PS-00230-2015

1/30 Procedimiento Nº PS/00230/2015 RESOLUCIÓN: R/02389/2015 En el procedimiento sancionador PS/00230/2015, instruido por la Agencia Española de Protección de Datos a la entidad EXTEL CONTACT CENTER, S.A.U., vista la denuncia presentada por D. D.D.D. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22 de abril de 2014 tuvo entrada en esta Agencia Española de Protección de Datos un escrito de denuncia por D. D.D.D. (en adelante el denunciante) en el que se exponía que EXTEL CONTACT CENTER, S.A.U. (en adelante entidad denunciada o ECC) podía haber incumplido la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD) por tres hechos concretos. En dicha denuncia manifestaba que: <El primero de ellos se refiere a la posible cesión de datos personales de carácter médico sin consentimiento y a no custodiarlos debidamente. La empresa Extel Contact Center, S.A.U., con dirección en Calle Enrique Mariñas S/N Edificio Proa Planta Baja 15009 A Coruña, elabora un listado de trabajadores que se encuentran de baja médica indicando el motivo de la misma (documento anexo nº 1) y, si lo creen necesario, añaden una nota para que la mutua los presione para que se den de alta. Este listado lo gestionan los auxiliares administrativos del departamento de recursos humanos de la empresa (no son personal médico), entre ellos E.E.E.. Uno de estos listados se encuentra en un ordenador identificado en la red local con el nombre escorwksitcpdr, al cual puede acceder cualquier trabajador de la empresa y ver su contenido. Como se puede apreciar en el sello que aparece en el documento anexo nº 2 (un informe médico), esta información se la facilita a la empresa la mutua Asepeyo, situada en (C/.......1) A Coruña. El segundo hecho a denunciar es que éste y otros documentos que contienen datos personales no se guardan con la debida discreción. Todos los documentos que se digitalizan en el departamento de recursos humanos quedan almacenados en carpetas compartidas llamadas escaner, que se encuentran en los ordenadores identificados en la red con el nombre de escorwksbjxx (siendo xx cifras entre 01 y 12). Entre estos documentos se encuentran: … Esta información no es necesaria para el desarrollo del trabajo del resto de empleados y no deberían tener acceso a ella. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/30 Por último, he podido comprobar que en los ordenadores de la empresa está instalado un programa de control remoto llamado VNC, que permite a cualquier usuario ver en la pantalla de su ordenador lo que está haciendo otro trabajador en el suyo. Esto es posible porque, probablemente por descuido, han dejado en muchos ordenadores el programa y la contraseña necesaria para utilizarlo juntos en la misma carpeta. En los ordenadores que no lo tienen se puede obtener igualmente a través de la red local accediendo al ordenador "eszarwks4014" y entrando en una carpeta llamada "software". Nunca nos advirtieron que se nos podía vigilar de esta manera ni se nos pidió consentimiento.>> Para acreditar estos hechos aportaba copia de la siguiente documentación: - Hoja de cálculo en la que constan datos de empleados: CÓDIGO DE EMPLEADO, NOMBRE COMPLETO, FECHA DE BAJA, TIPOLOGÍA, LISTADO MUTUA, ÚLTIMO SEGUIMIENTO, JUSTIFICADA, COMENTARIOS MUTUA, COMENTARIOS… En la columna denominada “TIPOLOGÍA”, se observa que en distintas filas aparecen diagnósticos, por ejemplo: CÁNCER, NEUMOTORAX, ASTRODESIS, LUMBALGIA, FONIATRIA. - Informe médico fechado el 29/01/2013 en el que constan los antecedentes personales, la exploración realizada, el juicio clínico, el tratamiento y recomendaciones. En esta última parte, consta: <<Reiniciar sus actividades, la primera semana con una hora de descanso cada hora de trabajo, luego ya con horario normal.>> El documento exhibe un sello de ASEPEYO fechado el mismo 29/01/

1. - Copia para la empresa de una baja médica. - Demanda de empleo de fecha 23/09/
2. - Contrato de trabajo fechado el 18/04/
3. - Nómina de una trabajadora de ECC correspondiente al mes de noviembre de
4. - Fotocopia de DNI. - Acta de conciliación con motivo de un despido, en el que se acuerda la indemnización al trabajador. Está diligenciada en fecha 13/12/
5. - Reclamación previa, fechada el 15/07/2013, de otra trabajadora contra una resolución del INSS de alta médica, solicitando que se proponga la incapacidad permanente. - Oficio judicial de fecha inconcreta, referenciado el año 2012, por el que se ordena el embargo de salarios de un trabajador de la entidad denunciada. - Denuncia presentada en fecha 12/6/2013 por ECC ante la Policía Nacional y en la que aparecen involucrada una trabajadora de la entidad. Solicitada ampliación de información al denunciante, mediante correo electrónico de fecha 26 de febrero de 2015 éste informaba que el nombre del fichero de Excel que adjuntó es "SEGUIMIENTO ITS PARA MUTUA 2.xls". En cuanto a aportar más información, ésta no sería actual, como mucho podía aportar información hasta marzo de
