← España

PS-00121-2013

1/15 Procedimiento Nº PS/00121/2013 RESOLUCIÓN: R/02323/2013 En el procedimiento sancionador PS/00121/2013, instruido por la Agencia Española de Protección de Datos a la entidad EMMASA-EMPRESA MIXTA DE AGUAS DE SANTA CRUZ DE TENERIFE, S.A., vista la denuncia presentada por D. C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 19/04/2012, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. C.C.C. (en lo sucesivo el denunciante), en el que pone de manifiesto los siguientes hechos: Con fecha 10/04/2012, comprobó que, a través de una búsqueda en Internet, su curriculum aparece publicado y disponible a terceros desde la web www.emmasa.es. Por este motivo, contactó con la entidad Empresa Mixta de Aguas de Santa Cruz de Tenerife, SA. (en lo sucesivo EMMASA), telefónicamente y mediante correo electrónico, para informar sobre la incidencia. Al no solucionarse el problema volvió a contactar telefónicamente con la entidad, sin obtener respuesta. Asimismo, comprobó que a través del buscador Google y utilizando como argumento de búsqueda “emmasa curriculum” accedió a la imagen preliminar de los currículos y los pdfs con el contenido completo. Con fecha 13/04/2012, EMMASA contactó telefónicamente con el denunciante y le informó que se han puesto en contacto con Google para que los currículos sean borrados de la memoria “caché” de Google. No obstante sigue apareciendo su currículo y el de otros candidatos. Con el escrito de denuncia aporta la siguiente documentación:  Búsqueda realizada en Google en fecha 13/04/2012 en la que figura la referencia a los currículos e imagen de algunos de ellos.  Listado de candidatos del directorio “Index”, en el que se pueden obtener los currículos de todos los candidatos e imagen de algunos de ellos en fecha 10/04/2012.  Búsqueda realizada en Google en fecha 10/04/2012 con la referencia a los currículos e imagen de algunos de ellos.  Correo electrónico remitido a la dirección correo@emmasa.es, de fecha 10/04/2012, informando sobre la incidencia.  Intercambio de correos electrónicos con la empresa con objeto de que suministre más información con objeto de solucionar el problema.  Impresión de pantalla en la que constan los datos curriculares en la “caché” de Google de fecha 16/04/2012. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se desarrollaron las siguientes actuaciones: 1. Tal y como consta en la documentación remitida por el denunciante, en fecha 10 de abril de 2012 eran accesibles desde Internet los currículos de aproximadamente 200 candidatos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 2. Con fecha 13 de abril de 2012, y con posterioridad al correo electrónico remitido por el denunciante a la entidad a través de la propia web www.emmasa.es el mismo día 10 de abril, los currículos seguían siendo accesibles a través de la consulta en Google de “emmasa curriculum”. 3. Con fecha 23 de abril de 2012, desde la Inspección de Datos se ha realizado la consulta “emmasa curriculum” en el buscador Google obteniendo 6 referencias a datos de currículos en la web de EMMASA (www.emmasa.es), asimismo se han podido imprimir los currículos completos, entre ellos se encuentra el curriculum del denunciante. 4. Con fecha 11 de julio de 2012 y 18 de enero de 2013, desde la Inspección de Datos se ha realizado una nueva consulta en Google de “emmasa curriculum” sin obtener ningún resultado. 5. Con fecha 21 de enero de 2013, se ha verificado la existencia de dos web de la entidad EMMASA: www.emmasa.es y www.emmasaonline.es. Tal y como consta en la documentación remitida por EMMASA: 6. EMMASA manifiesta que la web www.emmasa.es está estructurada con un apartado que permita a los usuarios remitir su CV al Área de Recursos Humanos de la empresa, siendo esta la única vía que está diseñada y habilitada con tal fin. Tras introducir los datos, leer y aceptar las condiciones del envío, el usuario procede a enviar o eliminar su información. El envío del formulario se traduce en la generación de un correo electrónico que llega de manera automática al Responsable de Recursos Humanos de EMMASA. No se almacenan copias de la información aquí introducida en ningún sistema intermedio. 