← España

PS-00083-2013

1/19 Procedimiento Nº PS/00083/2013 RESOLUCIÓN: R/01859/2013 En el procedimiento sancionador PS/00083/2013, instruido por la Agencia Española de Protección de Datos a la entidad MAPFRE TECH, S.A., vistas las denuncias presentadas, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 09/02/2012 tiene entrada en esta Agencia un escrito del denunciante 1, cuya identidad consta en los Anexos, en el que declara que fue informado por un tercero sobre el acceso que éste realizó a través de una búsqueda en Google a un documento en el que aparecían datos personales de salud relativos al denunciante 1. Añade que comprobó dicha circunstancia y obtuvo impresiones de pantalla que acreditan la veracidad de tales hechos, accediendo a un escrito fechado el 04/12/2006 firmado por un miembro de la Comisión de Defensa del Asegurado de MAPFRE, dirigido al Departamento de Reclamaciones de esa entidad, mediante el que se informa sobre la resolución de una reclamación interpuesta por el dicente a través de su abogado ante aquella Comisión. Con su denuncia aporta acta de requerimiento notarial, de fecha 30/01/2012, en el que el notario hace constar que tras realizar una búsqueda en Google con el argumento formado por el nombre y primer apellido del denunciante aparece un enlace al sitio web www.musini.com a través del cual tiene acceso a la carta reseñada en la denuncia, que procede a imprimir y une a la diligencia notarial. Con fecha de 08/02/2012 tiene entrada en esta Agencia un escrito del denunciante 2, cuyo identidad consta en los Anexos a este acuerdo, en el que declara que ha sido publicada en Internet una carta del Defensor del Asegurado de MAPFRE que le fue remitida con fecha 24/01/2008. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se desarrollaron las siguientes actuaciones: 1. En fecha 15/02/2012 pudo ser verificado por la Inspección de Datos de esta Agencia que el buscador Google disponía de una referencia a una página web ubicada en el servidor web www.musini.com en la que aparece un escrito fechado el 04/12/2006, dirigido al Departamento de Reclamaciones de MAPFRE, en la que se informa de una reunión de la Comisión de Defensa del Asegurado celebrada para el examen una reclamación efectuada por el denunciante a través de su abogado. En el documento aparecen los siguientes datos personales relativos al Denunciante 1:  Nombre y apellidos  Profesión  Pólizas de seguros tomadas, entre ellas una de invalidez permanente  Consta que en fecha 21/03/2006 había sido declarado por el INSS en situación de incapacidad permanente absoluta, así como el detalle de las lesiones consideradas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 en el dictamen médico que determinó dicha declaración de incapacidad. Aparece en el documento que la entidad aseguradora es MAPFRE VIDA. Según consta en la página web, se trata de una copia en cache generada por una aplicación informática denominada wconvpdf, que realiza la conversión de ficheros en formato Microsoft Word a formato PDF. 2. Por la Inspección de Datos pudo comprobarse que la página web anteriormente publicada en el sitio web www.musini.com ya no aparecía accesible, si bien continuaba accesible en la cache de Google. Asimismo, se constata que el buscador tuvo acceso a dicha página web en fecha 03/03/2012, última fecha en que indexó dicha página. 3. Igualmente se comprobó, mediante un acceso al sitio web www.musini.com, que en la página relativa a la política de privacidad del mismo figura MAPFRE INTERNET, S.A. como titular del sitio web www.mapfre.com. Aunque la página no informa del titular del sitio web www.musini.com, y se refiere únicamente al sitio web www.mapfre.com, esta página está alojada en el servidor web www.musini.com y posiblemente ambos estén alojados en el mismo ordenador. Por otra parte, en el DNS consta el dominio musini.com registrado por la entidad MAPFRE EMPRESAS CIA DE SEGUROS Y REASEGUROS, S.A. 4. Respecto del Denunciante 2, según consta en diligencia de fecha 27/03/2012, por la Inspección de Datos se pudo verificar que el buscador Google mantenía copia de una página web que fue indexada en fecha 10/03/2012 y que coincide con el documento aportado por el denunciante. El documento mencionado estaba localizado en dicha fecha en el servidor web www.musini.com y en idéntico directorio virtual que el documento aportado por Denunciante 1, por lo que se decidió la acumulación de ambas actuaciones. 5. Se realizó visita de inspección a MAPFRE INTERNET, S.A. (en adelante MAPFRE INTERNET) en fechas 18 y 21/06/2012, durante la cual los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores:

  1. a)MAPFRE S.A. dispone de un fichero denominado RECLAMACIONES, registrado en el Registro General de Protección de Datos, cuya finalidad es recopilar y gestionar los datos referidos a las reclamaciones interpuestas a las entidades financieras y aseguradoras del sistema MAPFRE. Se trata de un fichero de nivel alto y de tipo mixto, por contener documentación en soporte papel y en soporte electrónico. El Departamento de Reclamaciones es la unidad de MAPFRE S.A. encargada de resolver las reclamaciones planteadas por los clientes, que almacena las resoluciones adoptadas en formato PDF. Los documentos antiguos se encuentran en formato papel.