6. Fue despedido de la empresa cuando descubrió que hacían cosas que no debían. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/30 Podía aportar otros archivos que no incluyó en la reclamación. Son documentos a los que no deberían tener acceso los trabajadores, como listados de empleados afiliados a sindicatos, la base de datos de los trabajadores con todos sus datos personales, archivos de audio con llamadas telefónicas grabadas sin consentimiento de los trabajadores (la empresa es un call center), o incluso copias de la bandeja de correo electrónico del técnico de productividad. No sabía si tenían informáticos profesionales. El año pasado migraron del sistema Windows XP al Windows 7, así que es posible que desde entonces haya cambiado la estructura de la red y que hayan revisado los permisos. El archivo de excel estaba en el ordenador \\escorwksitcpdr dentro de una carpeta llamada "ANA". Había visto más listados como el aportado, con nombres similares en otras carpetas. Solían estar en \\escorfs01\GRP$\grp_RRHH. Básicamente, entrando en \\escorfs01\GRP$ se accede a las carpetas de cada grupo de usuarios (grp_Productividad, grp_Administración, grp_Supervisión, grp_Formación, ...). Hay varios listados de afiliados, uno es "CUOTA SINDICAL (MES) (AÑO).xls", otro "LISTADO DE AFILIADOS(ccoo).xls", o simplemente "AFILIADOS.xls". No recordaba donde estaban exactamente los documentos, pero probablemente estaban también en grp_RRHH. Era muy fácil encontrar este tipo de listados. Sólo había que acceder a \\escorfs01\GRP$ y usar el buscador de archivos de Windows, buscar todos los documentos de tipo .xls o filtrar por nombre de archivo. Los servidores que tenían información compartida eran: escorfs01 (el servidor de Coruña), esmalfs01 (el servidor de Málaga), eszarfs01 (el de Zaragoza), y así con cualquier ordenador de la red de nombre esXXXfs
7. Otros ordenadores que contienen estos ficheros eran escorwksitcpdr, escorwksitljavierciguenza (este es el ordenador de un informático, aquí había archivos .mbox de correo electrónico). Los informes médicos y más documentación relacionada con la mutua estaban en los ordenadores \\escorwksbjXX (cambiando XX por cifras de 01 a 12). En estos últimos era donde quedaban almacenadas copias de todos los documentos que digitalizaban con escáner. La base de datos de personal estaba ubicada en \\escorfs01\GRP$\ grp_Productividad. El archivo se llama "BD PERSONAL.mdb", o también "BD PERSONAL v2.mdb" y contiene los datos de los trabajadores: nombres, direcciones, nºs de documento de identidad, nºs de la seguridad social, teléfonos, SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de Datos de esta Agencia se llevó a cabo la correspondiente investigación a las entidades más abajo detalladas. De esta manera, en el informe de actuaciones de investigación E/03108/2014 se detalla lo siguiente: C/ Jorge Juan, 6 28001 – Madrid 1 <<Mediante la correspondiente diligencia se ha podido comprobar que ECC tiene declarados en el Registro General de Protección de Datos de esta Agencia un total de diez ficheros, de los cuales cinco son de nivel de seguridad bajo, dos de nivel medio y tres de nivel alto. 2 En fecha 24/3/2015 se realizó visita de inspección a la sede de ECC en La Coruña [Acta de Inspección E/03108/2014/I-01], en la cual los www.agpd.es sedeagpd.gob.es 4/30 representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. La entidad pertenece al grupo Adecco, con la que comparte parte de la infraestructura tecnología. La entidad tiene establecidos en España siete centros de trabajo, en Pozuelo, Madrid, Alcobendas, Hospitalet, Zaragoza, Malaga y A Coruña. Dispone igualmente de un centro en Arequipa (Perú). Cada centro de trabajo dispone de dos técnicos informáticos, que son administradores de los sistemas del centro. En A Coruña hay un total de 650 equipos, utilizados por unos 1300 usuarios en horario de 8:00 a 24:00 horas. b. El centro de trabajo dispone de un servidor de ficheros, en el que se alojan directorios compartidos departamentales, entre ellos, el directorio del departamento de recursos humanos. Los directorios compartidos tienen el acceso restringido a aquellos usuarios y perfiles que se considera necesario. Al identificarse un usuario en la red se le otorgan los distintos accesos a los que tenga derecho. c. Se han implementado diversas medidas de seguridad para garantizar la seguridad y privacidad de los datos, entre las que se encuentran: - Bloqueo de instalación de controladores, de forma que no se puedan utilizar dispositivos de almacenamiento externo. - El acceso a Internet está restringido a usuarios concretos, siendo la norma generan el no permitir dicho acceso. - Para evitar la captura de pantalla, se ha eliminado la posibilidad de almacenar ficheros en formato imagen. d. Existe instalado en los equipos un software denominado TightVNC con la finalidad del mantenimiento de los sistemas informáticos. El acceso remoto está litado a las direcciones IP de los equipos de