PS-00042-2018

1/8 Procedimiento Nº: PS/00042/2018 RESOLUCIÓN R/00556/2018 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00042/2018, instruido por la Agencia Española de Protección de Datos a la entidad DIGITEX INFORMATICA SL, vista la denuncia presentada por B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 1 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad DIGITEX INFORMATICA SL, mediante el Acuerdo que se transcribe: <<ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad DIGITEX INFORMATICA, S.L., en virtud de denuncia presentada ante la misma por DÑA. B.B.B., y en base a los siguientes, HECHOS PRIMERO: Con fecha 12/07/2017, tuvo entrada en esta Agencia un escrito presentado por Dña. B.B.B. (en lo sucesivo la denunciante), en el que formula denuncia contra la entidad ORANGE ESPAGNE, S.A.U. (en lo sucesivo ORANGE) por haber difundido sus datos personales relativos a nombre, DNI, domicilio, teléfono y cuenta bancarias a través de la dirección de internet “ ***WEB.1”. La denunciante manifiesta que con fecha 30/06/2017 contactó telefónicamente con la entidad AMENA para solicitar presupuesto de un servicio móvil que decidió contratar, y que para formalizar la contratación facilitó los datos necesarios a un operador que la llamó desde el número ***TELF.1. Añade la denunciante que, en esa misma fecha, fue advertida de la divulgación de sus datos también mediante llamada telefónica. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las comprobaciones siguientes: A. Con fecha 14/07/2017, por la Inspección de Datos se accede a la dirección web ***WEB.1 verificando que figuran datos personales de diversas personas, entre las que se encuentran los datos de la denunciante relativos a nombre y apellidos, número de teléfono, dirección de correo electrónico, fecha de nacimiento, DNI y domicilio postal. Con fechas 20 y 31/07, 13/09 y 17/10/2017, se accedió nuevamente a la dirección web ***WEB.1 verificando que continuaba publicada la misma información. B. A través de la Comisión Nacional de los Mercados y la Competencia (CNMC), se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 comprueba que el número de línea ***TELF.1 está asociado a la entidad ORANGE. C. En respuesta al requerimiento de información que le fue efectuado por los Servicios de Inspección, la entidad ORANGE) informó lo siguiente: 1. El titular de la línea ***TELF.1 es la compañía DIGITEX INFORMATICA, S.L. (en lo sucesivo DIGITEX) que, a través de su filial en Colombia (Digitex Internacional Ltda) presta servicios de televenta a potenciales clientes de ORANGE, entre ellos a potenciales clientes de Amena.com. 2. En relación con el incidente denunciado, ORANGE manifiesta que corresponde a un hecho aislado asociado a un proveedor externo y no a una brecha de seguridad de los sistemas de ORANGE. En el informe aportado al efecto por dicha entidad consta lo siguiente: Respecto de la incidencia  La publicación de la información se realizó desde la plataforma web ***WEB.1, en la que se grabaron los datos. Esta plataforma proporciona servicios de bloc de notas con las siguientes características:  No se requiere previo registro en la aplicación, por lo que los autores de todas las entradas serían anónimos, salvo que el operador del sitio conserve registros de direcciones IP y éstas puedan a su vez asociarse a registros de actividad en el sitio y a la persona que se conectó usando dicha dirección IP.  Se permite establecer o no una temporalidad.  Requiere que la nota sea creada por una persona física. Emplea un mecanismo de CAPTCHA.  Solo se dispone de la funcionalidad de creación de notas: no se permite la edición o borrado manual de las mismas, eliminándose éstas automáticamente a la finalización del plazo de vigencia fijado (si lo hubiere).  Las notas pueden ser protegidas mediante contraseña, para que sólo quien conoce la misma pueda acceder a esta, incluso si la URL asociada es comprometida.  El acceso a las notas se realiza mediante un enlace URL.  La URL solo es notificada al creador de la nota, por el propio navegador. No se envía a ningún sitio ni está indexada en buscadores.  La URL ***WEB.1 fue creada el 30/06/2017, a las 10:23 horas, con periodo de validez “nunca caduca”. Existe una entrada previa creada el mismo día, a las 09:36 horas, con periodo de validez “1 mes”.  La información de estos bloc de notas no es fácilmente accesible, al no existir un buscador en el aplicativo. Para buscar un dato concreto hay que desarrollar una búsqueda a medida.  En el informe se pone de manifiesto que se han realizado diferentes búsquedas en Google, Yahoo y Bing sin obtener la publicación denunciada. Concluyen que no existen evidencias de publicación de la URL en ningún sitio online, por lo que para poder acceder al contenido es necesario conocer previamente la URL completa, la cual es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 notificada exclusivamente al creador de la nota. A este respecto, por parte de la Inspección de Datos se realizaron diversas búsquedas, en fechas 31/07 y 20/10/2017, mediante el buscador Google, sin haber podido acceder a la publicación objeto de la denuncia. Respecto de DIGITEX,  En el informe facilitado por ORGANGE figura que DIGITEX utiliza la aplicación de bloc de notas a pesar de la prohibición expresa que mantienen a nivel contractual, y advierten que la han bloqueado para impedir su utilización. Concluyen que podría haber sido un operador de DIGITEX el que realizó la publicación, si bien no disponen de pruebas suficientes, dado que la nota publicada es una edición de otra anterior que tenía parámetros de eliminación. Y manifiestan que solo el creador de la nota conocería la URL en la que se produjo la publicación. Respecto del número de afectados y la tipología de los datos  En relación con el número de potenciales clientes afectados, manifiestan que hay 7 registros asociados a personas identificadas o identificables. Y respecto de la tipología de datos, en dos ocasiones se muestran, además de los datos personales y la dirección postal, los números de cuentas bancarias. Respecto de las acciones realizadas  Se requiere a DIGITEX para que tome las medidas oportunas tendentes a la eliminación de la nota, en su condición de creador de la misma.  