  2. b)La Dirección de Reclamaciones es un área dependiente de la DIRECCIÓN GENERAL DE ASUNTOS LEGALES Y SECRETARIA GENERAL, integrada en MAPFRE S.A. La Comisión de Defensa del Asegurado (CDA) es un órgano independiente, que existe por obligación legal, cuya misión es la protección de los intereses de los clientes de MAPFRE, que atiende y resuelve sus reclamaciones con criterios de equidad y formula recomendaciones a las empresas del grupo MAPFRE para la mejora de sus relaciones con los clientes. Ambos organismos dan servicios horizontales a todas las empresas del grupo.
  3. c)MAPFRE S.A. dispone de una aplicación denominada RECLADB, cuya misión es prestar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 apoyo a la toma de decisiones a la CDA y al Departamento de Reclamaciones, de forma que se pueda dar una resolución homogénea a las distintas reclamaciones. La aplicación se alimenta de las resoluciones de la CDA contenidas en el fichero RECLAMACIONES, que son incluidas en la aplicación RECLADB tras su anonimización. Por ello, consideran los representantes de la entidad que el fichero que contiene la información RECLADB no sería un fichero LOPD. La aplicación RECLADB permite realizar búsquedas en la base de datos documental así constituida, para lo cual aglutina varias utilidades e infraestructuras: - Un directorio en el que se depositan las resoluciones en formato PDF, ya anonimizadas. - Una GSA (Google Search Appliance), tecnología de Google, que permite realizar búsquedas sobre los documentos. - Un servidor web, que pone los documentos a disposición de la GSA para la indexación de los contenidos. - Una aplicación web que facilita la consulta a los documentos indexados por la GSA. RECLADB es una aplicación interna, para uso compartido del Departamento de Reclamaciones y de la CDA, que en principio no constituiría un fichero en los términos de la LOPD, al haber sido definida una política de anonimización respecto de los documentos que contienen las resoluciones de reclamaciones incluidas en esta aplicación, habiéndose establecido control de accesos mediante usuario y contraseña, pero no registro de accesos. Se recaban páginas del documento de seguridad donde se indica que RECLADB es una base de datos disociada, así como impresión de pantalla de una página del manual de usuario on-line de la aplicación. En dicha página consta que en las resoluciones se han suprimido todos los datos de carácter personal. MAPFRE INTERNET tiene acceso a dicha documentación como encargado del tratamiento, prestando servicios a MAPFRE S.A. Aporta la entidad copia del contrato de prestación de servicios a MAPFRE S.A. en el que consta expresamente que MAPFRE INTERNET adoptará las medidas de seguridad correspondientes, en función de la naturaleza de los datos de carácter personal del tratamiento, conforme lo establecido por el RLOPD.
  4. d)La dirección C.C.C. indica el directorio virtual que se corresponde con el directorio real en el que se almacena definitivamente la documentación de la aplicación RECLADB.
  5. e)En fecha 23/03/2012, a raíz de la solicitud de cancelación de los datos personales recibida por parte de Denunciante 1, la entidad tuvo conocimiento de la exposición en Internet de sus datos personales.
  6. f)Como consecuencia de dicho conocimiento se abrió una incidencia y del estudio de la misma se pudo concluir que dicha exposición tuvo su origen en un cúmulo de circunstancias: - La aplicación RECLADB recogía información con datos de carácter personal, que no debería haber recogido. - La información de RECLADB usaba las funcionalidades de búsqueda de la GSA externa (herramienta de MAPFRE destinada a indexar contenido público accesible desde Internet), que no debería haber usado. La caché (memoria temporal) de la GSA externa ha de estar accesible al exterior con el fin de intercambiar la información pública de MAPFRE con los servidores de Google, y en dicha caché estuvieron almacenados los documentos expuestos al exterior. - Alguna de las búsquedas realizadas por los departamentos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 correspondientes (Reclamaciones o CDA) dieron como resultado una serie de documentos, entre los que se encontraban los aportados por los denunciantes y que quedaron almacenados en dicha cache. - La reasignación del servidor web www.musini.com a la misma dirección IP que alojaba el servidor web www.mapfre.com. Es por ello que, al visitar cualquiera de ambos servidores aparecía la misma página web de MAPFRE. - De la investigación del incidente se concluye que la indexación del contenido por parte de los buscadores externos (Google, Bing, etc.) se realizó a través del dominio www.musini.com que carecía de mecanismo alguno que permitiese guiar la indexación por parte de los citados buscadores, mecanismos que si existían en www.mapfre.com, de forma que los buscadores tenían acceso a la caché a través de www.musini.com pero no a través de www.mapfre.com. Se recaba copia de la anotación recogida en el Registro de Incidencias. Constan dos anotaciones fechadas el 23/03/2012 y el 31/05/2012 que recogen el acceso no autorizado por parte de terceros, relativas a comunicaciones realizadas por los denunciantes a la entidad con motivo de su aparición a través del buscador de Google.