los administradores, y requiere de una contraseña. Realizan una demostración de ello ante los inspectores, comprobándose que el programa exige una contraseña y que el acceso está limitado a determinadas direcciones IP. e. Se ha informado al personal que el uso de los equipos está limitado al necesario para el desempeño de su trabajo, así como que dicho uso puede ser auditado. El comité de empresa es contrario a ello, y ha aconsejado al personal que no firmen el enterado del documento de notificación, por lo que algunos empleados se niegan a firmar el recibí, en cuyo caso se proporciona al trabajador una copia del documento, firmando dos testigos que dicha entrega ha sido efectuada. Aportan los representantes de la entidad copia de los documentos intercambiados con el comité de empresa en relación al sistema de auditoría de calidad, copia de un recibí de un trabajador y copia de un documento de entrega a un trabajador, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/30 firmado por dos testigos. Muestran los representantes de la entidad que en un directorio común existe un documento compartido denominado PIZARRA VIRTUAL RRHH que, según informan los representantes de la entidad, realiza las funciones de tablón de anuncios de Recursos Humanos. En dicho documento se publica, entre otra mucha información, la posibilidad de auditoria. Examinados los documentos aportados se observa que, a través de ellos, se procede a comunicar al Comité de Empresa y a los trabajadores de la posibilidad de ser auditados, si bien, según los documentos, se refiere a la auditoria de las conversaciones telefónicas, no a la auditoría de la actividad que se realice por medio de los ordenadores. f. Aportan los representantes de la entidad copia de las clausulas adicionales a la contratación que se entregan al personal contratado. Examinado dicho documento, no se encuentra parte alguna en la que se informe que la actividad informática realizada por los trabajadores puede ser monitorizada. g. Aportan los representantes de la entidad copia del Documento de Seguridad y del Documento de Auditoria Bienal de cumplimento de la LOPD. Examinado el denominado “Documento de Seguridad” se comprueba que tiene apenas 16 páginas, resultando sumamente escueto para el tamaño de la empresa, y en muchos de sus puntos se limita a copiar el artículo del RLOPD al que se refiera, o solo parte de él, no informando de la forma en que se implementará dicho artículo, ni dando referencia a un anexo al documento en el que se desarrolle el punto en cuestión. Hay puntos que deberían aparecer pero se comprueba que no constan en el documento. Así, por ejemplo, - No consta la identificación de los responsables de seguridad. - No constan los controles periódicos que se realizarán para la verificación del cumplimiento del propio Documento de Seguridad. El documento denominado “Auditoría bienal del cumplimiento de lo establecido en la LOPD y en su Reglamento de desarrollo” y fechado 18/12/2013, ha resultado todavía más escueto que el Documento de Seguridad. Con apenas cuatro páginas para todo el Grupo Adecco (seis empresas, una de las cuales es ECC), el informe propiamente dicho consta de dos páginas, y dentro de ellas aparece: <<Nuestro trabajo ha sido realizado exclusivamente mediante el análisis de la documentación facilitada por las Sociedades y está basado en preguntas y discusiones realizadas durante las entrevistas mantenidas con los distintos responsables de las áreas afectadas…. En todo caso, a nuestro juicio, la situación actual de las entidades auditadas con relación al nivel de cumplimiento de la legislación vigente en materia de seguridad de los datos de carácter personal respecto de sus instalaciones, sería FAVORABLE.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/30 3 Los inspectores de la Agencia solicitaron al representante de ECC que les permita el acceso a los sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: a. Se solicita a los representantes de la entidad que muestren la estructura de servidores. b. Se accede a un equipo denominado ESCORSF001 que corresponde con el servidor de ficheros del centro de trabajo inspeccionado. Se accede dentro del mismo a las carpetas contenidas dentro del directorio RRHH. Se realiza una consulta a los permisos de la carpeta RRHH. Se comprueba que existe un acceso restringido a determinados usuarios y grupos. Se recaba copia de las comprobaciones realizadas. Del examen de las mismas se comprueba que en dicho servidor existe una carpeta denominada RRHH y dentro de la misma existe, entre otras, una carpeta denominada ANA en la cual aparece únicamente un fichero en formato Excell denominado ACTIVOS.xls. c. Se realiza una consulta dentro de la carpeta RRHH, utilizando el criterio “mutua”, apareciendo dos ficheros en formato Word. Se realiza una consulta dentro de la carpeta RRHH, utilizando el criterio “sindical*.xls”, apareciendo tres ficheros en formato Excel. Se realiza una consulta dentro de la carpeta