Se recuerda a los prestadores de servicios la prohibición de la utilización de terceras aplicaciones no autorizadas para el tratamiento de datos.  Se solicita a DIGITEX que certifique que no se está utilizando ningún aplicativo no autorizado. 3. ORANGE aportó a esta Agencia copia del escrito remitido a DIGITEX, de fecha 26/07/2017, solicitando la eliminación de cualquier archivo almacenado en el sitio web ***WEB.1 que contengan datos personales y certificación de la eliminación de las URLs por las que se accedían a dichos archivos. En este mismo escrito, solicitaron información sobre las medidas de seguridad adicionales implementadas para corregir e impedir situaciones análogas. 4. ORANGE aportó, asimismo, las conclusiones elaboradas por DIGITEX en relación con los hechos enunciados:  Se constató un acceso el día 30/06/2017 al sitio web ***WEB.1 desde un equipo que presta servicios al cliente ORANGE, y se determinó el operador que realizó el acceso a la nota publicada.  Por parte de la entidad se realizaron las siguientes acciones:  Bloqueo de los accesos a sitio web ***WEB.1.  Recordatorio de la no utilización de estas herramientas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8  Intento de borrado, que no fue posible realizar.  Solicitud a la entidad que figura como contacto del sitio web ***WEB.1 requiriendo la eliminación, utilizando el formulario que figura en la propia web. Al no recibir respuesta se realizó una segunda solicitud (aportan copia del escrito remitido).  Comprobación de que las notas no son indexadas por los buscadores D. Por otra parte, en relación con la entidad DIGITEX, los Servicios de Inspección destacaron que se trata de una empresa filial del Grupo Digitex, con un volumen de ventas en el ejercicio 2016 de más de 63 millones de euros y un número de empleados de 2416. Asimismo, destaca que la actividad de dicha entidad requiere un tratamiento continuo de datos personales y que no consta en esta Agencia ningún procedimiento sancionador seguido contra la misma. FUNDAMENTOS DE DERECHO PRIMERO: Sin perjuicio de lo que resulte de la instrucción del procedimiento, los hechos expuestos, en relación con la divulgación a terceros de los datos personales de la denunciante a través de la dirección de internet “ ***WEB.1”, podrían suponer la comisión por parte de la entidad DIGITEX INFORMATICA, S.L. de una infracción de lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), según el cual “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, tipificada como grave en el artículo 44.3

1. d)de dicha norma, que considera como tal “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”, sancionable con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45 de la citada Ley Orgánica. SEGUNDO: Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. 45.5 de la LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
2. a)del citado artículo para supuestos en los que “se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados b),
3. j)y
4. e)del artículo 45.4 de la LOPD: se trata de un hecho aislado en el que está implicado un reducido volumen de tratamiento de datos, por cuanto el mismo únicamente afectó a los datos personales de siete personas (apartados
5. j)y b); y por la ausencia de beneficios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 (apartado e). Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de infracción grave, para sancionarse conforme a las multas correspondientes a las infracciones leves. Asimismo, tras las evidencias obtenidas en la fase previa, y sin perjuicio de lo que resulte de la instrucción, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD, tomando en consideración, especialmente, la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad de la entidad imputada exige un continuo tratamiento de datos de carácter personal que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa; y el volumen de negocio de la entidad (apartado d); determinándose la imposición de una multa por importe de 10.000 euros por la infracción del artículo 16 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a la entidad DIGITEX INFORMATICA, S.L., con NIF H.H.H., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
6. d)de la citada Ley. 2. NOMBRAR como Instructor a F.F.F., y Secretario a D.D.D. indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el/la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
7. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
8. b)del RLOPD, la sanción que pudiera corresponder sería de 10.000 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a DIGITEX INFORMATICA, S.L. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
9. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
10. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 2.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 2.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (8.000 euros o 6.000 euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00042/2018 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
11. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. >> SEGUNDO: En fecha 16/03/2018 la entidad DIGITEX INFORMATICA SL ha procedido al pago de la sanción en la cuantía de 8.000 euros haciendo uso de la reducción prevista en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00042/2018, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a DIGITEX INFORMATICA SL. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es