  7. g)Musini era una antigua compañía del grupo MAPFRE y la desaparición de la misma conllevaba la desaparición del sitio web www.musini.com, transitoriamente dicho sitio web fue un alias del sitio web www.mapfre.com. Solicitado a la entidad documentos acreditativos de las fechas de las reasignaciones de las direcciones del servidor web www.musini.com, informan no disponer de evidencia documental para responder a la petición realizada.
  8. h)La entidad inspeccionada disponía de una GSA (Google Search Appliance), que consiste en un ordenador dotado de la tecnología de búsqueda de Google. Dicha GSA se utilizaba inicialmente para indexar los contenidos del sitio web www.mapfre.com y proporcionar capacidades de búsqueda a los visitantes de dicho sitio web.
  9. i)Conocida la existencia del acceso de Google a los datos indexados por la GSA, se procedió el mismo día 23 de marzo: - borrar el contenido de la caché de la GSA externa asociada a la aplicación RECLADB, - deshabilitar el indexado de la GSA externa a los datos de RECLADB. - a cerrar el acceso desde Internet a www.musini.com, con lo que se aseguraba que no volviese a haber nuevos accesos desde el exterior Con las medidas anteriores, el mismo día 23 de marzo, quedaban resuelta el problema de visibilidad exterior de la documentación de RECLADB que se encontraba presente en la caché de MAPFRE, quedando pendiente las copias que Google mantenía en su cache (memoria temporal), consecuencia de accesos anteriores al cierre. Posteriormente las funcionalidades de búsqueda de RECLADB han sido migradas a la GSA interna, disponible en la entidad para las funcionalidades de búsqueda de contenido en la documentación interna.
  10. j)La entidad dispone de un Centro de Control General acreditado y reconocido como CERT (Computer Emergency Response Team, equipo de respuesta a emergencias informáticas). Desde el CERT de MAPFRE INTERNET se solicitó al CERT de Google para acelerar las peticiones de borrado de los ficheros de la caché de Google. Aporta la entidad copia de la solicitud realizada a través del CERT. Se trata de un correo electrónico fechado el 23/3/2012 por el que se solicitaba el borrado de los índices y de la caché de Google de tres URL. Adicionalmente, el Centro de Competencias de Internet, área de MAPFRE INTENET, encargada de la gestión operativa y funcional de los portales web, utilizó la herramienta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 de gestión de webmasters para solicitar el borrado de los ficheros almacenados en las cachés de Google, que procedió al borrado de las mismas con fecha 27 de marzo. Aporta la entidad copia de las peticiones realizadas por el webmaster. En el documento aportado se incluyen correos electrónicos de fecha 27/03/2012 en el que se muestran la siguiente información: - por medio de la herramienta para webmasters de Google se solicita la eliminación de al menos 10 URL del dominio musini.com. - el número de URL’s referenciadas por Google asciende a 268. - Un envió del fichero robots.txt con la instrucción de subirlo al servidor ¡Error! Referencia de hipervínculo no válida..
  11. k)Todavía no existe informe definitivo de la investigación en curso. Existe únicamente un borrador. Se recaba copia de dicho borrador. Tras su lectura no se aprecia información adicional a la que ya figura en el acta de inspección.
  12. l)Aporta la entidad copia de los siguientes documentos de estándares internos: - Norma para la segregación de las redes de comunicaciones, que se desarrollan, entre otros, en los documentos siguientes. - Estándar de segmentación de redes. - Estándar de conexión de sistemas a la red - Estándar de aislamiento de sistemas sensibles. - Estándar de segmentación de servicios de DNS. - Estándar de administración segura de sistemas y software base. A efectos de seguridad, informa la entidad que usa la metodología de seguridad ISO 27001 y que se encuentran a disposición de la Agencia las normas, estándares y procedimientos que se consideren oportunos. 6. Los inspectores de la Agencia solicitan al representante de MAPFRE INTERNET que les permita el acceso a los sistemas de información de la entidad, en los que se realizan las siguientes comprobaciones:
  13. a)Se comprueba que el sistema requiere la identificación mediante el uso de identificador de usuario y contraseña.
  14. b)Se accede al fichero con URL A.A.A..
  15. c)Se recaba impresión de las comprobaciones realizadas. Se comprueba en dichas consultas que existe un fichero denominado ******.pdf, consistente en un documento digitalizado que recoge información de carácter personal relativa al denunciante 1, de contenido coincidente con el aportado por el denunciante 1 y con el encontrado en la caché de Google que consta diligenciada en fecha 27/03/2012.
