oferta de empleo de la denunciada, y como no le interesaba el puesto ni seguir registrado en su plataforma acudió a su web e intentó entrar, pero como no recordaba sus credenciales hizo clic en el típico enlace de recuperar la contraseña. en la que se introduce el correo electrónico y, en la mayoría de los casos se recibe un enlace para establecer una nueva contraseña. Sin embargo, le habían enviado su contraseña actual, lo que va contra lo dispuesto en el artículo 93.3 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); que establece que "cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad.", dado que la contraseña se está almacenando en su base de datos sin cifrar, se está enviando como texto plano por correo electrónico y sin seguridad, entiende que no está cumpliendo la ley vigente y pone en riesgo la seguridad de todos sus usuarios, que no son pocos dado el tamaño de la empresa y la naturaleza de su actividad económica. Aporta copia de un envío desde ADECCO, de 12/06/2018, asunto “identificación en Adecco”, con el texto: “Estimado A.A.A.: Para acceder a los datos de tu curriculum te recordamos tu usuario y contraseña, figurando a continuación el usuario (correo electrónico) y contraseña, aportando el denunciante tachados los datos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a: A) Se dirige escrito el 20/07/2018 a la denunciada, del literal: “De conformidad con las funciones previstas en el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), particularmente las que responden al respeto, por parte del responsable del tratamiento, de los principios de transparencia y responsabilidad proactiva, se da traslado de la reclamación presentada por A.A.A., requiriéndoles que, en el plazo máximo de un mes desde su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 recepción, comuniquen al reclamante el resultado final de las acciones que lleven a cabo para atender la reclamación, debiendo aportarse a esta Agencia copia de las comunicaciones intercambiadas a este respecto con el reclamante. Junto a la citada documentación deberán remitirse a esta Agencia, en el mismo plazo, todos los documentos que se consideren relevantes en relación con los hechos expuestos en la reclamación, incluyendo en particular la siguiente información:
- Especificación clara de las causas que han motivado la incidencia que ha dado lugar a la reclamación.
- Detalle de las medidas adoptadas por el responsable para solucionar la incidencia y para evitar que se produzcan nuevas incidencias como la expuesta. A este respecto, puede obtener, a través de www.aepd.es, información adicional sobre las obligaciones, previstas en la normativa de protección de datos, para responsables y encargados de tratamiento.
- En su caso, documentación acreditativa de que, de acuerdo con lo previsto en el artículo 12 del RGPD, se han tomado las medidas oportunas para facilitar al afectado el ejercicio de sus derechos en virtud de los artículos 15 a 22, incluyendo copia íntegra de las comunicaciones remitidas en respuesta a las solicitudes que hubieran sido efectuadas por el reclamante. A la vista de toda la documentación aportada, la Agencia realizará las actuaciones que resulten procedentes, en aplicación de los poderes de investigación y correctivos establecidos en el artículo 57 del RGPD.” Con fecha 30/08/2018 respondió que, en el proceso de recuperación de contraseñas, se contiene: 1-La dirección de ADECO procede de https recuperación de contraseñas, que asegura la identidad del equipo remoto. 2- Para navegar en el área de candidatos distingue dos partes, si ya estas registrado o si eres nuevo y el sistema que utiliza ese entorno está cifrado y crea un canal cifrado de comunicaciones entre usuario de la página web y titular de esta, no siendo accesibles para un tercero al viajar encriptadas, y caso de ser interceptadas, seria completamente ilegibles o indescifrables para ese tercero. Aporta impresión de detalle de datos correspondientes al cifrado de servidor seguro 3- La contraseña inicial se genera automáticamente, sin participación humana, una vez generada, se puede cambiar. Cuando el usuario solicita un recordatorio de sus datos de acceso a través del correo electrónico, el sistema utiliza un procedimiento automático de envío de este. En esos casos, el sistema lanza un correo electrónico al usuario con los datos solicitados, es un proceso automatizado, no permite el acceso al personal de ADECCO al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 repositorio de contraseñas y es un sistema accesible por el usuario fácilmente identificable en las opciones correspondientes y que permite la gestión de las opciones que le corresponden. Aporta ejemplos del correo electrónico enviado a petición del usuario en el que se indican tanto usuario (el correo electrónico) como contraseña. Aporta un detalle del código fuente de la cabecera del mensaje enviado en el que no se recogen ningún dato de identificación de su contenido, ni siquiera el asunto del destinatario, Indica que el sistema de recuperación de contraseñas a través de un proceso de opt in puede ser una alternativa que no aporta ningún extra de seguridad al detallado, y que la mera remisión de un enlace por correo electrónico para la recuperación de la contraseña no determina por sí mismo, que nos encontremos en una situación diferente o que no puedan derivarse los mismos riesgos de seguridad si el correo es interceptado por un atacante. Ello es válido para confirmar inscripción o suscripciones a un determinado servicio o formulario pretendiendo acreditar un consentimiento o aceptación de condiciones de políticas de protección de datos. Indica que con el caso se ha abierto un proceso de estudio de esta para avanzar en la determinación de los hechos y decepcionar propuestas de mejora o cambio por parte de los departamentos implicados y en su caso adoptar, mejorar o implantar en los sistemas. Adjunta copia de burofax enviada al reclamante el 29/08/2018 en el que remite los mismos documentos y explicaciones dadas a esta AEPD. Por otro lado, la AEPD se dirigió el 24/07/2018 a la reclamante informándole del traslado de la reclamación a la reclamada. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), de plena aplicación desde el 25/05/2018, reconoce a cada autoridad de control, es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos, de conformidad con el artículo 12.2, apartados i) y j) del Real Decreto 428/1993, de 26/03, por el que se aprueba el Estatuto de la Agencia de Protección de Datos (en adelante, RD 428/1993). En idéntico sentido se pronunciaba el artículo 37.d) en relación con el artículo 36, ambos de la LOPD, vigente en el momento de los hechos denunciados (en lo sucesivo LOPD). II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 se le asignan en su artículo 57, entre ellas, la de hacer aplicar el RGPD y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por el reclamante sobre el envío de su contraseña a través de correo electrónico por parte de la reclamada, denunciando infracción de medidas de seguridad. De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de esta reclamación, se dio traslado de esta a la reclamada señalando que remitiera la información al reclamante y detallara cuestiones relacionadas con la denuncia. Por otro lado, se acusó recibo de la reclamación presentada, informándole además de su traslado a la reclamada y del requerimiento hecho a la reclamada para que en el plazo de un mes informase a esta Agencia de las acciones llevadas a cabo para verificar la adecuación a los requisitos previstos en la normativa de protección de datos. Una vez analizadas las razones expuestas por la reclamada se ha constatado en este caso concreto, que el sistema de generación de recuerdo de contraseñas no vulnera medida alguna de seguridad en el tratamiento llevado a cabo. Por este motivo, la directora de la Agencia Española de Protección de Datos acuerda el archivo de estas actuaciones, al haberse resuelto la reclamación presentada. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta que no fuera acorde con la normativa vigente Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a ADECCO OUTSOURCING SA y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es