PS-00173-2024

1/22  Expediente N.º: EXP202313871 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a COMERCIAL GIRONA DE LLIBRES, S.L. (en adelante, COMERCIAL GIRONA). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 8 de noviembre de 2024 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202313871 (PS/00173/2024) PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 21 de junio de 2023 interpuso reclamación ante la Autoridad Catalana de Protección de Datos. Debido a que la entidad que presuntamente podría haber vulnerado la normativa de protección de datos queda fuera del ámbito de actuación de la Autoridad Catalana de Protección de Datos, de acuerdo con lo dispuesto en el artículo 156 de la Ley Orgánica 6/2006, de 19 de julio, de reforma del Estatuto de Autonomía de Cataluña y el artículo 3 de la Ley 32/2010, de 1 de octubre, de la Autoridad Catalana de Protección de Datos, se da traslado de la citada cuestión a esta Agencia, teniendo entrada el 8 de agosto de 2023. La reclamación se dirige contra COMERCIAL GIRONA DE LLIBRES, S.L. con NIF B55192348 (en adelante, COMERCIAL GIRONA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que al registrarse como cliente en https://comercialgirona.cat/comandes, el sistema devuelve un mensaje de correo electrónico de confirmación en el que se recoge tanto el usuario (dirección de correo electrónica utilizada en el registro) como la contraseña escogida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/22 Junto a la reclamación se aporta copia de correo electrónico remitido desde la dirección clients@comercialgirona.cat a la parte reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a COMERCIAL GIRONA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 9 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 8 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando que no considera que exista una vulneración de la seguridad, pues no se ha visto comprometida ni la integridad, ni la confidencialidad ni la disponibilidad de la información puesta a disposición del usuario. En este tratamiento interviene un encargado de tratamiento, del cual obtuvieron la siguiente respuesta: Las contraseñas introducidas por el usuario en el momento del registro permanecían cifradas y que nadie más que la persona usuaria podía conocer cuál era la contraseña creada. Según el encargado de tratamiento: “El software de comercio electrónico Prestashop, en su versión 1.6, cuando te das de alta como cliente envía una copia de los datos del registro al propio cliente. Este email sólo se envía al cliente que ha introducido los datos. No se envía a nadie más, ni se guarda copia en ningún sitio. Esta es la función de php que envía el email de bienvenida. Sólo se envía al email del propio cliente (customer email) y nadie más…” TERCERO: Con fecha 8 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 8 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a COMERCIAL GIRONA, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.

1. a)de dicha norma, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a COMERCIAL GIRONA conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 22 de julio de 2024, como consta en el acuse de recibo que obra en el expediente. QUINTO: Con fecha 24 de julio de 2024, COMERCIAL GIRONA presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/22 SEXTO: Con fecha 30 de julio de 2024, el órgano instructor del procedimiento acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notifica a COMERCIAL GIRONA en fecha 30 de julio de 2024, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 2 de agosto de 2024, se recibe en esta Agencia, en tiempo y forma, escrito de COMERCIAL GIRONA en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: - Desde el inicio de sus actividades, se ha comprometido a cumplir con la normativa de protección de datos y ha implementado una política de privacidad, procesos de control, y medidas técnicas y organizativas para garantizar la seguridad de los datos personales. -: Como responsable del tratamiento de los datos, trata los datos de manera confidencial y observa las obligaciones normativas, con especial atención a evitar la alteración, pérdida, tratamiento o acceso no autorizado a dichos datos. - La empresa detalla las medidas de seguridad que ha implementado, tales como un modelo de gestión de protección de datos que incluye una política de privacidad vinculante y procedimientos internos para garantizar la seguridad desde el diseño, el uso de doble autenticación para el acceso a cuentas de clientes y eliminación del envío de contraseñas por correo electrónico a partir de una determinada fecha, el contrato con el encargado del diseño de su plataforma web, que también cumplen con las normativas de seguridad. Afirma que estas medidas de seguridad son proporcionales al riesgo, que incluyen la seudonimización y el cifrado, y que realiza evaluaciones regulares de sus sistemas para garantizar la seguridad. Defiende que su responsabilidad está basada en la adopción de medios razonables y no en la infalibilidad de las medidas adoptadas, aludiendo a la jurisprudencia del Tribunal Supremo que apoya esta perspectiva. - El propósito del tratamiento es únicamente para el acceso a la web y no para la realización de