  16. d)Se solicita el acceso al directorio real correspondiente a la URL C.C.C., comprobándose que aparecen en dicho directorio 6.921 archivos. Se comprueba que dichos archivos constan con fecha de modificación comprendidas entre el 14/07/2008 y el 20/03/2012. Consta también la existencia de un fichero denominado robots.txt, que establece las instrucciones a los robots de buscadores. Según las instrucciones de dicho fichero, no estaría permitida la indexación del servidor. Se realiza la visualización de diversos documentos, verificándose que aparecen múltiples de ellos sin anonimizar. Realizadas comprobaciones a fin de intentar cuantificar el número de ficheros no anonimizados, se ha podido determinar que hay un total de 2.477 con fechas de modificación anteriores a enero de 2009 y que todos los accesos realizados a estos ficheros han mostrado que no estaban anonimizados, en tanto que entre los posteriores a dicha fecha se encuentran tanto ficheros anonimizados como no anonimizados. Se recaba copia de parte de las comprobaciones realizadas. No se recaba copia de las comprobaciones realizadas respecto a documentos en que aparecen terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 Adicionalmente, se comprueba que parte de los ficheros ubicados en la URL C.C.C. presentan una denominación que contiene nombres y/o apellidos de personas. Se accede a varios de estos ficheros y se comprueba que, en todos los casos accedidos, los documentos no están anonimizados y que se refieren a personas cuyo nombre aparece en la denominación del fichero. Se recaba, a modo de ejemplo, impresión de pantalla en la que consta listado parcial de ficheros con esta característica.
  17. e)Se accede al fichero con URL B.B.B..
  18. f)Se recaba impresión de las comprobaciones realizadas. En ellas se aprecia que efectivamente existe el fichero ******1.pdf, que consiste en un documento digitalizado en que se recoge información de carácter personal relativa al denunciante 2, coincidente tanto con la información aportada por éste como por la información recabada que consta diligenciada en fecha 27/03/2012. 7. Aporta la entidad la siguiente documentación adicional:
  19. a)Escritura notarial de fecha 11/12/2012 mediante la que se realiza el cambio de denominación social de MAPFRE INTERNET S.A. pasando a denominarse MAPFRE TECH S.A. (en lo sucesivo MAPFRE TECH).
  20. b)Contrato de fecha 17/07/2008 suscrito entre MAPFRE INTERNET S.A. en beneficio de todas las entidades del sistema MAPFRE, y EPTISA TECNOLOGÍAS DE LA INFORMACION S.A. para el desarrollo de una aplicación de búsqueda para portales internos basada en tecnología Google Search Appliance (GSA). Entre los objetos del contrato están el suministro de las máquinas GSA.
  21. c)Acuerdo de fecha 09/03/2011 entre MAPFRE INFORMÁTICA, A.I.E. TECNOLOGÍAS DE LA INFORMACIÓN, S.A., para la renovación de los sistemas para el entorno internet (extranet) basados en la tecnología Google Search Appliance (GSA) y pedido realizado al efecto con fecha 16 de mayo siguiente. Teniendo en cuenta lo actuado, en el informe elaborado por los Servicios de Inspección de la Agencia se concluye lo siguiente: MAPFRE dispone de dos sistemas de búsqueda documental, uno para facilitar la búsqueda al personal de las empresas del grupo y un segundo para facilitar las búsquedas a los clientes que accedan a los portales externos. El incidente de seguridad fue debido a la confluencia de factores: 1. La aplicación RECLADB, que debería haber recogido documentación anonimizada, estuvo recogiendo documentación en la que se identificaban los afectados por las resoluciones del servicio de reclamaciones de MAPFRE. 2. Dicha documentación debería haber sido indexada por el GSA interno, pero lo fue por el GSA externo, debido a un error de configuración. 3. Las reglas de filtrado en el acceso desde Internet a la red de MAPFRE, que habrían funcionado adecuadamente hasta entonces, dejaron de hacerlo desde el momento en que se integró el dominio ¡Error! Referencia de hipervínculo no válida. en los servidores de la entidad, pues los filtros que se aplicaban en el acceso al resto de dominios no se aplicaron al dominio ¡Error! Referencia de hipervínculo no válida.. TERCERO: Con fecha 07/02/2013, el Director de la Agencia de Protección de Datos acordó iniciar procedimiento sancionador a la entidad MAPFRE TECH, S.A. por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  22. h)de dicha norma, pudiendo ser sancionada con multa de con multa de 40.001 a 300.000 euros, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento sancionador, se recibe escrito del denunciante 1, que se persona en el procedimiento. Por su parte, la entidad MAPFRE TECH, S.A. presenta escrito de alegaciones en el que refiere las circunstancias de hecho que constan en los antecedentes anteriores, señalando nuevamente que los documentos accesibles a través de Internet objeto de las denuncias correspondían a resoluciones de la comisión de Defensa del Asegurada dictadas con motivo de las reclamaciones formuladas por los denunciantes, que fueron incorporadas a la aplicación RCLADB para que estuvieran disponibles como antecedentes válidos para futuras resoluciones y que, por error, se incorporaron sin haber eliminado los datos personales incluidos en las mismas. Añade que conoció la incidencia con motivo de la solicitud de cancelación de datos recibida de uno de los denunciantes en fecha 23/03/2012 y que ese mismo día procedió a abrir la oportuna incidencia y adoptaron las medidas que constan expuestas en el apartado 5, letras