7. EMMASA manifiesta que tras la queja realizada por el denunciante el día 10/04/2012, se verificó que, tras una incidencia en el alojamiento de la página web de EMMASA, el correo electrónico con su CV no fue enviado al Área de Recursos Humanos de la empresa, sino que quedó almacenado en una carpeta temporal del servidor ( B.B.B.). Dicha página se encuentra alojada en el servidor de SINERGIA DE 3, S.L. (en lo sucesivo SD3), proveedor de hosting de EMMASA, con el que tiene suscrito un contrato de prestación de servicio de alojamiento y mantenimiento de la página web de EMMASA, de fecha 17 de junio de 2011. En dicho contrato figura: “El contratado declara haber adoptado las medidas oportunas para que los niveles de seguridad de Protección de los Datos Personales se lleven a cabo de conformidad con los requisitos que establece la Ley orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y la normativa que la desarrollo, además ha instalado todos los medios de seguridad y medidas técnicas necesarias en sus instalaciones, sistemas y ficheros, para evitar la pérdida o manipulación” 8. EMMASA manifiesta que al tener conocimiento de los hechos mencionados por el denunciante contactó inmediatamente con SD3 al objeto de que procediera de forma inmediata a su resolución, lo cual, se solventó, desde su servidor hosting, en cuestión de horas. A este respecto, EMMASA ha aportado copia de los correos electrónicos intercambiados entre su compañía y SD3 en fechas 10 y 11 de abril de 2012. En uno de estos correos remitidos por SD3 indican “Esto es un fallo grave de diseño de la web”. 9. EMMASA manifiesta que la carpeta donde se encontraba el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 curriculum del denunciante no ha estado accesible navegando desde la página web www.emmasa.es. Asimismo manifiesta que verificaron que, en algunos casos, al hacer una búsqueda en Google asociando términos como “emmasa y curriculum’ se podían detectar los ficheros que se habían quedado almacenados. Al parecer esa fue la manera que permitió al denunciante acceder a su CV. 10. Con respecto a la indexación de los Currículos por Google, EMMASA manifiesta que desde el primer momento se utilizaron las herramientas que el propio Google provee para eliminar el contenido asociado a la web de su caché. Sin embargo, al no obtener resultados inmediatos, EMMASA se puso en contacto con Google España y Google EEUU respectivamente, solicitando que estas empresas implementaran las actuaciones necesarias que permitieran eliminar cualquier posible rastro de datos en su memoria caché, tardando Google EEUU varios días en solventar el problema. 11. EMMASA manifiesta, y aporta impresión de pantalla del registro del Call Center de la entidad, que se recibió la primera llamada del denunciante a las 16:29 horas del día 10/04/2012, y tras realizar las oportunas comprobaciones se procedió a solventar la incidencia en los equipos de SD3 antes de las 9:15 horas del día 11/04/2012, comunicándole telefónicamente al denunciante a las 9:29 horas la cancelación de sus datos de sus ficheros según había solicitado, lo que se hizo igualmente por escrito, el día 12/04/2012. EMMASA ha aportado copia de un correo remitido desde “lopd” a la dirección de correo del denunciante ( D.D.D.) donde le informan que han dado de baja su curriculum de los ficheros de la entidad. 12. En relación con el motivo por el cual con posterioridad al 11/04/2012 aparecieran datos en el buscador Google, EMMASA considera que se deriva de las sucesivas búsquedas realizadas que han quedado indexadas al citado buscador de internet. Asimismo, manifiestan y aportan correos electrónicos y escritos intercambiados con Google, que mantuvieron un continuo seguimiento en Google y en contacto con sus responsables para solventar el problema, cuya finalización manifiestan que tuvo lugar el 24/04/2012, cuando pudieron comprobar que el contenido había desaparecido de la “caché” de Google. Tal y como consta en la documentación remitida por SD3: 13. En fecha 30 de abril de 2012, EMMASA solicitó a SD3 un Informe en relación con la incidencia denunciada. SD3 ha aportado copia de dicho informe en el que consta:  La incidencia se produjo cuando una persona que había enviado su currículo a través de la web de EMMASA, en el apartado destinado específicamente para ello, encontró una manera de acceder a los diferentes ficheros de CV que él y otros usuarios habían enviado a través de dicha página. Esta persona puso la incidencia en conocimiento de EMMASA y esta a su vez lo comunicó a SD3. Tras un análisis de la incidencia se realizaron diversas actuaciones encaminadas a su solución.  