RRHH, utilizando el criterio “afiliado*.xls”, apareciendo cuatro ficheros en formato Excel. Se recaba copia de las comprobaciones realizadas, en las que se verifica que: - Se comprueba que la carpeta denominada RRHH tiene establecidos derechos de acceso diferenciados para determinados usuarios y grupos de usuarios. - Se encuentran dos ficheros denominados REUNION MUTUA 9 DE ABRIL.doc y HORAS DE ASISTENCIA A MUTUA POR AT Y EP.doc. - Se encuentra tres ficheros denominados 2013 CONTROL HORAS SINDICALES.xls, 2014 CONTROL HORAS SINDICALES.xls, 2015 CONTROL HORAS SINDICALES.xls. - Se encuentran cuatro ficheros denominados Afiliados 2012.xls, Afiliados 2013.xls, Afiliados 2014.xls, TOP afiliados CGT.xls. d. Se accede a ficheros con las siguientes denominaciones: ACTIVOS.xls, COMUNIDADOS IT FEBRERO 2014.xls, Todo Diario V2.xlsx, IT EXTEL 2015.XLS, TOP AFILADOS CGT.XLS. Se realizan comprobaciones de los tipos de datos almacenados en dichos ficheros, y en algunos de los casos, premisos de acceso a los ficheros. Se recaba como documento DOC. 3 copia de las comprobaciones realizadas. Se solicita a la responsable de RRHH que explique el uso y necesidad de estos ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/30 - El fichero ACTIVOS.xls, es el fichero de todos los empleados activos actualmente en la empresa. Visualizada la estructura del fichero, se comprueba que figuran en el mismo los datos normales de cualquier fichero de empleados (datos del empleado, del puesto de trabajo, de la antigüedad en la empresa) - El fichero COMUNIDADOS IT FEBRERO 2014.xls es un fichero de control de bajas laborales del mes referido. Se verifica que contiene los campos Fecha Baja Médica, Fecha alta Médica, Dias IT, Observaciones, B/A, Baja menor 20 dias, Parte confirmación, fecha ultimo parte, ASEPEYO. Se visualizan los diferentes contenidos del campo DIAS IT, apreciándose los siguientes valores reseñables: AT, embarazada, maternidad, recaida, Agotada IT. - El fichero Todo Diario V2.xlsx, es otro fichero de control de absentismo laboral. Se accede al campo CAUSA ABSENTISMO verificándose que constan los siguientes valores reseñables: Acompañantes desc/asc, comp. Festivo, Cons. Medico priv, Cons. Medico SINDICATO, Cons prenatales, Deber inexcusable, Enfermedad Fam., Examenes, Fallecimiento 1 Gr/Dis, Fallecimiento 2º Gr., Horas Sindicales, IT, IT/Acc lab. In itinere, IT/Reposo embarazo, Lactancia, Malestar, Maternidad, Matrimonio, Mudanza, No justificado, Rec. Medico emp., Retraso. - El fichero IT EXTEL 2015.XLS son las bajas producidas en
8. Cuenta con los campos 1º apellido, 2º apellido, nombre, f. baja medica, f. alta medica, días IT, observaciones, B/A, Baja menor 20 días, Parte Confirmación nº, fecha ultimo parte conf., Fecha envío, contar, duración. Se comprueba que el fichero tiene premisos de acceso diferenciado para distintos usuarios y grupos. - El fichero TOP AFILADOS CGT.XLS contiene los afiliados de CGT en el momento de creación del fichero. Se comprueba que el fichero tiene 12 registros recogiendo datos personales. Se examinan los distintos valores dados al campo Observaciones, encontrándose los siguientes valores distintos: Absentista y Conflictiva, Absentista y mala actitud, Conflictiva, Mala Actitud, Sancionada varias veces. Se comprueba que el fichero tiene premisos de acceso diferenciado para distintos usuarios y grupos. e. Se realizan las consultas al servidor de ficheros ESCORFS01, encontrándose que tiene tres carpetas denominadas logs, repositorio y script. Realizadas diversas búsquedas, no se encuentra ningún fichero Word ni Excel. f. C/ Jorge Juan, 6 28001 – Madrid Informan los representantes de la entidad que solo existe un escáner, que está ubicado en la unidad de Recursos Humanos, con acceso limitado a los trabajadores de la unidad que requieren www.agpd.es sedeagpd.gob.es 8/30 de su uso. Se accede al escáner y se comprueba que hay un número limitado de usuarios autorizados, y que los documentos escaneados se almacenan automáticamente en una carpeta denominada escáner del equipo del usuario, con accesos restringidos. Se realiza una fotografía de la pantalla del escáner, comprobándose que hay definidos un total de 11 usuarios. Se realizan una serie de consultas a los documentos almacenados en el equipo de la responsable de RRHH, encontrándose que son documentos de los siguientes tipos: - Fotos y DNI de empleados, destinadas a su expediente personal. - Citaciones judiciales a la entidad inspeccionada. - Documentos de Prevención de Riesgos Laborales. - Partes de confirmación, copia de la empresa. - Documento de devolución de cotizaciones de la Tesorería General de la Seguridad Social. - Contratos. Se elige al azar un equipo de los trabajadores de RRHH comprobándose que en el directorio escáner se encuentran los siguientes tipos de documentos: - Diligencias de embargo: recibidas de los distintos juzgados para proceder a las retenciones correspondientes. Los recibe la unidad de RRHH de Coruña para su tramitación a la unidad de Nominas, ubicada en Madrid. - Convocatoria de arbitraje laboral. - Partes de baja, copia de la empresa. - Documento de desempleado, destinado para la contratación del trabajador. No se recaba copia de dicha documentación. Se comprueba que los dos equipos examinados, denominados escorwk7bj07 y escorwk7bj08 la carpeta escaner tiene control de acceso definido para distintos usuarios y grupos de trabajo. 4 C/ Jorge Juan, 6 28001 – Madrid Preguntados los representantes de la entidad por D. D.D.D., éstos manifiestan que es un empleado de la entidad que fue despedido por acceder de forma no autorizada a equipos de la empresa, valiéndose de una vulnerabilidad del programa VNC y de sus conocimientos de informática. En relación con dichos hechos, aporta la entidad copia de la siguiente documentación: - Demanda de empleo de D. D.D.D., en el que consta que el denunciante tiene formación de FP2 en informática de gestión y una experiencia laboral de 12 meses como técnico en redes informáticas en la Universidad de La Coruña. - Carta de despido del mismo trabajador, de fecha 14/3/2014, www.agpd.es sedeagpd.gob.es 9/30 en el que consta el despido disciplinario por falta muy grave por "la transgresión de Ia buena fe contractual, así como el abuso de confianza en el desempeño del trabajo", detallándose: <<En este sentido, el día 12 de marzo del año en curso, sobre las 10:00 horas, usted accedió al equipo informático de Dña. I.I.I., H.H.H. de RRHH. Dichos hechos fueron constatados por D. C.C.C., técnico informático de la empresa, quien accedió a revisar el equipo de trabajo de la Sra. E.E.E., verificando que había recibido una conexión por parte de su software desde una IP diferente a las pertenecientes al departamento informático. El técnico procede a confirmar que el equipo al que pertenece la, IP es "escrrvks8837.Extelcrm.com", apreciando en el visor que se está haciendo uso del mismo en ese momento por usted. Con dicha información, el técnico se dirige a la planta en la que usted presta servicios y solicita a su responsable, Dña. B.B.B., que le libere del equipo para proceder a auditarlo. Finalizada dicha auditoria, con Osforensics, averigua que ese mismo día se han realizado tres accesos más a responsables de servicio, siendo los que a continuación se detallan:  Equipo *******: personal logado F.F.F., H.H.H. de Servicio.  Equipo *******1: personal logado A.A.A., H.H.H. de Servicio.  Equipo *******2: personal logado en ese equipo formadora. G.G.G., Finalizada la auditaría, el técnico informático se dirige al usted para comentarle lo que se ha verificado, y le pregunta literalmente lo siguiente: ¿has realizado conexiones con el VNC desde el equipo?, respondiendo usted afirmativamente y confirmando los hechos.>> - Copia de una demanda, y cédula de citación, por la que dicho empleado recurría su despido en base a que: <<… imputándome el uso de un acceso informático el cual está a disposición de TODOS los trabajadores, y por tanto se trata de una conducta "tolerada por la empresa", sin ningún tipo de impedimento.>> - Informe del incidente que motivó el despido, elaborado por el administrador de sistemas. Según dicho informe: <<El atacante hace uso de sus conocimientos informáticos y conoce la vulnerabilidad que afecta a la versión de VNC 4.1.1, utilizada como herramienta de soporte al usuario por parte del departamento IT de eXTELCRM. Dicha vulnerabilidad queda registrada en el National Vulnerability Datábase con entrada de registro *******, http://web.nvd.nist.gov/view/vuln/ detail?vulnld=*******. En dicha entrada, se describe que un atacante sin necesidad de elevación de permisos en el sistema, podría hacer uso de la ejecución de un vncviewer.exe modificado, como así fue y dejaremos constancia de ello en este documento, para el acceso a la ventana de equipos remotos sin necesidad de saber la contraseña de acceso, como así está configurados en la red eXTELCRM.>> Nótese que la vulnerabilidad era conocida desde el año 2006, ocho años antes del incidente origen del informe. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/30 Se ha podido comprobar, mediante la correspondiente diligencia que: - La versión 4.1.1 de VNC existía en fecha 25/4/
9. - La vulnerabilidad era conocida desde 15/05/
10. - La versión 4.1.2 de VNC, que corregía vulnerabilidades de seguridad, existía en fecha 14/6/
11. - A fecha del presente informe ya hay disponibles 14 revisiones de la versión 5 de VNC. La versión 5.0.0 del programa está disponible al menos desde 6/7/