  23. i)y j), del Antecedente Segundo. Considera que no se incumple lo dispuesto en el artículo 9 de la LOPD, por cuanto tiene establecidas estrictas medidas de orden técnico y organizativo para garantizar la seguridad de los datos y evitar su alteración, pérdida, tratamiento o acceso no autorizado, y considerando que la incidencia se produjo por un cúmulo de circunstancias o factores imposibles de detectar, como la inclusión en la aplicación citada de documentos sin anonimizar, la realización de búsquedas previas que dieron como resultado un listado de documentos entre los que figuraban los correspondientes a los denunciantes, un error de configuración que provocó la indexación de auqella documentación por la GSA externa, la reasignación del servidor web www.musini.com a la dirección IP que alojaba el servidor www.mapfre.com y la inexistencia en aquel dominio de mecanismos de filtrado de accesos. De acuerdo con lo indicado, considera la imputada que concluir una vulneración del artículo 9 de la LOPD es realizar una interpretación extensiva y forzada del alcance de la citada obligación de seguridad. Considera aplicable la jurisprudencia de la Audiencia Nacional que distingue los supuestos de errores por falta de diligencia de aquellos en los que el error se produce de forma involuntaria. En este caso, además, el error es inmediatamente rectificado, no ha provocado perjuicio y no resulta de una falta de diligencia. Subsidiariamente, solicita la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, en atención a las circunstancias expresadas en el párrafo anterior. QUINTO: En fecha 07/03/2013, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios las denuncias interpuestas y la documentación que acompañan, así como las actuaciones previas de investigación señaladas con el número E/00945/2012, que incluyen el Informe elaborado por los Servicios de Inspección, las alegaciones a la apertura del procedimiento presentadas por MAPFRE TECH, S.A. y la documentación aportada. SEXTO: Con fecha 28/06/2013, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad MAPFRE TECH, S.A. con multa de 40.001 euros (cuarenta mil un euros), por la infracción del artículo 9 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 la LOPD, tipificada como grave en el artículo 44.3.h), y de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Notificada la citada propuesta, se recibió escrito del denunciante que advierte sobre un error al reseñar una fecha en el Fundamento de Derecho VII de la Propuesta de Resolución. MAPFRE TECH, S.A., por su parte, presentó escrito de alegaciones en el que reitera que la información relativa a los denunciantes estuvo accesible por una serie de circunstancias que dieron lugar a dicho error y no por una falta de medidas de seguridad, debiendo entenderse tal error como involuntario y, por tanto, no constitutivo de la infracción tipificada en el artículo 44.3.h). Considera acreditada la celeridad y diligencia de la entidad, una vez conoció la incidencia, en adoptar las medidas necesarias para resolver dicha incidencia, que consta en las actuaciones Subsidiariamente, solicita la aplicación de lo establecido en el artículo 45.5 de la LOPD, con la imposición de una sanción por el importe establecido para las infracciones leves en su cuantía mínima. A este respecto, advierte sobre la inexistencia de perjuicios o beneficios, la inmediatez en solventar y corregir el incidente, que han de primar sobre el tiempo que la información se mantuvo accesible a terceros o la naturaleza de los datos, a los que no accedió ninguna persona distinta a los propios afectados. HECHOS PROBADOS 1. El dominio musini.com consta registrado por la entidad MAPFRE EMPRESAS CIA DE SEGUROS Y REASEGUROS, S.A. Por los Servicios de Inspección se accedió a la página en la que se recoge la política de privacidad del sitio web www.musini.com, y se comprueba que en la misma se identifica a la entidad MAPFRE INTERNET, S.A. como titular del sitio web www.mapfre.com. Esta página está alojada en el servidor web www.musini.com. 2. Mediante Escritura notarial de fecha 11/12/2012 se realizó el cambio de denominación social de MAPFRE INTERNET, S.A., pasando a denominarse MAPFRE TECH S.A. 3. Con 17/07/2008, MAPFRE INTERNET, S.A. suscribió un contrato, en beneficio de todas las entidades del sistema MAPFRE, con la entidad EPTISA TECNOLOGÍAS DE LA INFORMACION S.A. para el desarrollo de una aplicación de búsqueda para portales internos basada en tecnología Google Search Appliance (GSA). 4. Según las manifestaciones realizadas por los representantes de la entidad imputada a los Servicios de Inspección de la AEPD, MAPFRE, S.A. dispone de una aplicación denominada RECLADB, cuya misión es prestar apoyo en la toma de decisiones a la Comisión de Defensa del Asegurado y al Departamento de Reclamaciones, que se alimenta de las resoluciones de la Comisión citada contenidas en el fichero RECLAMACIONES, que son incluidas en la aplicación RECLADB tras su anonimización. Por ello, posibilitar la búsqueda de información dispone de un directorio en el que se depositan las resoluciones en formato PDF, ya anonimizadas, una GSA (Google Search Appliance), tecnología de Google, que permite realizar búsquedas de documentos, un servidor web, que pone los documentos a disposición de la GSA para la indexación de los contenidos y una aplicación web que facilita la consulta a los documentos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 indexados por la GSA. En el Documento de Seguridad se indica que en las resoluciones se han suprimido todos los datos de carácter personal. 