En primer lugar se comprobó que efectivamente en determinados directorios de la web, los ficheros son visibles y accesibles usando determinadas técnicas. Como solución, se editan los permisos de la carpeta ( A.A.A.) y se pone un código de seguridad para evitar el acceso al contenido. Con estos permisos no se puede subir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 ningún currículum por formulario. A partir de ese momento, aunque ya no se puede acceder al contenido de dicha carpeta directamente, se comprueba que los documentos siguen siendo accesibles desde Internet por estar registrados y almacenados en la caché de Google, se sugiere al cliente que use las herramientas de Google y se sube al directorio raíz de www.emmasa.es un fichero para que Google la pueda validar.  Se confirma que hay un error de seguridad en la estructura de la página web en el modo en que se suben los currículos desde el formulario, puesto que no se filtra el tipo de ficheros, dando la opción de subir un ejecutable que aunque devuelve un error en el formulario, llega al servidor y queda almacenado en la carpeta ./curriculum.  A petición del cliente se modifica el robots.tx y se incluyen metaetiquetas para impedir la indexación de Google. 14. SD3 manifiesta que su empresa se ha limitado, desde el inicio del contrato, a trasladar el contenido integro de la web www.emmasa.es desde su anterior proveedor de Hosting a sus servidores. Dicho traslado se ha realizado mediante herramientas de copia especializadas, que han traspasado tanto el contenido de los directorios como los permisos que existían en origen, por lo tanto el error que se ha detectado ahora no ha sido causado por el sistema Hosting de SD3, sino que era un error no detectado que existía desde origen. 15. SD3 manifiesta que una vez resuelta la incidencia se recomienda a EMMASA la necesidad de realizar una revisión exhaustiva del código de su página web ya que se podría producir la misma vulnerabilidad en otras carpetas o apartados. Así mismo, se puso de manifiesto que no existe ningún tipo de filtro lógico en los formularios de envío de correo, por lo que un usuario avanzado podría aprovechar este hueco de seguridad para intentar ejecutar código en la página. Por estos motivos, SD3 ha recomendado la revisión del código de la página actual o la creación de una nueva página web que cumpla los requerimientos de seguridad estándar de hoy en día, para evitar que en un futuro puedan darse problemas de seguridad. 16. SD3 manifiesta que no ha intervenido en el diseño o desarrollo, en origen, de la página web alojada en sus servidores ni en la configuración inicial de la funcionalidad, estructura y definición de los permisos de acceso a la web. 17. SD3 manifiesta que el contrato suscrito entre ambas compañías corresponde al servicio de alojamiento de la web y funciones de mantenimiento que pudiera requerirle EMMASA. A este respecto, en la estipulación segunda del contrato figura: “Para la realización de los citados servicios EL CONTRATADO deberá: Proporcionar los recursos tecnológicos adecuados para llevar a cabo el alojamiento de la WEB de EMMASA, cuyos contenidos y utilización serán, exclusivamente, los determinados por esa Empresa Mixta. EL CONTRATADO no accederá ni intervendrá en los contenidos de la WEB de EMMASA salvo para cumplir las instrucciones que le sean dadas por esta empresa”. TERCERO: Con fecha 09/04/2013, el Director de la Agencia de Protección de Datos acordó iniciar procedimiento sancionador a EMMASA por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. h)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento sancionador, se recibe escrito de EMMASA en el que solicita la exención de responsabilidad de la misma o, subsidiariamente, la aplicación de lo dispuesto en los artículos 45.6 de la LOPD por la concurrencia de los presupuestos que estable, o, en último término, la aplicación del artículo 45.5 de la citada norma, considerando que ha regularizado la situación irregular de forma diligente, que disponía de procedimientos adecuados de actuación con anterioridad a los hechos y de las medidas a su alcance, que la infracción es consecuencia de una anomalía de funcionamiento, corregida y no continuada, que no se obtuvieron beneficios ni se provocaron perjuicios y que no existió intencionalidad. Entiende que adoptó las medidas necesarias para garantizar la seguridad de los datos y actuó con la diligencia que le es exigible encargando el diseño de la página web a una empresa de solvencia en el sector. Reitera que dicha web