12. De la información obtenida a través de Internet, se despende que el paquete de instalación de la aplicación VNC da la posibilidad de instalar dos programas distintos, VNC Server y VNC Viewer. El programa VNC Server actúa como servidor, y se instala en los equipos a controlar, en tanto que VNC Viewer es un programa que se instala en los equipos controladores y permite visualizar la pantalla del equipo controlado e interactuar sobre el mismo como si se estuviese sobre el propio equipo. Mantiene el informe que el programa VNC Viewer fue modificado, cuestión que no se acredita. Manifiesta igualmente el informe: <<Se descarta por completo el acceso a información sensible perteneciente a los afectados, ya que esta herramienta no da acceso a información sino a una simple ventana de visualización del escritorio. Con el bug descrito se descarta la posibilidad de acceso a documentación a equipos bloqueados por parte de los usuarios. >> Sin embargo dicha afirmación no es acompañada por prueba alguna. Informan los representantes de la entidad que dicha demanda ha sido desestimada por la Sala de lo Social, que ha considerado procedente el despido. 5 6 Se muestra a los representantes de ECC la denuncia origen de la inspección, ante la cual realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: - Respecto de la hoja de cálculo aportada, es similar a las que se utilizan por la entidad. Las actualmente utilizadas son las visualizadas durante la inspección. - Respecto del informe médico de Dª […], fue aportado por la misma al Dto. de RRHH para que se valorase que era una enfermedad profesional, en lugar de una contingencia común. - Respecto del resto de documentos, manifiestan que son propios del trabajo habitual del departamento y que D. D.D.D. pudo tener acceso a dicha documentación como consecuencia del acceso ilegitimo realizado. Mediante correo electrónico de fecha 25/3/2015 aporta ECC copia de la sentencia recaída como consecuencia de la demanda planteada por D. D.D.D. recurriendo su despido, encontrándose en los Fundamentos de Derecho el juez señala: <<…eI por eI propio reconocimiento efectuado por el actor en el acto del juicio, sin mayor explicación que la relativa a la imprudencia de la empresa en el sentido que desde cualquier ordenador se podía acceder por control remoto a otros ordenadores.… C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/30 sin la correspondiente autorización y sin existir causa que justificase tal conducta a los ordenadores de sus superiores, mediante asistencia remota accediendo o pudiendo acceder a datos de carácter confidencial sin la correspondiente autorización y vulnerando, en definitiva, los sistemas de seguridad, informática de la empresa, … … eI actor utiliza su ordenador para acceder a los ordenadores de sus compañeros de trabajo o de sus superiores, es decir el ordenador es utilizado como un medio o instrumento para acceder no a internet o datos externos, sino a datos propios de la empresa, utilizando un programa de control remoto el cual permite ocupar el lugar de otros trabajadores de la empresa y acceder a la información de la cual estos disponen y para cuyo conocimiento el actor no se encontraba autorizando ... >>. TERCERO: En fecha 15 de abril de 2015 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EXTEL CONTACT CENTER, S.A.U. por la posible infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), en relación con los artículos 88, 89, 91, 93, 95, 96, 98 y 103 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD); infracción tipificada como grave en el artículo 44.3.h) de la citada Ley Orgánica, este último de acuerdo con la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible. CUARTO: En fechas 26 de mayo y 6 de junio, de 2015, y previa ampliación de plazos concedida en fecha 13 de mayo de 2015, tuvieron entrada en esta Agencia sendos escritos de la representación de EXTEL CONTACT CENTER, S.A.U. en el que se realizaban las oportunas alegaciones al Acuerdo de inicio más arriba citado, solicitando el archivo de actuaciones por no existir infracción a la LOPD, o de manera subsidiaria apercibimiento. QUINTO: En fecha 29 de mayo de 2015 se inició un período de práctica de pruebas por un plazo de treinta días, según lo dispuesto en el artículo 17.1 del Real Decreto 1398/1993 de 4 de agosto, notificándose a las partes interesadas, practicándose las siguientes: Incorporar al expediente del presente procedimiento sancionador, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección (E/03108/2014), consistente en el escrito de denuncia e informe de la Inspección de Datos de esta Agencia de 13 de abril de 2015, con el Acta de Inspección E/03108/2014/I-01, por la inspección llevada cabo a EXTEL CONTACT CENTER, S.A.U. en fecha 24 de marzo de 2015; así como las alegaciones de EXTEL CONTACT CENTER, S.A.U. de fecha 18 de mayo de 2015 al Acuerdo de inicio citado más arriba. Todo ello con su correspondiente documentación adjunta. De igual modo, con fecha 11 de junio de 2015 se acordó incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación aportada a esta Agencia por la entidad EXTEL CONTACT CENTER, S.A.U. en fecha 3 de junio de 2015, documentación adjunta a su escrito de fecha 26 de mayo de
13. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/30 SEXTO: Con fecha 16 de julio de 2015 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a EXTEL CONTACT CENTER, S.A.U. con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 9 de la LOPD, en relación con los artículos 88, 91.3, 93, 95 y 96 del RLOPD; infracción tipificada como grave en el artículo 44.3.h) de dicha norma y de conformidad con lo establecido en el artículo
14. 2 y 4 de esa misma Ley Orgánica, estos últimos de acuerdo con la redacción dada por la Ley 2/
15. En su virtud se le notificó cuanto antecede a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentase los documentos e informaciones que estimase pertinentes ante el Instructor del procedimiento, de acuerdo con el artículo 19.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. En cumplimiento de lo dispuesto en el mencionado precepto, se acompañó una relación de los documentos obrantes en el procedimiento. SÉPTIMO: Dicha propuesta de resolución fue notificada en efecto a EXTEL CONTACT CENTER, S.A.U. en fecha 21 de julio de 2015, concediéndose el citado plazo para formular alegaciones, las cuales fueron presentadas en fecha 13 de junio de
16. Se reiteraban los argumentos ya expuestos en anteriores alegaciones (insistiendo en que no resulta creíble el relato de los hechos realizado por el afectado en su denuncia, que fue contratado en su día como teleoperador y no como técnico de sistemas o puesto similar, siendo despedido por su acceso indebido); por lo que se solicitaba el archivo de actuaciones y la aplicación del artículo 45.5 de la LOPD, de manera subsidiaria. En cualquier caso, se alegaba que los hechos denunciados no habían sido comprobados por los inspectores en la inspección habida, así como que procedía la nulidad del expediente por la falta de práctica de la prueba propuesta. Se adjuntaba al escrito de alegaciones un Informe de auditoría bienal en materia de Protección de Datos del Grupo ADECCO, de fecha 6 de noviembre de
17. HECHOS PROBADOS PRIMERO: Que con fecha 22 de abril de 2014 D. D.D.D. manifestó a esta Agencia que EXTEL CONTACT CENTER, S.A.U. podía haber incumplido la LOPD por tres hechos concretos, a saber: 1) la posible cesión de datos personales de carácter médico sin consentimiento y a no custodiarlos debidamente; 2) que documentos que contenían datos personales no se guardaban con la debida discreción, documentos digitalizados en el departamento de recursos humanos y almacenados en carpetas compartidas llamadas escaner, que se encontraban en los ordenadores identificados en la red con el nombre de escorwksbjxx y, finalmente, 3) que en los ordenadores de la empresa estaba instalado un programa de control remoto llamado VNC, que permitía a cualquier usuario ver en la pantalla de su ordenador lo que estaba haciendo otro trabajador en el suyo, dejando en muchos ordenadores el programa y la contraseña necesaria para utilizarlo juntos en la misma carpeta, en los ordenadores que no lo tenían se podía obtener igualmente a través de la red local accediendo al ordenador "eszarwks4014" y entrando en una carpeta llamada "software" (folio 1). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/30 SEGUNDO: Que el denunciante manifestó igualmente que el archivo de excel estaba en el ordenador \\escorwksitcpdr dentro de una carpeta llamada "ANA", con más listados como el aportado, con nombres similares en otras carpetas, que solían estar en \\escorfs01\GRP$\grp_RRHH; entrando en \\escorfs01\GRP$ se accedía a las carpetas de cada grupo de usuarios (grp_Productividad, grp_Administración, grp_Supervisión, grp_Formación, ...). También, a varios listados de afiliados, uno es "CUOTA SINDICAL (MES) (AÑO).xls", otro "LISTADO DE AFILIADOS(ccoo).xls", o simplemente "AFILIADOS.xls", probablemente también en grp_RRHH. Los servidores que tenían información compartida eran: escorfs01 (el servidor de Coruña), esmalfs01 (el servidor de Málaga), eszarfs01 (el de Zaragoza), y así con cualquier ordenador de la red de nombre esXXXfs
18. Otros ordenadores que contenían estos ficheros eran escorwksitcpdr, escorwksitljavierciguenza. Los informes médicos y más documentación relacionada con la mutua estaban en los ordenadores \\escorwksbjXX (cambiando XX por cifras de 01 a 12), estos últimos era donde quedaban almacenadas copias de todos los documentos que digitalizaban con escáner. La base de datos de personal estaba ubicada en \\escorfs01\GRP$\ grp_Productividad. El archivo se llama "BD PERSONAL.mdb", o también "BD PERSONAL v2.mdb" y contiene los datos de los trabajadores: nombres, direcciones, nºs de documento de identidad, nºs de la seguridad social, teléfonos (folios 17 a 19). TERCERO: Que el denunciante, para acreditar estos hechos, aportó copia de los siguientes documentos: - Hoja de cálculo en la que constan datos de empleados: CÓDIGO DE EMPLEADO, NOMBRE COMPLETO, FECHA DE BAJA, TIPOLOGÍA, LISTADO MUTUA, ÚLTIMO SEGUIMIENTO, JUSTIFICADA, COMENTARIOS MUTUA, COMENTARIOS… En la columna denominada “TIPOLOGÍA”, se observa que en distintas filas aparecen diagnósticos, por ejemplo: CÁNCER, NEUMOTORAX, ASTRODESIS, LUMBALGIA, FONIATRIA (folio 4). - Informe médico fechado el 29/01/2013 en el que constan los antecedentes personales, la exploración realizada, el juicio clínico, el tratamiento y recomendaciones. En esta última parte, consta: <<Reiniciar sus actividades, la primera semana con una hora de descanso cada hora de trabajo, luego ya con horario normal.>> El documento exhibe un sello de ASEPEYO fechado el mismo 29/01/2013 (folio 5). - Copia para la empresa de una baja médica (folio 6). - Demanda de empleo de fecha 23/09/2013 (folio 7). - Contrato de trabajo fechado el 18/04/2012 (folio 8).. - Nómina de una trabajadora de ECC correspondiente al mes de noviembre de 2013 (folio 9). - Fotocopia de un DNI (folio 10). - Acta de conciliación con motivo de un despido, en el que se acuerda la indemnización al trabajador. Está diligenciada en fecha 13/12/2013 (folio 11). - Reclamación previa, fechada el 15/07/2013, de otra trabajadora contra una resolución del INSS de alta médica, solicitando que se proponga la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/30 incapacidad permanente (folio 12). - Oficio judicial de fecha inconcreta, referenciado el año 2012, por el que se ordena el embargo de salarios de un trabajador de la entidad denunciada (folio 13) y - Denuncia presentada en fecha 12/6/2013 por ECC ante la Policía Nacional y en la que aparecen involucrada una trabajadora de la entidad (folio 14). CUARTO: Que EXTEL CONTACT CENTER, S.A.U. tiene declarados en el Registro General de Protección de Datos de esta Agencia un total de diez ficheros, de los cuales cinco son de nivel de seguridad bajo, dos de nivel medio y tres de nivel alto (folios 135 y 143 a 146). QUINTO: Que en fecha 24 de marzo de 2015 se realizó una inspección por parte de la Inspección de Datos de esta Agencia a la sede de EXTEL CONTACT CENTER, S.A.U. en La Coruña [Acta de Inspección E/03108/2014/I-01 – folios 20 a 131)], en la que se aportó copia del Documento de Seguridad y del Documento de Auditoria Bienal de cumplimento de la LOPD. Una vez examinado el denominado “Documento de Seguridad”, se comprobó que tenía 16 páginas, resultando escueto para el tamaño de la empresa, y en muchos de sus puntos se limitaba a copiar el artículo del RLOPD de referencia, o solo parte de él, no informando de la forma de implementación, ni remitiendo a algún anexo al documento en el que se venga a desarrollar el punto en cuestión (folios 21, 70 a 85 y 137). Se comprobó que no constaban en dicho documento ni la identificación de los responsables de seguridad ni los controles periódicos que se debían realizar para la verificación del cumplimiento del propio Documento de Seguridad. En relación con el documento denominado “Auditoría bienal del cumplimiento de lo establecido en la LOPD y en su Reglamento de desarrollo”, fechado el 18 de diciembre de 2013, era también escueto con apenas cuatro páginas para todo el Grupo Adecco (seis empresas, una de las cuales es la propia EXTEL CONTACT CENTER, S.A.U.), siendo el informe propiamente dicho de dos páginas, y dentro de ellas aparece: <<Nuestro trabajo ha sido realizado exclusivamente mediante el análisis de la documentación facilitada por las Sociedades y está basado en preguntas y discusiones realizadas durante las entrevistas mantenidas con los distintos responsables de las áreas afectadas…. En todo caso, a nuestro juicio, la situación actual de las entidades auditadas con relación al nivel de cumplimiento de la legislación vigente en materia de seguridad de los datos de carácter personal respecto de sus instalaciones, sería FAVORABLE>> (folios 21, 86 a 91 y 137). SEXTO: Que en la inspección detallada en el punto 5º anterior se accedió a un equipo denominado ESCORSF001, que correspondía con el servidor de ficheros del centro de trabajo inspeccionado, y dentro del mismo a las carpetas contenidas dentro del directorio RRHH, comprobando que existía un acceso restringido a determinados usuarios y grupos, y en una carpeta denominada RRHH existía, entre otras, una carpeta denominada ANA en la cual aparece únicamente un fichero en formato Excell denominado ACTIVOS.xls. En la carpeta RRHH, utilizando el criterio “mutua” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/30 aparecieron dos ficheros en formato Word; con el criterio “sindical*.xls”, tres ficheros en formato Excel y con el criterio “afiliado*.xls”, cuatro ficheros en formato Excel; asimismo, dos ficheros denominados REUNION MUTUA 9 DE ABRIL.doc y HORAS DE ASISTENCIA A MUTUA POR AT Y EP.doc., tres ficheros denominados 2013 CONTROL HORAS SINDICALES.xls, 2014 CONTROL HORAS SINDICALES.xls, 2015 CONTROL HORAS SINDICALES.xls, cuatro ficheros denominados Afiliados 2012.xls, Afiliados 2013.xls, Afiliados 2014.xls, TOP afiliados CGT.xls y otros ficheros con las siguientes denominaciones: ACTIVOS.xls, COMUNICADOS IT FEBRERO 2014.xls, Todo Diario V2.xlsx, IT EXTEL 2015.XLS, TOP AFILADOS CGT.XLS (folios 22 y 23). SÉPTIMO: Que en la inspección detallada en el punto 5º anterior se accedió al escáner, comprobándose que había un número limitado de usuarios autorizados