5. MAPFRE INTERNET, S.A. tiene acceso a la documentación que consta en la aplicación RECLADB como encargado del tratamiento, en virtud de un contrato de prestación de servicios suscrito en fecha 27/11/20098, en el que consta expresamente que MAPFRE INTERNET, S.A. adoptará las medidas de seguridad correspondientes, en función de la naturaleza de los datos de carácter personal del tratamiento, conforme lo establecido por el RLOPD. 6. En Acta Notarial de fecha 30/01/2012 consta que, tras realizar una búsqueda en Google con el argumento formado por el nombre y primer apellido del denunciante 1 aparece un enlace al sitio web www.musini.com a través del cual tiene acceso a un escrito fechado el 04/12/2006, firmado por un miembro de la Comisión de Defensa del Asegurado de MAPFRE, dirigido al Departamento de Reclamaciones de esa entidad, que informa sobre la resolución de una reclamación interpuesta por el denunciante 1 ante aquella Comisión. 7. Con fecha 15/02/2012, la Inspección de Datos de la AEPD verificó que el buscador Google disponía de una referencia a una página web ubicada en el servidor web www.musini.com en la que aparece un escrito fechado el 04/12/2006, dirigido al Departamento de Reclamaciones de MAPFRE, que informa de una reunión de la Comisión de Defensa del Asegurado celebrada para el examen una reclamación efectuada por el denunciante 1. En el documento aparecen los datos personales del Denunciante 1 relativos a nombre y apellidos, profesión, pólizas de seguros tomadas, que en fecha 21/03/2006 había sido declarado por el INSS en situación de incapacidad permanente absoluta, así como el detalle de las lesiones consideradas en el dictamen médico que determinó dicha declaración de incapacidad. 8. Con fecha de 08/02/2012, tuvo entrada en esta Agencia un escrito del denunciante 2, en el que declara que ha sido publicada en Internet una carta del Defensor del Asegurado de MAPFRE que le fue remitida con fecha 24/01/2008, en la que figuran sus datos personales y todas las circunstancias relativas a la reclamación formulada por el mismo ante la Comisión de Defensa del Asegurado. Con fecha 27/03/2012, la Inspección de Datos verificó que el buscador Google mantenía copia de una página web que fue indexada en fecha 10/03/2012 y que coincide con el documento aportado por el denunciante. El documento mencionado estaba localizado en dicha fecha en el servidor web www.musini.com y en idéntico directorio virtual que el documento aportado por Denunciante 1. 9. En el Registro de Incidencias de MAPFRE INTERNET, S.A. constan dos anotaciones fechadas el 23/03/2012 y el 31/05/2012 relativas a comunicaciones realizadas por los denunciantes a la entidad con motivo de su aparición a través del buscador de Google de los documentos reseñados en los Hechos Probados anteriores. En relación con estas incidencias, los representantes de la entidad imputada manifestaron a los Servicios de Inspección de la AEPD la exposición de los documentos tuvo su origen en las circunstancias siguientes: - La aplicación RECLADB recogía información con datos de carácter personal, que no debería haber recogido. - La información de RECLADB usaba las funcionalidades de búsqueda de la GSA externa (herramienta de MAPFRE destinada a indexar contenido público accesible desde Internet), que no debería haber usado. La caché C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 - - - (memoria temporal) de la GSA externa ha de estar accesible al exterior con el fin de intercambiar la información pública de MAPFRE con los servidores de Google, y en dicha caché estuvieron almacenados los documentos expuestos al exterior. Alguna de las búsquedas realizadas por los departamentos correspondientes (Reclamaciones o CDA) dieron como resultado una serie de documentos, entre los que se encontraban los aportados por los denunciantes y que quedaron almacenados en dicha cache. La reasignación del servidor web www.musini.com a la misma dirección IP que alojaba el servidor web www.mapfre.com. Es por ello que, al visitar cualquiera de ambos servidores aparecía la misma página web de MAPFRE. De la investigación del incidente se concluye que la indexación del contenido por parte de los buscadores externos (Google, Bing, etc.) se realizó a través del dominio www.musini.com que carecía de mecanismo alguno que permitiese guiar la indexación por parte de los citados buscadores, mecanismos que si existían en www.mapfre.com, de forma que los buscadores tenían acceso a la caché a través de www.musini.com pero no a través de www.mapfre.com. Asimismo, manifestaron que el mismo día 23 de marzo procedieron a borrar el contenido de la caché de la GSA externa asociada a la aplicación RECLADB, deshabilitar el indexado de la GSA externa a los datos de RECLADB y a cerrar el acceso desde Internet a www.musini.com. Posteriormente las funcionalidades de búsqueda de RECLADB fueron migradas a la GSA interna, disponible en la entidad para las funcionalidades de búsqueda de contenido en la documentación interna. 10. Mediante correo electrónico de 23/03/2012, MAPFRE INTERNET solicitó a Google el borrado de los ficheros de la caché de Google. Esta misma petición se realizó por MAPFRE INTENET utilizando la herramienta de gestión de webmasters y un envío un envió del fichero robots.txt con la instrucción de subirlo al servidor ¡Error! Referencia de hipervínculo no válida.. Google procedió al borrado de las mismas con fecha 27 de marzo. 11. Los Servicios de Inspección de la AEPD accedieron al sistema de información de MAPFRE INTERNET, S.A. realizando las siguientes comprobaciones:
  24. d)Se comprueba que el sistema requiere la identificación mediante el uso de identificador de usuario y contraseña.