permite a los usuarios remitir su CV al área de recursos humanos, pero no está diseñada para almacenar copia de la información. En el caso del denunciante, se comprobó que, tras una incidencia en la web, el CV no fue enviado al área citada, sino que fue almacenado en una carpeta temporal del servidor del proveedor de hosting, SD3, que tiene el encargo de garantizar la seguridad de los datos. Añade que dicha carpeta no estuvo accesible a través de la web, que el acceso pudo realizarse mediante una búsqueda con Google, a la que exigió la eliminación de cualquier posible copia de datos en su memoria caché, y que esa información había sido cancelada de forma inmediata (en horas) en el sistema de EMMASA. QUINTO: En fecha 07/05/2013, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, así como las actuaciones previas de investigación señaladas con el número E/03121/2012, que incorporan el correspondiente Informe de Investigación; y las alegaciones a la apertura del procedimiento presentadas por EMMASA. SEXTO: Con fecha 22/08/2013, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad EMMASA con multa de 30.000 euros (treinta mil euros), por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h), y de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, se recibió escrito de alegaciones de la entidad EMMASA en el que reproduce sus alegaciones anteriores y solicita nuevamente la aplicación de lo establecido en el artículo 45.6 de la LOPD o, subsidiariamente, lo establecido en el artículo 45.5 de la misma norma, con la imposición de una sanción por el importe establecido para las infracciones leves en su cuantía mínima, en razón a las circunstancias que fueron expuestas. Añade que la inspección de datos sólo pudo constatar el acceso a 6 CV, cifra aproximada a la cantidad aportada por el denunciante, por lo que en ningún caso puede entenderse probada la existencia de los 200 que manifiesta el denunciante. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 1. La entidad EMMASA es titular del sitio web www.emmasa.es. 2. El sitio web www.emmasa.es dispone de un formulario habilitado para los usuarios puedan remitir su CV al Área de Recursos Humanos de la empresa. El envío del formulario se traduce en la generación de un correo electrónico que llega de manera automática al Responsable de Recursos Humanos de EMMASA. 3. El denunciante remitió su CV a la entidad EMMASA a través del sitio web www.emmasa.es. Con fecha 10/04/2012, el denunciante comprobó que su CV aparecía disponible a terceros desde la citada web. Asimismo, comprobó que a través del buscador Google y utilizando como argumento de búsqueda “emmasa curriculum” pudo acceder a la imagen preliminar de currículos y al contenido completo. Según la información aportada por el denunciante, los Servicios de Inspección de la Agencia Española de Protección de Datos concluyeron que en la fecha indicada eran accesibles desde Internet los currículos de aproximadamente 200 candidatos. 4. Con fecha 10/04/2012, el denunciante contactó con la entidad EMMASA, telefónicamente y mediante correo electrónico, para informar sobre la incidencia reseñada en el Hecho Probado Tercero. 5. En relación con la incidencia reseñada en el Hecho Probado Tercero, la entidad EMMASA ha manifestado que, tras una incidencia en el alojamiento de la página web de EMMASA, el correo electrónico con el CV no fue enviado al Área de Recursos Humanos de la empresa, sino que quedó almacenado en una carpeta temporal del servidor ( B.B.B.). 6. Con fecha 10/04/2012, la entidad EMMASA solicitó la resolución de la incidencia reseñada en el Hecho Probado Tercero a SINERGIA DE 3, S.L., proveedor de hosting de aquella entidad, con la que tiene suscrito un contrato de prestación de servicio de alojamiento y mantenimiento de la página web. SINERGIA DE 3, S.L. procedió a la cancelación de los datos relativos al denunciante en fecha 11/04/2012. 7. En relación con la incidencia reseñada en el Hecho Probado Tercero, la entidad SINERGIA DE 3, S.L. informó a EMMASA que la misma “… es un fallo grave de diseño de la web”. 8. Mediante correo electrónico de fecha 12/04/2012, EMMASA informó al denunciante que sobre la baja de su CV en los ficheros de la entidad. 9. Con fecha 13/04/2012, el denunciante comprobó que los currículos eran accesibles a través a través de Google con el criterio de búsqueda “emmasa curriculum”. 