compras, y que los datos involucrados no son de categorías especiales de carácter personal. - La empresa argumenta que una sanción de 20.000 euros supondría un grave perjuicio económico, poniendo en riesgo su continuidad y afectando a sus empleados, dadas las pérdidas económicas de los últimos años. OCTAVO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/22 HECHOS PROBADOS PRIMERO: Con fecha 6 de octubre de 2023, se recoge por esta Agencia evidencia de “Aviso Legal y Política de Privacidad” de la web https://comercialgirona.cat/comandes/es/content/3-aviso-legal. En este “Aviso Legal y Política de Privacidad” consta lo siguiente: “De acuerdo con lo establecido en el Reglamento General de Protección de Datos, le informamos que trataremos sus datos personales con la finalidad de: Venta de nuestros productos online, e informarle sobre los productos o servicios publicados en nuestra web. […] Así mismo, le informamos de la posibilidad de ejercer los siguientes derechos sobre sus datos personales: derecho de acceso, rectificación, supresión u olvido, limitación, oposición, portabilidad y retirar el consentimiento prestado, enviando un correo electrónico a clients@comercialgirona.cat […] continuación se detallan los datos identificativos de la entidad: Razón social: COMERCIAL GIRONA DE LLIBRES SL NIF: B55192348 Dirección: Avda. Mas Vila, 142 - 17457 - RIUDELLOTS DE LA SELVA - GIRONA Teléfono: 972477695 Mail: clients@comercialgirona.cat” SEGUNDO: Consta en el expediente imagen de mensaje de correo electrónico, aportado por la parte reclamante junto con la reclamación, con el siguiente contenido: “Comercial Girona de Llibres < clients@comercialgirona.cat> Para A.A.A. HOLA A.A.A., GRACIAS POR CREAR UNA CUENTA DE CLIENTE EN COMERCIAL GIRONA DE LLIBRES DETALLES DE SU CUENTA EN COMERCIAL GIRONA DE LLIBRES Estos son sus datos de acceso: Dirección de correo electrónico: ***EMAIL.1 Contraseña: XXXXXX Ahora podrá realizar pedidos en nuestra tienda: Comercial Girona de Llibres” Según refiere COMERCIAL GIRONA en su escrito de 8 de noviembre de 2023, en el que da respuesta al traslado formulado por esta Agencia: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/22 “El 21 de junio del año 2023 un usuario (denunciante) se da de alta en la página web del responsable (COMERCIAL GIRONA DE LLIBRES) para poder realizar las diversas comandas de libros de textos conforme le han indicado en su centro escolar.” TERCERO: En el escrito de 8 de noviembre de 2023, COMERCIAL GIRONA describe el proceso de alta de los usuarios de su web: “En el proceso de alta, el usuario se registra con los datos obligatorios que le son solicitados, todos ellos necesarios para poder tramitar y gestionar la reserva y posterior compra del pedido, estos datos de registro son: nombre y apellidos, correo electrónico de contacto, contraseña (a elegir por el usuario), código del centro para identificar la compra, dirección de facturación y DNI. - Una vez registrado el usuario y dado de alta correctamente, el sistema genera un correo electrónico de confirmación de alta de usuario, con los datos de acceso (usuario y contraseña) …” CUARTO: Con relación de la consulta realizada por la parte reclamante a COMERCIAL GIRONA, en su escrito de 8 de noviembre de 2023, la reclamada declara lo siguiente: “…poniéndose en contacto el usuario con el responsable pidiendo explicaciones de tal envío de la confirmación de datos de acceso. - El responsable, inmediatamente se pone en contacto con el usuario y le explica que nadie de la organización ni desarrolladores de la página web tiene acceso a las contraseñas de los usuarios, pues éstas se encuentran encriptadas y solo tendrá conocimiento el usuario que hizo el registro. - Se dio por resulta la consulta …” QUINTO: En el listado de tratamientos propios del responsable COMERCIAL GIRONA, aportado junto con las alegaciones al acuerdo de inicio, consta el siguiente tratamiento de datos personales: […]“ Nombre: Usuarios web venta online […] Responsable: COMERCIAL GIRONA DE LLIBRES, SL Finalidad: Gestión de las ventas online a los usuarios que compren un producto o servicio en la web de la empresa. […] Colectivos de interesados: Usuarios. Personas que accedan a la web de la empresa vía internet Categorías de datos: De identificación: Nombre y apellidos, NIF, Dirección postal o electrónica, teléfono. Datos bancarios: Para el cargo en TC o domiciliación de pagos. Otros: IP, Nombre de usuario. Aquí se incluye tu firma digital y electrónica y los códigos o claves que utilizas para acceder y operar en nuestra página web. […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 SEXTO: En la carta informativa que se envía a la AFA, aportada por COMERCIAL GIRONA en sus alegaciones al acuerdo de inicio, se dice lo siguiente (original en catalán): “LIBROS DE TEXTO 2023/2024 Estimadas familias, A continuación, le indicamos cómo realizar la compra de libros y material para el próximo curso: ACCESO A LA WEB www.comercialgirona.cat/pedidos Código centro: (…) IMPORTANTE: Debe registrarse en la página web aunque ya lo hiciera el año pasado. Plazo de acceso a la web: del 15 de junio al 20 de julio […]” SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad COMERCIAL GIRONA DE LLIBRES, S.L. es una microempresa, constituida en el año 2014, y con un volumen de negocios de (…) euros en el año 2022 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/22 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que COMERCIAL GIRONA, como responsable del tratamiento, realiza la recogida, conservación y comunicación de, entre otros, los siguientes datos personales de personas físicas: nombre, correo electrónico y contraseña de los clientes, entre otros tratamientos. COMERCIAL GIRONA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. En el artículo 32 del RGPD se regulan las medidas de seguridad que deben adoptarse para garantizar un nivel de seguridad adecuado al riesgo que presente el tratamiento de datos personales. III Medidas de seguridad El artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