  25. e)Se accede al fichero con URL A.A.A., que consiste en un documento digitalizado que recoge información de carácter personal relativa al denunciante 1, de contenido coincidente con el aportado por el mismo y con el encontrado en la caché de Google.
  26. f)Se solicita el acceso al directorio real correspondiente a la URL C.C.C., comprobándose que aparecen en dicho directorio 6.921 archivos con fechas de modificación comprendidas entre el 14/07/2008 y el 20/03/2012. Consta también la existencia de un fichero denominado robots.txt, que establece las instrucciones a los robots de buscadores. Según las instrucciones de dicho fichero, no estaría permitida la indexación del servidor. Se visualizaron diversos documentos, verificándose que aparecen muchos de ellos sin anonimizar (un total de 2.477 con fechas de modificación anteriores a enero de 2009). Entre los posteriores a dicha fecha se encuentran tanto ficheros anonimizados como no anonimizados. Adicionalmente, se comprueba que parte de los ficheros ubicados en la URL C.C.C. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 presentan una denominación que contiene nombres y/o apellidos de personas. Se accede a varios de estos ficheros y se comprueba que, en todos los casos accedidos, los documentos no están anonimizados y que se refieren a personas cuyo nombre aparece en la denominación del fichero.
  27. g)Se accede al fichero con URL B.B.B., que consiste en un documento digitalizado en que se recoge información de carácter personal relativa al denunciante 2, coincidente tanto con la información aportada por éste como por la información recabada por los Servicios de Inspección que consta diligenciada en fecha 27/03/2012. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  28. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
  29. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
  30. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero accedido, atendiendo a su contenido (nombre y apellidos, profesión, pólizas de seguros tomadas, que en fecha 21/03/2006 había sido declarado por el INSS en situación de incapacidad permanente absoluta, así como el detalle de las lesiones consideradas en el dictamen médico que determinó dicha declaración de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 incapacidad), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
  31. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
  32. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. IV Se imputa a la entidad MAPFRE TECH el incumplimiento del principio de seguridad de los datos personales que constan en los ficheros que getiona. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  33. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  34. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
  35. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
  36. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  37. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  38. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  39. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 están, también, sujetos a la LOPD.
  40. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  41. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por MAPFRE, correspondiendo adoptar las calificadas de nivel alto, en atención al tipo de información sensible que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.3 del citado Reglamento señala que “Además de las medidas de seguridad de nivel básico y medio, las medidas de nivel alta se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal: …
  42. a)Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 91 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establece: Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. En definitiva, la entidad MAPFRE TECH, está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, por cuanto el sistema habilitado para la búsqueda y consulta de documentos a disposición del Departamento de Reclamaciones y de la Comisión de Defensa del Asegurado no impidió de manera fidedigna que tales documentos, en los que figuran datos de carácter personal, pudieran ser accedidos por terceros. MAPFRE dispone de dos sistemas de búsqueda documental, uno para facilitar la búsqueda al personal de las empresas del grupo y un segundo para facilitar las búsquedas a los clientes que accedan a los portales externos. El incidente de seguridad, según ha reconocido la propia entidad imputada, se produjo porque la aplicación utilizada para acceder al fichero “Reclamaciones”, que debería haber recogido documentación anonimizada del citado departamento, estuvo recogiendo documentación en la que se identificaban los afectados y que, además, pudo ser indexada por buscadores externos debido a un error de configuración. Las reglas de filtrado en el acceso desde Internet a la red de MAPFRE dejaron de funcionar adecuadamente en el momento en que se integró en los servidores de la entidad el dominio ¡Error! Referencia de hipervínculo no válida., que no aplicaba filtros o mecanismos para evitar la indexación de documentos por los buscadores. Por tanto, el mecanismo de acceso a la información contenida en el sistema no cumplió las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, por cuanto mostró datos personales a terceros. Así, los datos personales de los clientes de MAPFRE resultaron accesibles desde Internet, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas, y no de un error involuntario, según ha alegado la entidad MAPFRE TECH. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que la entidad MAPFRE TECH ha incurrido en la infracción grave descrita. Tales hechos quedaron acreditados por la documentación aportada por los denunciantes, han sido reconocidos por la propia entidad imputada y verificados por los Servicios de Inspección de la Agencia Española de Protección de Datos, según el detalle reseñado en los Hechos Probados. V La entidad MAPFRE TECH ha alegado que sus sistemas de información disponen de las medidas de seguridad requeridas. Sin embargo, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 En Sentencia de 19/10/2010, la Audiencia Nacional considera conforme la resolución recurrida, en la que se graduó la multa tomando en consideración la existencia de medidas de seguridad. En dicha Sentencia se declara que “La Administración le impuso, no obstante, una sanción de… utilizando los criterios de corrección del art. 45.4 de la LOPD, al haber ponderado que la empresa tenía medidas de seguridad…”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad MAPFRE TECH la responsable del fichero y, por tanto, la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. VI El artículo 44.3.
  43. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que MAPFRE TECH ha incurrido en la infracción grave descrita. VII La Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de fecha 25/02/2010, en relación con un caso en el que se examina un posible fallo de seguridad en los sistemas de información, señala lo siguiente: “…la recurrente no realizó actividad alguna, pese a que era consciente del riesgo de una posible revelación o publicidad del fichero…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 “… un comportamiento adecuado y activo de la misma pudo impedir o, al menos, minimizar el riesgo real de revelación de los datos personales de los usuarios. Es decir, su comportamiento omisivo (no advirtiendo de la fuga a los usuarios, no presentando denuncia, no cambiando la contraseña etc.) facilitó o, al menos, no obstaculizó la revelación de los datos…”. “La recurrente, como garante de los datos personales de terceros que figuraban en sus ficheros, no tuvo la diligencia exigible sino que propició la revelación como cooperador necesario por omisión. Siendo ello así, la Sala entiende cometida, como también recoge la resolución impugnada, la infracción del artículo 10 de la LOPD, tipificada en el artículo 44.3.
  44. g)de la citada norma, es decir la vulneración del deber de guardar secreto…”. Los criterios contenidos en la Sentencia citada se han tenido en cuenta para no imputar a MAPFRE TECH una infracción de lo dispuesto en el artículo 10 de la LOPD, por incumplimiento del deber de secreto en relación con los datos personales de sus clientes, considerando la actuación desarrollada por la misma con posterioridad al incidente para regularizar la situación y minimizar los riesgos, que consta detallada en los hechos probados. VIII El artículo 45.1, 2, 4 y 5 LOPD, según su redacción aprobada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, aplicable al presente supuesto, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  45. a)El carácter continuado de la infracción.
  46. b)El volumen de los tratamientos efectuados.
  47. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  48. d)El volumen de negocio o actividad del infractor.
  49. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  50. f)El grado de intencionalidad.
  51. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  52. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  53. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  54. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  55. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  56. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  57. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  58. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19
  59. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad MAPFRE TECH, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En lo que respecta a la falta de perjuicios causados a los denunciantes, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. MAPFRE TECH ha solicitado la aplicación de este precepto alegando que los hechos no resultan de una falta de diligencia, la incidencia fue inmediatamente rectificada y no se ha provocado perjuicio. Sin embargo, en el presente caso, se concluye que no concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves. Es cierto que la infracción no resulta de la inexistencia de medidas de seguridad, en general, pero se considera que, por un lado, el período de tiempo que se mantuvo accesible a terceros la información (el denunciante 1 ha acreditado el acceso realizado en fecha 31/01/2012 y las acciones para subsanar la incidencia se inician en fecha 23/03/2012) y, por otro lado, que los documentos recogidos en el fichero en la misma contienen datos especialmente protegidos, que exigen una especial diligencia y conocimiento de la normativa de protección de datos que ha de respetarse. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y, especialmente, cuando tienen el propósito de prestar servicios a través de internet, que obliga a exigir un nivel de cautela y diligencia más alto. En relación con los criterios de graduación de las sanciones establecidos en el artículo 45.4, se tiene en cuenta la ausencia de intencionalidad apreciada y el volumen de datos accedido. Por tanto, en aplicación del principio de proporcionalidad, atendidas todas las circunstancias expresadas anteriormente, incluidas las relativas a las mejoras de seguridad implementadas, el tipo de datos y empresa involucrada, así como la tardanza en la implementación de aquellas mejoras, procede la imposición de una multa conforme a la escala prevista para las infracciones graves por importe de 50.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MAPFRE TECH, S.A., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  60. h)de dicha norma, una multa de 50.000 euros (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente Resolución y el Anexo 0 a MAPFRE TECH, S.A. TERCERO: NOTIFICAR a cada uno de los denunciantes la presente Resolución y exclusivamente el Anexo que les corresponda, en el que se incluye su identificación. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.