10. Con fecha 23/04/2012, por la Inspección de Datos se realizó la consulta “emmasa curriculum” en el buscador Google obteniendo 6 referencias a datos de currículos en la web de EMMASA y se pudieron imprimir los currículos completos, incluido el correspondiente al denunciante. 11. EMMASA solicitó a la entidad Google que la información objeto de la denuncia fuera eliminada de su memoria “caché”. Mediante escrito de 24/04/2012, Google informó a EMMASA lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 “Tras una reciente revisión del sitio web mencionado en la reclamación, no hemos podido localizar el contenido presuntamente obsoleto en la copia caché”. 12. En relación con la incidencia denunciada, la entidad SINERGIA DE 3, S.L. elaboró un informe, de fecha 30/04/2012, en el que confirmó la existencia de un error de seguridad en la estructura de la página web www.emmasa.es, en el modo en que se suben los currículos desde el formulario, puesto que no se filtra el tipo de ficheros, dando la opción de subir un ejecutable que aunque devuelve un error en el formulario, llega al servidor y queda almacenado en la carpeta ./curriculum. En el mismo informe consta que, a petición de EMMASA se modificó el robots.tx y se incluyeron metaetiquetas para impedir la indexación por el buscador de Google. Asimismo, se recomendó la revisión del código de la página actual o la creación de una nueva página web que cumpla los requerimientos de seguridad estándar. 13. Con fecha 11/07/2012 y 18/01/2013, por la Inspección de Datos se realizaron búsquedas en Google con el criterio “emmasa curriculum” sin obtener resultado alguno. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
  3. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
  4. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. III Se imputa a la entidad EMMASA el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  5. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  6. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  7. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  8. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  9. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  10. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  11. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal contenidos en los ficheros de la entidad EMMASA, correspondiendo adoptar las que correspondan al nivel en el que hayan de clasificarse los mismos, en atención al tipo de información que contienen, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
  12. b)del citado Reglamento define la “autenticación” como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la “identificación” como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad EMMASA está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, la citada entidad incumplió esta obligación, al haber quedado acreditada la posibilidad de acceder, sin restricción alguna, a los datos personales aportados por las personas que aportaron su CV a través de la página web www.emmasa.es mediante la cumplimentación del formulario habilitado en la misma para ello, en el que se recoge información relativa a los datos identificativos de los solicitantes de empleo, formación académica y experiencia profesional. En concreto, consta en los Hechos Probados que utilizando un buscador de Internet, con el criterio de búsqueda “emmasa curriculum”, se pudo acceder al currículo de distintos afectados que se registraron como demandantes de empleo a través del sitio web www.emmasa.es, cuya titularidad corresponde a EMMASA, sin que el sistema impidiera que por parte de un tercero sin identificar se accediera a los datos personales de personas registradas en la base de datos antes señalada. Así, los datos personales de los usuarios resultaron accesibles por parte de terceros, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que EMMASA ha incurrido en la infracción grave descrita. Tales hechos quedaron acreditados por la documentación aportada por el denunciante, que incluía la información personal accedida, en las que figuran sus datos personales y los de terceros, así como por las constataciones realizadas por los Servicios de Inspección de la Agencia Española de Protección de Datos, habiéndose reconocido esta irregularidad por la propia entidad imputada y por la entidad que le presta servicio de alojamiento y mantenimiento de la página web, que atribuyó la incidencia a un fallo grave en el diseño de la web. IV En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 El artículo 44.3.
  13. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que EMMASA ha incurrido en la infracción grave descrita. VI La disposición final quincuagésima sexta de la Ley 2/2011, de 4 de marzo, de Economía Sostenible (BOE 5-3-2011), ha añadido un nuevo apartado 6 al artículo 45 de la LOPD, en lugar del existente hasta su entrada en vigor, del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  14. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  15. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. EMMASA ha solicitado la aplicación de este artículo, considerando que se cumplen los requisitos recogidos en los apartados
  16. a)y b). No obstante, en el presente caso, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el mismo, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera especialmente el número de afectados incluidos en los ficheros accedidos y el volumen de negocio y actividad del infractor, por la especial diligencia que se exige a las entidades que operan a través de Internet en el ámbito de la protección de datos personales. En base a ello, se desestima el planteamiento formulado por EMMASA. VII El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  17. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15
  18. b)El volumen de los tratamientos efectuados.
  19. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  20. d)El volumen de negocio o actividad del infractor.
  21. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  22. f)El grado de intencionalidad.
  23. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  24. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  25. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  26. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  27. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  28. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  29. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  30. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  31. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad EMMASA, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves por la concurrencia de varios de los criterios enunciados en el artículo 45.4 de la LOPD, considerando la ausencia de intencionalidad que se aprecia en la conducta de la entidad EMMASA, la ausencia de beneficios, que no constan perjuicios a los afectados distintos al acceso a sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 personales que conlleva el fallo de seguridad y la diligencia mostrada para regularizar la incidencia. A este respecto, consta que EMMASA, al tener conocimiento de los hechos mencionados por el denunciante, contactó inmediatamente con la empresa que aloja el sitio web y solventó el problema (dicha entidad ha aportado copia de los correos electrónicos intercambiados con esa compañía en fechas 10 y 11/04/2012 e impresión de pantalla del registro del Call Center de la entidad, que recibió la primera llamada del denunciante a las 16:29 horas del día 10/04/2012). Tras realizar las oportunas comprobaciones, procedió a solventar la incidencia en los equipos de SD3 antes de las 9:15 horas del día 11/04/2012, comunicándole telefónicamente al denunciante, a las 9:29 horas, la cancelación de sus datos según había solicitado, lo que se hizo igualmente por escrito, el día 12/04/2012. Asimismo, EMMASA aportó correos electrónicos y escritos intercambiados con Google para solventar el problema, cuya finalización manifiestan que tuvo lugar el 24/04/2012, cuando pudieron comprobar que el contenido había desaparecido de la “caché” de Google. Por otra parte, en cuanto a la graduación de la sanción según los criterios de graduación de las sanciones establecidos en el artículo 45.4, se tiene en cuenta, por un lado, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que es una empresa que pretende llevar a cabo acciones a través de Internet en el desarrollo de su actividad; el volumen de datos personales accedidos (la información aportada por el denunciante permitió a los Servicios de Inspección de la Agencia Española de Protección de Datos concluir que en la fecha indicada eran accesibles desde Internet los currículos de aproximadamente 200 candidatos); que los hechos denunciados se producen por una falta de medidas de seguridad de los datos que posibilitó el acceso, sin restricción alguna, a los datos personales aportados por las personas que registraron su CV a través de la web www.emmasa.es, y no por un fallo puntual de las que hubiesen adoptado; y por otro lado, la ausencia de reincidencia en la comisión de infracciones de la misma naturaleza; procede la imposición de una multa por importe de 20.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad EMMASA-EMPRESA MIXTA DE AGUAS DE SANTA CRUZ DE TENERIFE, S.A., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  32. h)de dicha norma, una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a EMMASA-EMPRESA MIXTA DE AGUAS DE SANTA CRUZ DE TENERIFE, S.A. y a D. C.C.C.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.