2. a)la seudonimización y el cifrado de datos personales;
3. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el correo electrónico remitido por COMERCIAL GIRONA a la parte reclamante en el que se le comunica el alta como cliente, se recoge, además del correo electrónico de alta, la contraseña del usuario. Con relación a la seguridad del correo electrónico, el “Informe de buenas prácticas” de mayo de 2021, CNN-CERT BP02, del Centro Criptológico Nacional, servicio adscrito al Centro Nacional de Inteligencia, cuya misión es contribuir a la mejora de la ciberseguridad española, recoge una serie de vulnerabilidades del correo electrónico y de las diversas formas en que éstos pueden ser atacados, así como recomendaciones de seguridad. En el apartado 4.2 de dicho Informe se describe la “Seguridad de las comunicaciones vía email”, con las siguientes aseveraciones en sus páginas 37 a 39: “El protocolo involucrado en este proceso de envío es SMTP. Este protocolo ha sido utilizado desde 1982 y cuando fue implementando no se tuvieron en cuenta medidas de seguridad tales como el cifrado o la autenticación de las comunicaciones. Esto quiere decir que todo el proceso de envío descrito anteriormente se realizaría en texto plano, es decir, que en cualquier punto de la trasmisión un atacante podría ver y manipular el contenido de los correos. Debido a estas carencias en SMTP se han ido desarrollando diversas tecnologías y extensiones que permiten incorporar medidas de seguridad para garantizar la autenticación, integridad y cifrado a las comunicaciones vía correo electrónico. Algunas de las tecnologías más conocidas son STARTTLS, SPF, DKIM y DMARC…Aunque los proveedores de correo más conocidos como Google, Yahoo y Outlook cifran y autentican los emails utilizando este tipo de tecnologías, muchas organizaciones siguen haciendo un uso descuidado del correo electrónico. Téngase en cuenta, además, que estas tecnologías deben ser implementadas tanto en el origen como en el destino para que puedan utilizarse. Asimismo, algunas de estas medidas son susceptibles de ser atacadas. Por ejemplo, STARTTLS es susceptible a ataques downgrade, en donde un atacante en una situación man-in-the-middle puede forzar a que no que lleve a cabo la negociación TLS (bastaría con reemplazar la cadena STARTTLS). Incluso en el caso de que se establezca la comunicación TLS de forma satisfactoria, los servidores de correo por los que pasa el email hasta alcanzar el destino tendrían acceso a su contenido. Debido a estos hechos, se deduce que no es suficiente con delegar la seguridad del correo electrónico a las tecnologías subyacentes encargadas de hacer llegar el mismo a su destinatario.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 A tenor de las carencias de seguridad señaladas anteriormente, se pone de manifiesto que el correo electrónico no es un medio adecuado para garantizar la integridad y confidencialidad en el envío de datos personales, suponiendo un riesgo para los clientes de COMERCIAL GIRONA, a quienes se les envía su contraseña junto con el usuario por correo electrónico cuando se dan de alta en la web de la citada entidad. El hecho de que el email sólo se envíe al cliente que ha introducido los datos, no es garantía de que los datos no puedan ser interceptados. Por otra parte, el envío de las contraseñas al correo electrónico de los clientes de COMERCIAL GIRONA supone que puedan ser almacenadas en dicho medio, lo cual constituye una práctica que puede suponer un riesgo para los clientes, ya que dichas contraseñas, junto con los respectivos usuarios, serían vulnerables a cualquier tipo de ataque informático. De nada serviría que se conserven encriptadas por COMERCIAL GIRONA, tal y como refiere en su respuesta al traslado de la reclamación, cuando en los correos electrónicos de sus clientes no tendrían ningún tipo de protección adicional. Hay que señalar que el RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que, en virtud del principio de responsabilidad proactiva del artículo 5.2 del propio RGPD, el cual comporta la exigencia de que el responsable del tratamiento asegure la efectiva privacidad e integridad de los datos, tanto el responsable como el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Además, el responsable tiene que estar en condiciones de demostrar que ha implantado esas medidas y que las mismas son las adecuadas para lograr la finalidad perseguida. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “