1/71 Procedimiento Nº PS/00258/2016 RESOLUCIÓN: R/00347/2019 En el procedimiento sancionador PS/00258/2016, instruido por la Agencia Española de Protección de Datos a vista la denuncia presentada por DIRECCION GENERAL DE LA GUARDIA CIVIL, y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 8 de junio de 2015 tiene entrada en esta Agencia un escrito de la DIRECCION GENERAL DE LA GUARDIA CIVIL, en adelante el denunciante, en el que pone en conocimiento de esta Agencia los siguientes hechos: 1. EL Grupo de Delitos Telemáticos de la Guardia Civil inició una investigación en el marco de las Diligencias Previas 2709/2012 del Juzgado de Instrucción número 5 de Alicante, con motivo de una estafa continuada en el ámbito de las telecomunicaciones. 2. El fraude consistía en síntesis en el envío de más de 24 millones de mensajes SMS no solicitados desde números de tarificación adicional en los que mediante engaños se hacía creer al receptor que se trataba de un conocido, una oferta de trabajo o un servicio de mensajería. La finalidad de los envíos era conseguir que los usuarios respondieran al origen, lo que representaba un coste de entre 1,2€ y 6€ por mensaje. 3. Durante la investigación se pudo constatar que, si bien existía un entramado de 20 empresas involucradas, (…). 4. Las campañas de envíos de mensajes eran enviadas previa orden de ***NOMBRE.1, por ***NOMBRE.3, (…). 5. Durante la entrada y registro en la sede de dos de las empresas del entramado se obtuvo copia de material informático y documentación donde se constata que mediante unas operadoras establecían un dialogo tipo chat con las víctimas y que fruto de estas conversaciones se garbaban todo tipo de datos personales que se almacenaban en las bases de datos. 6. Entre los datos almacenados de las víctimas se encuentran datos como el nombre, apellidos, domicilio, la orientación sexual, datos familiares y de salud, etc.… C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/71 7. La tabla de la base de datos que registraba los datos de las víctimas tiene un total de 2.425.209 números de teléfono móvil diferentes y en 666.481 de los casos constan datos personales asociados. Junto con el escrito de denuncia se aporta una copia del disco duro del servidor en el que se hallaron los datos y copia de parte de la documentación obtenida durante las investigaciones. Constan en esta agencia antecedentes de algunas de las empresas citadas en el escrito de denuncia, y que se incorpora en el Informe de Actuaciones Previas de Inspección E/03730/2015 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron diligencias de investigación, teniendo conocimiento de que: Las actuaciones se han realizado sobre accesos a la documentación proporcionada por la denunciante que consiste en un disco duro con la copia exacta de los datos hallados en el servidor que alojaba los datos del grupo de empresas implicado, copia de las declaraciones de las personas implicadas en los hechos y distintos documentos de análisis llevados a cabo por la denunciante en base a documentos facilitados por terceras partes (entidades financieras, Notariado, etc.…). Las claves de acceso a los sistemas hallados en el servidor han sido proporcionadas por la denunciante o se encontraban memorizados en los sistemas aportados. Sobre las entidades implicadas en los hechos denunciados La denunciante manifiesta que ***NOMBRE.1 y ***NOMBRE.2, junto con la colaboración de ***NOMBRE.3, se valieron de un entramado de empresas para evadir procedimientos administrativos y penales contra sus personas. La denuncia identifica las siguientes 21 sociedades como las presuntamente utilizadas para la comisión de los hechos, cuyo desglose junto con la participación en ellas de ***NOMBRE.1 y ***NOMBRE.2 y terceras personas, es el siguiente: OCIOTERAPIA LEVANTE S.L. (B54271416) COMERCIAL POLINDUS 21 S.L. (B97902779) SERVICIOS (B54581558) C/ Jorge Juan, 6 28001 – Madrid OFIMÁTICOS Y CENTRO DE NEGOCIOS S.L. www.agpd.es sedeagpd.gob.es 3/71 CALL CENTER LEVANTE S.L. (B54591037) FALCÓN INTERCEPTOR S.L. (B97921704) MENSAJERÍA INALÁMBRICA S.L. (B53683090) GAMBRRO TECHNOLOGIES S.L. (B54668728) IBÉRICA PREMIUM TELECOMUNICACIONES S.L. (B54011382) SIMOES BIS S.L. (B54182308) GESTORA DE OFERTA DE TRABAJO S.L. (B98553803) ARABBESKO MADRILEÑA S.L. (B97912729) BUSCANDO SUERTE S.L. (B97877526) IEBOLINA TRADICIONAL S.L. (B97891139) NATURAL FLAVOR INTERNATIONAL 21 S.L. (B97891410) ZIGZAGUEANTE ASOCIADOS 21 S.L. (B97906515) EMPORIO EUROPA 21 S.L. (B91423053) GAROV SINERGIAS S.L. (B97906507) LÍNEA SMS S.L. (B54591045) TELECOM WORLD SYSTEMS SL (B73814477) ZONA DESCUBIERTA S.L. (B97855654)- EXTINGUIDA EN LA ACTUALIDAD Algunos de los implicados en los hechos prestaron declaración ante la Guardia Civil. Las declaraciones más relevantes en relación con el entramado empresarial y los responsables del mismo son las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/71 ***NOMBRE.1 manifiesta1 que: Es administrador y gestiona las cuentas bancarias de las sociedades SIMOES BIS SL, GAMBRRO TECHNOLOGIES SL y ZIGZAGUEANTE ASOCIADOS 21 SL. ZIGZAGUEANTE ASOCIADOS 21 SL es una sociedad personal que utiliza para guardar los ahorros de SIMOES BIS SL. Ejerce el control bancario de las sociedades OCIOTERAPIA LEVANTE SL, COMERCIAL POLINDUS 21 SL, BUSCANDO SUERTE SL, ARABBESKO MADRILEÑA SL, SERVICIOS OFIMÁTICOS Y CENTRO DE NEGOCIOS SL, LÍNEA SMS SL y CALL CENTER LEVANTE SL. Su relación con CALL CENTER LEVANTE SL es comercial, no mantiene ningún cargo en la sociedad y no imparte órdenes ni monitoriza a sus trabajadores. Cree que ***NOMBRE.4 tuvo funciones de marketing en SIMOES BIS SL y de chateadora en CALL CENTER LEVANTE SL y que ***NOMBRE.5, en adelante LA SECRETARIA, tenía funciones de chateadora en CALL CENTER LEVANTE SL y pasó a ejercer funciones de administración y secretaría. ***NOMBRE.2 manifiesta2 que: Administra SIMOES BIS SL y participa en GAMBRRO TECHNOLOGIES SL, pero el día a día de las empresas lo lleva ***NOMBRE.1 bajo las instrucciones de ***NOMBRE.6, en adelante EL ABOGADO. GAROV SINERGIAS S.L. es una sociedad personal que se utiliza para guardar los ahorros como ***NOMBRE.2 usa ZIGZAGUEANTE ASOCIADOS 21 SL. No sabe en qué empresas figura siendo ***NOMBRE.2 y EL ABOGADO quienes lo saben. No es el jefe de CALL CENTER LEVANTE SL y no ha dado órdenes a sus trabajadores. Conoce a ***NOMBRE.4 y LA SECRETARIA, pero desde hace 8 años tiene relación laboral con ninguna de las dos. Las manifestaciones de LA SECRETARIA 3 ***NOMBRE.2 y ***NOMBRE.1 ya que manifiesta que: contradicen las de Reconoce a de ***NOMBRE.2 y ***NOMBRE.1 como sus jefes mientras trabajó en CALL CENTER LEVANTE SL, MENSAJERÍA INALÁMBRICA SL y ZONA DESCUBIERTA SL. 1 Acta de manifestación de ***NOMBRE.1 de 26 de marzo de 2015. 2 Acta de manifestación de ***NOMBRE.2 de 26 de marzo de 2015. 3 Acta de manifestación de ***NOMBRE.4 de 25 de marzo de 2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/71 Las campañas de mensajes las creaban ***NOMBRE.4, junto con ***NOMBRE.2 y ***NOMBRE.1. Su función era dar instrucciones para las nuevas campañas y las contestaciones que se debían de dar a los clientes, que previamente eran acordadas por ***NOMBRE.2 y ***NOMBRE.1 en una reunión. Las manifestaciones de ***NOMBRE.44, que trabajo5 para SIMOES BIS SL durante más de 10 años, también contradicen las de ***NOMBRE.2 y ***NOMBRE.1 ya que manifiesta que: Trabajó desde 2003 hasta 2014 en empresas de ***NOMBRE.2 y con ***NOMBRE.1 no recuerda desde que año. Su función era diseñar campañas de marketing para captar usuarios de SMS Premium. ***NOMBRE.2 y ***NOMBRE.1 le pedían que diseñara textos lo suficientemente bonitos para que conectara con los usuarios. Las manifestaciones de ***NOMBRE.3 6 también contradicen las de ***NOMBRE.2 y ***NOMBRE.1 ya que manifiesta que: Después de un largo periodo sin tener contacto laboral y personal, comenzó a trabajar para ***NOMBRE.2 y ***NOMBRE.1 el año 2007 en el departamento técnico de IBÉRICA PREMIUM TELECOMUNICACIONES S.L. que era la empresa de ***NOMBRE.2, pasando posteriormente a trabajar para SIMOES BIS SL y finalmente como autónomo que factura a distintas empresas del grupo. Entre sus funciones de técnico estaba la programación del envío masivo de mensajes SMS en los que el diseño y contenido se lo daban habitualmente ***NOMBRE.2 y ***NOMBRE.1. Las manifestaciones de ***NOMBRE.7 7 también contradicen las de ***NOMBRE.2 y ***NOMBRE.1 ya que manifiesta que: 4 Acta de manifestación de ***NOMBRE.4 de 25 de marzo de 2015. 5 DOC. 1 6 Acta de manifestación de ***NOMBRE.3 de 25 de marzo de 2015. 7 Acta de manifestación de ***NOMBRE.7 de 25 de marzo de 2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/71 “...accedió a ir al Notario de Maissonave y registrar a sus nombres las empresas Call Centar Levante SL y Línea SMS SL, por lo que la pagaban anteriormente 400 euros al mes por cada una de ellas.” En julio de 2014 pone otra empresa a su nombre, pero no recuerda el nombre. Que ***NOMBRE.2 le dice que pone a su nombre las empresas porque tiene muchas que si tiene problemas legales no quiere que le quiten sus propiedades. En septiembre de 2014 dejan de pagarle. Que nunca ha sabido donde estaban esas empresas o a qué se dedicaban más allá de que le dijeron que se dedicaban a temas de telefonía y chat tipo Meetic. Que ella actuaba como testaferro pero que nunca pensó que estuviera haciendo algo ilícito. Entre los documentos proporcionados por la denunciante figura un “INFORME DE LAS MERCANTILES IMPLICADAS EN LA INVESTIGACIÓN” en cuya página 150 se identifica a las sociedades del grupo que disponen de números cortos y actúan como receptoras iniciales de los ingresos generados por la recepción de los mensajes de los afectados: POLINDUS 21 S.L. TRADICIONAL S.L. ARABBESKO MADRILEÑA S.L. OCIOTERAPIA LEVANTE S.L. BUSCANDO SUERTE S.L. NATURAL FLAVOR INTERNATIONAL 21 S.L. ZONA DESCUBIERTA S.L. Según ese mismo informe, tras el análisis de las cuentas corrientes de las distintas sociedades del grupo la única fuente de ingresos de dicho grupo son esos mensajes SMS y SIMOES BIS SL es la empresa que aglutina la mayor parte de los beneficios obtenidos, estimados en más de 2 millones y medio de euros. El informe en cuestión analiza los movimientos de cada una de las cuentas de las empresas del grupo mostrando los movimientos de capitales entre ellas y hacia distintas personas físicas. Entre las personas físicas beneficiarias de los ingresos de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/71 trama los principales son según los datos que constan en el informe ***NOMBRE.2 y ***NOMBRE.1. Por ejemplo, en el caso de SIMOES BIS SL, se han acreditados pagos a ***NOMBRE.2 y ***NOMBRE.1 de más de 74.000 euros a cada uno y gastos realizados por ambos con tarjetas de crédito de dicha sociedad por importe de más de 122.000 euros. En el ANEXO 6 del Informe de Actuaciones Previas de Inspección E/03730/2015 constan los gráficos del informe que muestran las relaciones entre las sociedades, los apoderados y las personas físicas implicadas. Entre los documentos aportados por la denunciante se encuentran varios buzones de correos electrónicos que demuestran que, en contra de lo que manifiestan ***NOMBRE.2 y ***NOMBRE.1, eran ellos quienes gestionaban los envíos de los SMS a través de diferentes empresas y quienes controlaban las labores del personal de CALL CENTER LEVANTE SL que recogía y trataba los datos de carácter personal. EL informe resalta igualmente que las cantidades recibidas por ***NOMBRE.7, administradora de CALL CENTER LEVANTE SL eran sensiblemente inferiores a los de hasta 8 de las personas físicas a quien pagaba la sociedad cobraban cantidades sensiblemente mayores que las suyas. Teniendo en cuenta que la cuenta de la sociedad se abre un 29 de diciembre de 2011, si se compara el importe total cobrado por ***NOMBRE.7 (26.553,98 euros) con lo que manifiesta haber cobrado (400 euros por dos empresas desde enero de 2011 hasta septiembre de 2014 y 400 por otro desde julio a septiembre de 2014) el resultado es casi idéntico (26.400 euros). Los correos electrónicos citados previamente se adjuntan como documentos numerados en el ANEXO 1 del Informe de Actuaciones Previas de Inspección E/03730/2015. DOC. 1 Correo electrónico enviado el 19 de mayo de 2014 por INNOVA ASESORES (empresa de servicios de gestoría) a ***NOMBRE.1 con copia a LA SECRETARIA en el que se adjunta la carta de despido, la última nómina y el certificado de empresa de ***NOMBRE.4. En este último documento ***NOMBRE.1 certifica que ***NOMBRE.4 trabajo en SIMOES BIS SL entre el 2 de julio de 2003 y el 19 de mayo de 2014. DOC. 2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/71 Correo electrónico de 2 de julio de 2010 enviado por ***NOMBRE.1 a ***NOMBRE.2 y ***NOMBRE.3 con copia a ***NOMBRE.4 y LA SECRETARIA en el que ***NOMBRE.1 y ***NOMBRE.2 planifican las campañas de envíos de mensajes SMS del fin de semana utilizando los números cortos 25388 (ARABBESKO MADRILEÑA SL), 27305 (OCIOTERAPIA LEVANTE SL), 27205 (NATURAL FLAVOR INTERNACIONAL SL) y 797205 (NATURAL FLAVOR INTERNACIONAL SL). El correo que responde a otros del mismo día que se incluyen, contiene una tabla que incluye el texto de los mensajes, la campaña en la que se incluye, la base de datos a utilizar, el número de envíos diarios y el periodo de envío. DOC. 3 Correo electrónico de 14 de abril de 2014 en el que ***NOMBRE.1 responde a INNOVA ASESORES, con copia a ***NOMBRE.2 y LA SECRETARIA dando su aprobación a “…las retenciones a los trabajadores y profesionales a declarar en el primer trimestre de 2014”. El correo incluye una tabla en la que figuran 20 sociedades. DOC. 4 Relación de correos electrónicos de 15 de abril de 2014 en el que ***NOMBRE.1 responde a INNOVA ASESORES un correo previamente dirigido a él mismo, ***NOMBRE.2 y LA SECRETARIA manifiesta haber solicitado a la gestoría “… arreglarlo para que sólo paguemos cantidades bajitas. Nos vuelve a enviar un correo conforme queda definitivo” y además que “Sería interesante aplazar Iebolina, Mensajería e Ibérica.”. DOC. 5 Correo electrónico de 21 de agosto de 2014 en el que ***NOMBRE.2 responde a ***NOMBRE.1 que se pone “con los temas” en respuesta a un correo electrónico de ese mismo día que envía ***NOMBRE.1 a ***NOMBRE.2, ***NOMBRE.3, LA SECRETARIA y EL ABOGADO informándoles de los proyectos que tiene en marcha distintas empresas del grupo como: “…ESTAN SOLICITADAS A LA CNMC LAS NUESTRAS PROPIAS [líneas 905] A NOMBRE DE ARABBESKO MADRILEÑA” “ACTUALMENTE TENEMOS LINEAS PROPIAS ACTIVAS Y SIN USAR CON MAS VOZ A NOMBRE DE NATURAL FLAVOR Y GLOBAL TELECOM CON OCIOTERAPIA…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/71 “HEMOS SOLICITADO A JET MULTIMEDIA QUE NOS INTEGRE 2 NUMEROS DE RANGO 2 Y UNO DE 99 A NOMBRE DE BUSCANDO SUERTE…” Además, en el correo electrónico ***NOMBRE.1 pide a ***NOMBRE.2 que se encargue de tareas como: “***NOMBRE.8 EL NUMERO DE RANGO 99 NECESITO URGENTE QUE PRECIO LO QUEREMOS” “***NOMBRE.8 POR FAVOR VES EFECTUANDO LOS PRODUCTOS LO MAS DETALLADO POSIBLE PARA PASARSELOS CUANTO ANTES. SI TIENES DUDAS QUE SALDRÁN LLAMA A (…) AL ***TELEFONO.1. AHORA TENEMOS TIEMPO.” “***NOMBRE.8 EL NUMERO DE RANGO 99 NECESITO URGENTE QUE PRECIO LO QUEREMOS” “CITADRINK. ***NOMBRE.8 VA A DISEÑAR EL PRODUCTO.” Este correo es un ejemplo ilustrativo, pero en los buzones aportados por la denunciante se han localizado numerosos correos de este tipo en el que ***NOMBRE.2 y ***NOMBRE.1 establecen las tareas en relación con el envío de los mensajes SMS. DOC. 6 Correo electrónico de 19 de febrero de 2015 enviado por ***NOMBRE.1 a ***NOMBRE.2, ***NOMBRE.3 y LA SECRETARIA en el que “Os detallo la estrategia para mañana Viernes y las tareas de cada uno, nosotros no iremos a primera hora ya que ***NOMBRE.8 van a…” En el correo electrónico ***NOMBRE.1 establece las tareas a realizar por ***NOMBRE.3 y LA SECRETARIA en relación con el envío de mensajes a través de números de IEBOLINA TRADICIONAL SL, a pesar de que ninguno de los que aparece en los correos tiene, en teoría, relación con dicha sociedad. DOC. 7 Correos electrónicos de 2 de diciembre de 2014 y 6 de febrero de 2015 enviado por LA SECRETARIA a ***NOMBRE.1 en los que le adjunta un fichero en formato MS Excel con los gastos de diciembre de 2014 y febrero de 2015 de las 20 empresas citadas en el documento DOC. 3. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/71 DOC. 8 Correo electrónico de 11 de febrero de 2015 remitido por LA SECRETARIA a ***NOMBRE.1 y ***NOMBRE.2 en el que les adjunta la carta de despido de un trabajador de IBÉRICA PREMIUM TELECOMUNICACIONES SL, a pesar de que ni remitente ni destinatarios tienen, en teoría, relación con dicha sociedad. DOC. 9 Correo electrónico de 24 de octubre de 2014 en el que ***NOMBRE.1 responde que “Perfecto” a uno previo de INNOVA ASESORES sobre si el embargo que ha llegado de los créditos del administrador de IEBOLINA TRADICIONAL SL les afecta para algo en el funcionamiento de la empresa y en el que INNOVA manifiesta que no porque “…IEBOLINA no puede pagarle nada a Carlos Arribas porque tendría que pagarle a hacienda una parte hasta cubrir la deuda que este tiene” DOC. 10 Correos electrónicos de 14 y 15 de enero de 2015 en los que ***NOMBRE.1 indica a LA SECRETARIA que empresas del entramado deben de solicitar ante la CNMC (Comisión Nacional del Mercado y la Competencia) ser operadoras y los correos en los que LA SECRETARIA le facilita a EL ABOGADO la documentación que debe ser remitida en nombre de LINEA SMS SL, CALL CENTER LEVANTE SL, GESTORA DE OFERTAS DE TRABAJO SL y TELECOM WORLDWIDE SYSTEMS SL. DOC. 11 Correo electrónico de 30 de junio de 2014 en el que ***NOMBRE.1 solicita a LA SECRETARIA lo siguiente: “Gema por favor informa de voz no por correo al personal de que este mes cobraran el día 1 el 50% incluidas las operadoras, a estas últimas explícales que es de forma excepcional lo de pagar cada quincena y hasta que empecemos a facturar va a ser así, si todo va bien empezaremos esta semana a facturar por SMS y la segunda quincena por la llamada perdida. Dales un mensaje de tranquilidad y de confianza no obstante yo mañana hablare con ellas.” DOC. 12 Correo electrónico de 25 de febrero de 2015 en el que LA SECRETARIA responde a ***NOMBRE.1 que solicita lo siguiente “***NOMBRE.8 hoy tienes que empezar las pruebas del whatts app, para ello te tienen que dar los números de los usuarios identificados con algún dato de sus conversaciones.”. El correo viene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/71 acompañado de un fichero en formato MS Excel con datos: Sexo, nombre, población, provincia, estado civil, edad y relación. Sobre la información hallada en el disco duro Al analizar el disco duro se han encontrado cuatro servidores de base de datos MS SQL Server 2008 R2 a las que, con los datos facilitados por la denunciante, se ha podido acceder. Se han hallado un total de 29 bases de datos distintas que contienen datos sobre el envío y recepción de mensajes de texto o SMS y también sobre distintas personas físicas. Servidor Base de datos ADMINISTRACION ALERTAS79 CHAT2 FOTO2 PASARELA_ZONA HISTO_CLIENTES MICROPAGOS PASARELA PUSH WAP BBDDNumeros HISTO_CHEAPPUSH_2011 HISTO_CHEAPPUSH_2012 COLOMBIA HISTO_CHEAPPUSH_2013 HISTO_WAP HISTO_ZONAD inno_smi RENTABILIDAD USUARIOS_ADMIN AMERICASQL WEB_ESPANYA2 WEB_GENERAL CHEAPPUSH CHEAPPUSH_CELLENT CHEAPPUSH_CLX RUMANIA CHEAPPUSH_INFOBIP CHEAPPUSH_IPX CHEAPPUSH_NET CHEAPPUSH_NVIA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/71 CHEAPPUSH_ROUTESMS CHEAPPUSH2 Las bases de datos están compuestas por tablas que pueden estar relacionadas entre sí. Son las tablas las que contiene los registros con la información que debe de ser analizada. Uno de los términos que se observa repetidamente los nombres de las tablas es “PUSH”, que se utiliza para identificar los envíos realizados desde un servidor de mensajes y distinguirlos de los enviados desde un terminal a otro. En las bases de datos que nos ocupan le termino PUSH identifica el envío masivo de mensajes idénticos. Esto puede comprobarse fácilmente contando el número de mensajes para un texto dado en una tabla “PUSH”. Por ejemplo, en el servidor COLOMBIA, en la base de datos HISTO_ZONAD, dentro de la tabla HISTO_PUSH_2014 consta el registro de haber enviado 82.622 mensajes SMS con el texto “Hola!! Te acuerdas de mí, no? hace tiempo que te estoy buscando pero no me respondes, que pasa es que te has olvidado de mi en este tiempo? Dime algo por favor” o el envío en 6.911 ocasiones del mensaje SMS “Necesitas PRUEBAS de q voy serio y no es mentira? Pues tengo algo para TI, pero puedes contestar...? Se q me lees!! “ Durante la investigación no se ha encontrado información significativa sobre el diseño de la base de datos y su contenido por lo que el análisis se basa en el nombre de las tablas y el contenido de las mismas. Los datos personales hallados se concentran en la tabla FICHA de la base de datos CHAT2 que se encuentra en la instancia PASARELA_ZONA. La tabla consta con un total de 666.481 registros y cada registro contiene los siguientes campos: personaje1 (número de teléfono móvil o código personaje) personaje2 (número de teléfono móvil o código personaje) nombre apellidos sexo edad población C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/71 provincia profesión estado Civil busca (especifica si busca relaciones sexuales con hombres, mujeres o ambos) aficiones descripcionFisica comentarios diaNac (día de nacimiento) mesNac (mes de nacimiento) anyNac (año de nacimiento) horoscopo email tlf_modelo tlf_otros deporte deporte_otros maru maru_otros La función de los últimos dos campos es desconocida, pero a juzgar por la información contenida en los registros, parece contener comentarios sobre el cliente. Cuando aparece un número de teléfono en el campo personaje1, en personaje2 aparece el código del personaje (identidad ficticia utilizada por la operadora para tratar con el afectado) y el resto del registro contiene datos del afectado. Cuando en el campo personaje1 aparece un código de personaje 1 en personaje2 un número de teléfono móvil, los datos de que aparecen a continuación son los del personaje ficticio, que este intercambiaba con el afectado durante las sesiones de chat. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/71 En la tabla aparecen 301.049 números de teléfono distintos. Por ejemplo, al buscar en la tabla ficha el número 34650363122, éste aparece dos veces, una en el campo personaje1, donde en el campo personaje2 consta el código de personaje “***PERSONAJE.1” y en el resto de los campos los datos obtenidos de la afectada. 34650363122;***PERSONAJE.1;***NOMBRE.9;2;47;***LOCALIDAD.3;19;** *PROFESIÓN.1;3;0;ALPINISMOtocar la bateria. Soy independentista; con dos hijod.De verdad q ha sido in placet.Besos y adiosYA te dije de 8 a 3 y 24 horas cada 10dias librando al dia siguiente.;0;0;1900;0;Móvil; Primer registro (campos separados por ;) Y otro segundo registro donde en el campo personaje1 aparece el código de personaje “***PERSONAJE.1”, en el campo personaje2 el número de móvil de la afectada y en el resto de los campos los datos del personaje ficticio. ***PERSONAJE.1;34650363122;***NOMBRE.8; (tele);1;37;0;***PROFESIÓN.17;1;2;deporte,playa;Ruta ***LOCALIDAD.10 ***PROVINCIA.2; tuve varoicela;0;0;1900;0;NULL;NULL;NULL;NULL;NULL;NULL Segundo registro (campos separados por ;) Si bien es cierto que no todos los registros tienen información registrada en cada uno de los campos el análisis de la información almacenada muestra que al menos parte de la estructura fue diseñada y utilizada para almacenar datos personales especialmente protegidos (ideología, afiliación sindical, religión, creencias, origen racial o étnico, o vida sexual). No en todos los casos se han almacenado nombre y apellidos. Con el fin de estimar el número de personas de las que podría haberse almacenado nombre y apellidos se ha consultado la base de datos para obtener un total de 15.727 registros distintos que cumplen las siguientes condiciones: nombre + apellidos distintos Longitud del nombre más el apellido mayor que 20 No se incluye la palabra “menor” o “mneor” (se escribe así por error en numerosos casos) en ninguno de los dos campos. Entre los 15.727 registros hay casos en los que en los campos recuperados no se conservan el nombre y los apellidos sino otro tipo de detalles como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/71 circunstancias familiares, enfermedades o comentarios sobre la personalidad del afectado, pero en muchos otros casos sí que se almacenan el nombre, el o los apellidos y, en ocasiones, la dirección de correo electrónico. Sirva como ejemplo el ANEXO 2 del Informe de Actuaciones Previas de Inspección E/03730/2015 que contiene una muestra con 50 casos. Se han hallado numerosos registros con datos especialmente protegidos en la tabla de los que a continuación se mostrarán ejemplos. Dado que la información no siempre se almacena en los campos dispuestos para ello (nombre y apellidos en el campo nombre o descripción física en comentarios), en cada ejemplo se indicará los campos personaje 1 y personaje 2 que identifican unívocamente un registro8 y la lista de campos más relevantes con el texto incluido en éstos (se ha incluido algún espacio con el fin de mejorar la legibilidad de los textos). Ideología Se realizan búsquedas sobre la tabla con textos como “independentista” (3 registros), “comunista” (1 registro), “socialista” (1 registro), “anarquista” (2 registros) o “movimiento nacional” (1 registro). Datos obtenidos de algunos de los registros: Personaje 1 Personaje 2 Datos Nombre: ***NOMBRE.9 Edad: A.A. Población: ***LOCALIDAD.3 34650363122 ***PERSONAJE.1 Profesión: ***PROFESIÓN.1 Aficiones: ALPINISMO tocar la batería. Soy independentista Descripción física: con dos hijos. De verdad q ha sido in placet. Besos y adiós YA te dije de 8 a 3 y 24 horas cada 10 días librando al día siguiente. 8 Son la clave primaria de la tabla. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/71 Nombre: ***NOMBRE.10. Apellidos: ***NOMBRE.10 ***EMAIL.1 Edad: B.B. Población: ***LOCALIDAD.4 Profesión: ***PROFESIÓN.2 Aficiones: ENTRE otras cosas soy juez-Yo he estadado en prision como presunto etarra34626627697 ***PERSONAJE.2 Descripción física: ***NOMBRE.11 18. I.aki 15.SIEMPRE voy con camisa blanca sin cuello i con tejanos-hija ***NOMBRE.11 saco un 9.76 en selectividad. Estudiará filosofía y nanotecnología. I.aki como su madre. Directo a los negocios Comentarios: jefe de informatica del ayuntamiento Les llamo por su nombre. ***NOMBRE.11-mi madre es catalana i mi padre murió a los 30 años. Es mi lengua materna. Viuda a los 30 i 4 hijos-Y mi hermano murió. Fueron épocas durísimas y yo era del partido comunistaNombre: ***NOMBRE.12 Apellidos: MENORRRRRRRRRRRRRRRRRRRR Edad: C.C. Población: ***LOCALIDAD.1 34620452514 ***PERSONAJE.3 Aficiones: MENORRRRRRRRRRRRRRRRRRRR Descripción física: Soy gitano no creo que sea un problema no.28 años.1,75.75kg.Venga estoy trabajando Comentarios: MOVIMIENTO nacional. Ynestrillas. Soy afiliado Afiliación sindical Se realizan búsquedas sobre la tabla con textos como “sindica” (20 registros) y “UGT” (4 registros). Datos obtenidos de algunos de los registros: Personaje 1 C/ Jorge Juan, 6 28001 – Madrid Personaje 2 Datos www.agpd.es sedeagpd.gob.es 17/71 Nombre: ***NOMBRE.13 Apellidos: quiere quedar 4/11 a las 6:30 34649823709 ***PERSONAJE.4 Edad: D.D. Población: ***LOCALIDAD.2 Profesión: ***PROFESIÓN.3 Aficiones: soy de la ugt/cofrade+ Nombre: ***NOMBRE.14 Apellidos: he cambiado de móvil Población: ***LOCALIDAD.5 34618898413 ***PERSONAJE.5 Provincia: ***PROVINCIA.1 Profesión: ***PROFESIÓN.4 Aficiones: somos independiente d la policía nacional y d la guardia civil y también soy sindicalista Nombre: ***NOMBRE.12 Edad: E.E. Población: ***LOCALIDAD.6 Provincia: ***PROVINCIA.2 34636527779 ***PERSONAJE.6 Profesión: ***PROFESIÓN.5 Aficiones: yo busco pareja en persona no por chat Comentarios: SOY de cnt el único sindicato libre que queremos ayudas del estado y el único sindicato que está al servicio del pueblo tuve pero falleció hace ocho años que trabajo en Martorell anarcosindicalista un melenudo con un pendiente jejejeje Religión Se realizan búsquedas sobre la tabla con textos como “católico” (28 registros), “musulmán” (19 registros), “agnóstico” (1 registro), “ateo” (1 registro) o “budista” (8 registros). Datos obtenidos de algunos de los registros: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/71 Personaje 1 Personaje 2 Datos Nombre: ***NOMBRE.12 Apellidos: en noviembre puede quedar Edad: F.F. Población: ***LOCALIDAD.7 Profesión: ***PROFESIÓN.6 34626294871 ***PERSONAJE.7 Aficiones: 27/9 EN ***LOCALIDAD.7! más de 15 años sin mojar// dos nietos: niña de 4 años y niño de 18 meses DIA 7 de diciembre y tengo q ir a Torrevieja al piso de ahíDescripción física: no se va a Torrevieja en el puente xq no había billetes MORENO ojos marrones- 78 kilos y 1,65 de altura./26/9 suegra en el hopi Comentarios: la playa del Cura/NO tengo coche ni carnet/ 27/11 mi mujer se viene a Torrevieja y no podemos quedar/es católico/estuve en Siria y Jordania NO tengo carnet de conducir así Día nacimiento: 21 Mes nacimiento: 4 Nombre: ***NOMBRE.15 34***TELEFONO.5 ***PERSONAJE.8 Población: melilla Profesión: ***PROFESIÓN.7 Aficiones: Es musulmán C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/71 Nombre: ***NOMBRE.16 Edad: G.G. Población: ***LOCALIDAD.8 34695017331 ***PERSONAJE.9 Profesión: una persona mayor Descripción física: MORENA 1 58 Comentarios: soy marruecos musulmana NO puedo tener novio de otra religión e de otro país Nombre: ***NOMBRE.17 Apellidos: no mandar Matus de quedar los findes Edad: H.H. Población: ***LOCALIDAD.9 Profesión: ***PROFESIÓN.8 Aficiones: se quedó sin padre x infarto a los181.88cm/90kg- Inés tiene 33 as es soltera su religión es budista/ dos sobrinas- 34650823415 ***PERSONAJE.10 Descripción física: el jefe le quita la antigüedad y pagas extras 16-04-NO KIERE FOTOS GUARRAS-/9sobrinos y 6 hermanas/él es el peque/Carrozados Rojo al lado d Aranda y en el campo/con 19 años me puse a trabajar en la empresa10 horas diarias y los fines en el campo para mantener a mi madre y mi hermana pequeña/madre tiene artrosis 81 años/soy muy estricto y sincero / Comentarios: le mide 15 cm/intente suicidarme dos veces con el coche una x q m prometió vacaciones d verano y luego m dijo q tenía q trabajar y después m dijo q en navidades/esta mi hermana d ***LOCALIDAD.10 mi cuñada y mis sobrinas/qda 1 año y 9 meses y pago 380 al mes- Origen racial o étnico Realizada una búsqueda sobre la tabla del texto “gitan” se hallan un total de 158, “soy negro” (25 registros), “marroquí” (41 registros) y “soy chino “ (3 registros). Datos obtenidos de algunos de los registros: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/71 Personaje 1 Personaje 2 Datos Nombre: enviando a esta niña Apellidos: no llamar cielo ni amor ni nada Edad: I.I. Población: ***LOCALIDAD.10 Profesión: ***PROFESIÓN.9 34605819612 ***PERSONAJE.11 Estado Civil:2 Busca:0 Descripción física: es gitana Comentarios: y busco amistad tengo una niña de 1 año y prefiero estar con ella VIVIMOS juntos llevamos 7 años y es una bella persona no tengo queja hemos dejado PUES nada me falta tengo todo lo que quiero y deseo Nombre: ***NOMBRE.18 Edad: J.J. Población: ***LOCALIDAD.10 Profesión: ***PROFESIÓN.10 34***TELEFONO.2 ***PERSONAJE.12 Aficiones: yo ya tengo novia Descripción física: SOY ***NACIONALIDAD.1 Comentarios: SOY moreno alto y delgado pelo negro y ojos marrones 84 k y 1.77 / mis padres son portugueses YO vine de Portugal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/71 Nombre: ***NOMBRE.19 Apellidos: SOY chino 34657104423 ***PERSONAJE.13 Edad: K.K. Aficiones: cinco años en España VIVO con una pareja cariñosa y chico amable; tengo novia china o eso pienso yo ella no se Nombre: ***NOMBRE.20 Edad: L.L. 34600771612 ***PERSONAJE.14 Población: ***LOCALIDAD.11 Profesión: ***PROFESION.11 Comentarios: DE Dakar Senegal - soy negro - en el paro desde mayo más o menos Salud Se realizan búsquedas sobre la tabla con textos como “cáncer” (378 registros), “enfermedad” (110 registros), “tumor” (76 registros), “depresión” (99 registros), “esquizofreni” (46 registro) o VIH (6 registros). Datos obtenidos de algunos de los registros: Personaje 1 Personaje 2 Datos Nombre: ***NOMBRE.21 Apellidos: vive en pardiñas barrio vivió en zara 34***TELEFONO.4 ***PERSONAJE.15 Edad: M.M. Población: ***LOCALIDAD.12 Profesión: ***PROFESIÓN.12 Aficiones: TIENE EL VIH!!!! C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/71 Nombre: ***NOMBRE.22. Apellidos: esquizofrenia paranoide Edad: N.N. Población: ***PROVINCIA.2 Profesión: ***PROFESIÓN.13 34605116524 ***PERSONAJE.8 Aficiones: música el cine pasear estudiar Descripción física: moreno ojos verdes llevo barba soy bajito Comentarios: hermanas una mayor 44 ke yo y otra menor 37tengo dos hermanas una mayor y otra menor ke yo. UNA está casada y tiene dos hijos y la otra está separada y tiene 1 hijo. mi problema con la ludopatía Nombre: ***NOMBRE.23 Apellidos: (…) Edad: Ñ.Ñ. 34617288173 ***PERSONAJE.1 Población: ***LOCALIDAD.13 Aficiones: separada hace cinco y tengo un hijo de diez años me ha operado cuatro veces y esta última espero sea la última .me lo quitan todo es de útero Nombre: ***NOMBRE.24 Edad: O.O. Profesión: ***PROFESIÓN.9 34659533830 ***PERSONAJE.1 Descripción física: dos nenes-Soy bajita, pelo corto y rubiaComentarios: tengo una enfermedad ke se llama fibromialgia DOLORES de músculos y depresión DESDE hace 3 años Vida sexual Se realizan búsquedas sobre la tabla con textos como “gay” (575 registro), “lesbiana” (237 registros), “bisex” (129 registros), “hetero” (29 registros) o “homosexual” (7 registros). Datos obtenidos de algunos de los registros: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/71 Personaje 1 Personaje 2 Datos Nombre: ***NOMBRE.25 Apellidos: gay Edad: P.P. Población: ***LOCALIDAD.14 34607115274 ***PERSONAJE.3 Profesión: ***PROFESIÓN.14 Descripción física: SOY moreno mido 170 de altura y tengo trabajo fijo y tu como te llama Comentarios: CUANDO iba al colegio el maestro me lleva al servicio y me baja la ropa y saca su polla para chupa y luego me traje su leche Nombre: ***NOMBRE.26 Apellidos: soy lesbiana Edad: Q.Q. 34609234906 ***PERSONAJE.16 Provincia: ***LOCALIDAD.10 Profesión: ***PROFESIÓN.15 Descripción física: MIDO 1.70 buenas tetas buen culito guapa y rubia y ardiente Nombre: ***NOMBRE.27 Edad: R.R. Población: CAMPO REAL 34636209455 ***PERSONAJE.17 Profesión: ***PROFESIÓN.16 Descripción física: SOY MORENAOJOS MARRON CLARO RELLENITA 120 D PECHO RASURADA Comentarios: BISEX Nombre: ***NOMBRE.28!!! 34665429127 ***PERSONAJE.15 Apellidos: menor¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡ Aficiones: madre fallecida Menores Como puede observarse en varios de los ejemplos a pesar de que suelen marcar los afectados menores de edad se mantiene la información sobre ellos en el sistema. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/71 Se ha observado que la condición de menor de un afectado se indicaba en los registros a través del texto “menor” o “menorrrr” (con un número aleatorio de letras rr de más) en alguno o varios de los campos. Para tratar de contabilizar el número de registros que contenían datos de afectados marcados como menores se realizan, tras exportar todos los datos de la tabla a un texto plano, búsquedas de distintas palabras clave con los resultados que se detallan a continuación. Se localizan 6.704 registros distintos que contenían el texto “menor” (de estos 320 correspondían a registros con la palabra “Menorca”). Se localizan 4.795 registros distintos que contenían el texto “menorr” Se localizan 4.784 registros distintos que contenían el texto “menorrr” Se localizan 4.749 registros distintos que contenían el texto “menorrrr” Consultada la tabla ficha en la base de datos, el número de registros en los que el campo edad es mayor que 5 (se ha observado que en muchas ocasiones este campo tiene un valor de 0, sea o no menor el afectado) y menor de 14 es de 365. El número de registros en los que el campo edad tiene un valor de entre 14 y 17 es de 711. Si bien es cierto que muchos de los registros marcados como de menores tienen la mayor parte de los campos “descriptivos” (el número de teléfono del menor siempre se almacena) sin valor existen oros caso en los que no es así. A continuación se muestran algunos ejemplos de datos de afectados que o bien se han marcado como menores de edad o bien por el valor de su campo edad, se supone que lo son. Únicamente se muestran en la tabla los campos con valores significativos. Personaje 1 Personaje 2 34***TELEFO NO.3 ***PERSON AJE.1 Datos Nombre: ***NOMBRE.29 Apellidos: menorrrrrrrrrrrrrrrrrrrrrrrr Edad: S.S. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/71 Nombre: ***NOMBRE.30 Apellidos: de argentina 34600204282 ***PERSON AJE.9 Edad: T.T. Aficiones: MENORRRRRRRRRRRRRRRRRRRRRRR Descripción física: MENORRRRRRRRRRRRRRRRRR Comentarios: PERDONA te e mentido tengo 13 Nombre: ***NOMBRE.31 Apellidos: MENORRRRRRRRRRRRRRRRRRRRRRR Edad: U.U. 34600236094 ***PERSON AJE.18 Población: ***LOCALIDAD.15 Profesión: menor Aficiones: MENORRRRRRRRRRRRRRRRRRRRRRR Descripción física: soy morena ojos marrones y alta Comentarios: menor Nombre: ***NOMBRE.32 Apellidos: MENORRRRRRRRRRRRRRRRRRRRRR Edad: V.V. 34615866464 ***PERSON AJE.19 Población: ***LOCALIDAD.16 Aficiones: MENORRRRRRRRRRRRRRRRRRRRRR Descripción física: MENORRRRRRRRRRRRRRRRRR Comentarios: MENORRRRRRRRRRRRRRRRRRRRR Nombre: ***NOMBRE.33 Apellidos: MNEORRRRRRRRRRRRRRRRRR 34635523484 ***PERSON AJE.20 Edad: W.W. Población: ***LOCALIDAD.17 (***PROVINCIA.2) Aficiones: MENORRRRRRRRRRRRRRRRRRRRRRR Comentarios: MENORRRRRRRRRRRRRRRRRRRRR Nombre: ***NOMBRE.34 Edad: X.X. 34658917698 ***PERSON AJE.21 Población: ***PROVINCIA.2 Aficiones: MENORRRRRRRRRRRRRRRRRRRRRR Descripción física: MENORRRRRRRRRRRRRRRRRR Comentarios: MENORRRRRRRRRRRRRRRRRRRRR C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/71 Sobre la inclusión del fichero o ficheros en el RGPD Consultado el RGPD el 14 de Agosto de 2015 no consta ningún fichero inscrito en el que el responsable sea ***NOMBRE.1, ***NOMBRE.2 o ***NOMBRE.3. La denuncia identifica las siguientes 21 sociedades como las presuntamente utilizadas para la comisión de los hechos, que constan reseñadas en el del Informe de Actuaciones Previas de Inspección E/03730/2015, de las que únicamente MENSAJERÍA INALÁMBRICA SL, SIMOES BIS SL y ZONA DESCUBIERTA SLU constan como responsables de ficheros inscritos en el RGPD ninguna tiene declarado un fichero con los datos de sus clientes. Sobre la información proporcionada durante la recogida de datos Del análisis de las bases de datos aportadas se desprende (los mensajes remitidos a los afectados únicamente se han localizado números cortos) que los datos de los afectados han sido obtenidos a través de los mensajes SMS que éstos remitieron. Por ello, las posibles infracciones de lo dispuesto en la normativa en relación con la información proporcionada en la recogida, el consentimiento prestado y la forma, engañosa y fraudulenta o no, en la que se prestó. La información previa a la recogida de los datos personales a la que obliga el artículo 5 de la LOPD debió ser transmitida a los titulares de los datos a través de SMS pero no se ha localizado en la base de datos ningún texto que contenga dicha información. Para tratar de acreditar si los mensajes enviados contienen la información prevista en la normativa, se han realizado búsquedas en tablas cuyos nombres indican que contienen los mensajes enviados a los destinatarios. Las palabras utilizadas como criterio de búsqueda son: Consentimiento Datos personales Derechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/71 Acceso Rectificación Cancelación Las tablas9 en las que se ha buscado son: PASARELA_ZONA.CHAT2.HISTO_PUSH_TODO Contiene el registro del envío de 9.301.600 SMS entre el 31 de octubre de 2007 y el 24 de diciembre de 2014 PASARELA_ZONA.CHAT2.HISTO_PUSH_2 Contiene el registro del envío de 1.720 SMS entre el 19 y el 26 de febrero de 2015. PASARELA_ZONA.CHAT2.MENSAJES_PUSH Contiene el registro del envío de 768 SMS entre el 19 y el 26 de febrero de 2015 COLOMBIA.HISTO_ZONAD.HISTO_ENVIADOS2014 Contiene el registro del envío de 396.858 SMS entre el 1 de enero y el 30 de noviembre de 2014. Existen tablas similares para los años 2007 a 2013. COLOMBIA.HISTO_ZONAD.HISTO_PUSH_2014 Contiene el registro del envío de 786.392 SMS entre el 1 de enero y el 30 de noviembre de 2014 Si bien se han localizado mensajes que contienen las palabras de la lista, éstos no proporcionan la información prevista en el artículo 5 de la LOPD. No se ha podido acreditar que los titulares de los datos recibieran a través del envío de mensajes SMS la información prevista en el artículo 5 de la LOPD. 9 El formato de la lista es [SERVIDOR].[BASE DE DATOS].[TABLA] C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/71 Sobre la recogida de datos en forma engañosa o fraudulenta. Tras exportar todos los datos de la tabla a un texto plano, se realiza una búsqueda que abarca toda la información de la tabla utilizando como criterios los textos “cree que somos” (37 coincidencias), “cree que soy” (4 coincidencias), “piensa que” (29 coincidencias) o “cree que habla con” (5 coincidencias). En los registros coincidentes se observa que los afectados están engañados respecto a la identidad del interlocutor con quien están intercambiando mensajes y los operadores lo reflejan con textos como: 34606737729 “CREE QUE SOMOS SU EX MARIDO O SU EX! OJO!!” 34618780020 “cree que somos Marisol” 34620138484 “CREE QUE SOMOS EL CURA QUE LE DIO LA COMUNION A UNO DE SUS HIJOS!!!!!” 34647410830 “se cree que somos unos que se lio con ella” 34620138484 “cree que somos un sacerdote” 34679727106 “CREE QUE SOMOS UNA VECINA” 34638915934 “se piensa que soy la de Avon” 34608286409 “SE PIENSA QUE ES UN TAL MARCOS!!!!” 34663453883 “CREE QUE SOY LA HERMANA DE UN TAL BLAS” 34630815336 “CREE QUE HABLA CON UNA EX EMPLEADA” Por otro lado, tras realizar una búsqueda en los buzones de correos aportados por la denunciante utilizando como palabras clave las palabras “engaño”, “fraude”, “juicio” y otras de similar contexto, se han localizado una serie de correos electrónicos que evidencian la recogida fraudulenta de datos continuada. En el ANEXO 3 del Informe de Actuaciones Previas de Inspección E/03730/2015 se encuentra una muestra de los documentos hallados que a continuación se describen. DOC.1 Relación de correos electrónicos intercambiados el 27 de julio de 2011 entre ***NOMBRE.35, ***NOMBRE.1, ***NOMBRE.2 (***NOMBRE.3 y LA SECRETARIA están en copia) en los que la primera propone dos campañas de envíos de mensajes que describe como “Le escribimos como si nos hubiéramos equivocado de numero móvil al activar el servicio de localización, y lo tratamos como una campaña de engaño C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/71 hasta que sepamos si es hombre o mujer y así lo pasamos con un personaje de kalambritos para seguir hablando por el 27310”. Tanto ***NOMBRE.1 como ***NOMBRE.2 responden a la propuesta “Me gustan pero hay q probarlo…” y “me gustan las 2 campañas, quizá la de sin variable me guste más” respectivamente. DOC. 2 Relación de correos electrónicos intercambiados entre el 30 de junio y el 6 de julio de 2010 entre ***NOMBRE.35, LA SECRETARIA y ***NOMBRE.2 (***NOMBRE.3 y ***NOMBRE.1 están en copia) en los que el asunto es “CAMPAÑA AUTOMATICA DE EMPLEO”. En el primero de los correos ***NOMBRE.35 manifiesta en relación a la campaña de envíos “Hola ***NOMBRE.8, he retocado la campaña que t comente esta mañana, espero que te guste.”. El texto de la campaña es “publi–Asunto: Propuesta de emp***NOMBRE.19 dirigida al propietario de este número de móvil. Para más info envía INFO al 2????” y a continuación se listan los textos de los SMS con los que se respondería a los que contestasen al primero de los mensajes donde se le hacen las siguientes preguntas en relación a un supuesto casting: 1. Te has presentado alguna vez a una entrevista personal por este medio? SI o No 2. Este puesto de trabajo requiere mayoría de edad, tienes más de 18 años? SI o No 3. Te has presentado algún casting? SI o No 4. Te gustaría salir en la tv? SI o No 5. Crees que tienes don de gente? SI o NO 6. Dispones de vehículo para desplazarte? SI o NO 7. Tienes disponibilidad de viajar? SI o NO 8. Trabajas o tiene alguna ocupación en estos momentos? SI o NO La campaña finaliza con el envío de un correo electrónico en el que le solicitan que remita un SMS indicando su provincia de residencia. Con respecto al objeto de la campaña se indica (en rojo en el original): “SI EL USUARIO COMPLETA EL CICLO, HABREMOS SACADO 13 MENSAJES POR USUARIO Y DATOS PARA OTRAS CAMPAÑAS. Nosotros sacamos los emails y nos vamos haciendo una base de email, provincia. Que después utilizaremos para enviar las campañas por email personalizadas por provincias .y a donde le enviaremos los resultados de la entrevista. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/71 Que sacamos dl envío de esos emails personalizados por provincias y que tipo de campañas podríamos utilizar por ejemplo Enviamos un email con remitente desconocido o como consideremos y enviamos el perfil q sea oportuno para traer al Xico a cualquiera de las altas79 y micro pagos que se estipule. ( aumentamos las altas y los micro pagos o lo que se considere oportuno mientras por el otro lado xatean por el dos como siempre por medio d un push normal y por otro lado por los emails lo incentivamos a las altas 79 , micropagos,99 , lo que sea)” DOC. 3 Correo electrónico remitido el 3 de abril de 2013 por ***NOMBRE.35 a ***NOMBRE.2 y con ***NOMBRE.1, ***NOMBRE.3 y LA SECRETARIA con el texto “Buenas noches esto es lo que hablamos por was y la propuesta de campañas”. El correo electrónico lleva dos documentos adjuntos que describen dos campañas de envíos. El primero de ellos describe la campaña con el texto “campaña de engaño desde localización” e indica que el texto a enviar será “EL NUMERO DE MOVIL XXXXXXXXX HA PEDIDO QUE ACTIVEMOS GEOLOCALIZACION SOBRE TU NUMERO, ACEPTAS ESTA ACTIVACION? (ENVIA GEO SEGUIDA DE TU RESPUESTA AL XXXX)”. El fichero contiene indicaciones sobre como disculpar el engaño “…le hablaremos desde el chat con el personaje ficticio que proceda haciendo saber al usuario que ha debido de ser un error al teclear el número de tfno. e intentaremos engancharlo para que se convierta en un habitual,” DOC. 4 Impresión parcial del listado de mensajes intercambiados entre el titular de la línea ***TELEFONO.7 y las teleoperadoras y del listado de mensajes enviados a éste, que incluye tanto los remitidos por las teleoperadoras como los enviados dentro de campañas masivas. Puede observarse como a pesar de que a esa línea se envían mensajes con anterioridad, al mensaje que responde inicialmente el titular es uno recibido el 21 de noviembre de 2014 a las 13:00 horas “Ei tuve q pillar el móvil d mi hermano para hablar contigo que pasa por q me has bloqueado?? te puedo llamar por tfno. por favor?? m lo vas a coger si te llamo? Di” A partir de ese momento comienza una conversación donde le proporciona datos como su nombre, su edad y su empleo. Sobre la recogida y conservación de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/71 Conforme a lo dispuesto el al artículo 12.1 del RDL 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RLOPD) “La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos.” El RLOPD también dispone en su artículo 12.1 que “Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” En el caso que nos ocupa, y dado que no se ha acreditado haber informado sobre los tratamientos y las finalidades concretos, no se ha podido tampoco acreditar que los afectados hayan prestado un consentimiento valido para el tratamiento de sus datos. Datos especialmente protegidos Tal y como se ha puesto de manifiesto en la descripción de los datos almacenados, existen casos de tratamientos de datos especialmente protegidos. En relación con este tipo de datos y según lo dispuesto en el artículo 7.2 de la LOPD “Sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias.” No sería válido en tal caso el consentimiento prestado a través de un SMS o de cualquier otro medio electrónico para el tratamiento de este tipo de datos. Los denunciados no han acreditado el consentimiento prestado por escrito por los afectados para el tratamiento de sus datos de ideología, afiliación sindical, religión o creencias. Datos de menores Tal y como se ha descrito previamente en el apartado “Menores” la base de datos contiene los datos de miles de menores de edad. De éstos al menos 365 están registrados como menores de 14 años. Se han hallado mensajes remitidos por los afectados en las siguientes tablas en el servidor PASARELA_ZONA y la base de datos CHAT2: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/71 Tabla Número de reg. Fecha inicial Fecha final 188.298 26/07/2014 27/02/2015 HISTO_RESPUESTAS_COPIA 4.873.747 28/05/2010 30/09/2013 HISTO_RESPUESTAS_COPIA2 3.414.523 28/05/2010 25/09/2013 ENTRADAS 4.598.857 08/02/2004 21/03/2015 HISTO_RESPUESTAS Cada registro de esas tres tablas contiene los datos de una pareja de mensajes intercambiados entre un afectado y una te***NOMBRE.19peradora, entre los que constan los textos completos de los mensajes, el personaje utilizado, la fecha y el identificador de la te***NOMBRE.19peradora. Como prueba de que los datos que constan en la base de datos sobre los afectados se han recogido a través de los mensajes remitidos por éstos, se han seleccionado algunos de los afectados previamente citados y se ha comprobado que los datos de la ficha figuran efectivamente entre los mensajes remitidos por el titular de los datos. Conservación y actualización Al comparar los datos hallados en las citadas tablas y compararlos con los hallados en la tabla FICHA que reúne los datos personales recogidos a lo largo de los años se constata que los datos, una vez recabados, nunca eran actualizados ni cancelados. Por su extensión, el ANEXO 4 con copias digitales de los registros de mensajes intercambiados obtenidos de las bases de datos, se incluye únicamente en formato digital. Ejemplo 1 En la tabla FICHA, vinculados a la línea ***TELEFONO.2 figuran como datos el nombre “***NOMBRE.18”, que tiene 25 años, reside en ***LOCALIDAD.10, trabaja de ***PROFESIÓN.10, tiene novia y es ***NACIONALIDAD.1. En el campo comentarios consta el texto “SOY moreno alto y delgado pelo negro y ojos marrones 84 k y 1.77 / mis padres son portugueses YO vine de Portugal”. Se han encontrado 234 parejas de mensajes intercambiados entre los días 11 de junio y 5 de julio de 2010. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/71 La primera pareja de mensajes intercambiado es, por parte de la operadora “hola has leído lo que te envíe ?”, y por parte del afectado “OFERTA”. Los datos que constan se encuentran en mensajes enviados por el afectado con los textos: “QE noticia vivo en ***LOCALIDAD.10 xq” “TENGO Y.Y. me llamo ***NOMBRE.18 trabajo y soy de ***LOCALIDAD.10 ahora vas a decirme la forma de conocerte que no sea x el chat” “SOY moreno alto y delgado pelo negro y ojos marrones 84 k y 1.77 cm anda ahora mándame la foto xfa” “SI yo soy ***PROFESIÓN.10 y tú en que trabajas” “SOY ***NACIONALIDAD.1 mis padres son portugueses yo nací aquí pero si no te importa mejor” conocerte” “SI estás muy rica pero yo ya tengo novia y no creo que llegue nunca a Consultada el servidor COLOMBIA, en la base de datos HISTO_ZONAD, dentro de la tabla HISTOPUSH_2010 se encuentra el registro del mensaje que origino en intercambio de mensajes enviado el día 5 de julio de 2010 a las 08:15 horas con el texto “Buenos días! te envío la foto de mi lado más salvaje¿?o prefieres que me desmelené y te envié algo más fuerte? ” Ejemplo 2 En la tabla FICHA, vinculados a la línea ***TELEFONO.3 figuran como datos el nombre “***NOMBRE.29”, los apellidos “menorrrrrrrrrrrrrrrrrrrrrrrr” y como edad 0. Se han encontrado 44 parejas de mensajes intercambiados entre los días 26 y 27 de mayo de 2013. La primera pareja de mensajes intercambiado es, por parte de la operadora “Ya sé que no sabes quién soy. Tenemos un amigo en común y te vi en una foto suya del face, pero dime estas en línea?” y por parte del afectado “KIEN eres”. Otro de los mensajes enviados por el afectado es “***NOMBRE.29 ese es mi Tuenti”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/71 El penúltimo mensaje enviado por el afectado es “SOL mi hermano se. Llama ***NOMBRE.12 pero...y. Tengo 14 años” que obtiene como respuesta “ESTE SERVICIO ES PARA MAYORES DE 18 AÑOS”. El último mensaje del afectado obtiene idéntica respuesta. En la tabla ULTIMO_MATU_PERSONAJE se almacenan los últimos matutinos enviados y contestados. Según lo que consta en dicha tabla el mensaje que comenzó esta conversación fue enviado el 26 de mayo de 2013 a las 20:15 horas y el texto es “Te vi en el Facebook. Espero q no te moleste q te hable. tienes WhatsApp ? Te puedo agregar así no gasto por aquí?(publi,1,45E, Polindus, CAC 902001315)” 10 Ejemplo 3 En la tabla FICHA, vinculados a la línea ***TELEFONO.4 figuran como datos el nombre “***NOMBRE.21”, los apellidos “vivie en pardiñas barrio vivió en zara” y como edad Z.Z., que vive en la ciudad de ***LOCALIDAD.12, es ***PROFESIÓN.12 y tiene el VIH. Se han encontrado 583 parejas de mensajes intercambiados entre los días 19 de septiembre y 9 de octubre de 2012. La primera pareja de mensajes intercambiado es, por parte de la operadora “Holaaaaaaaaaa!! cuanto tiempo no? es que no te acuerdas??”, y por parte del afectado “HOLA quién eres?”. Los datos que constan se encuentran en mensajes enviados por el afectado con los textos: “SI ***NOMBRE.21, dame tu MSN” “SOY ***PROFESIÓN.12” “29 pa 30” (en respuesta a la pregunta de cuantos años tiene) “EN ***LOCALIDAD.12 x” (en respuesta a la pregunta de dónde está viviendo) 10 Según el manual de uso de la aplicación de chat, los matutinos son mensajes enviados con la intención de simular una conversación y atraer a los clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/71 “EN pardi.as y tu dónde tienes el piso en ***LOCALIDAD.12?” “OK te he avisado he! Ya me da iwal todo no tengo nada k perder...tengo el VIH! Lo sé desde hace 1 mes! Como te as quedado he! Seguro k me quieres!?” Consultada el servidor COLOMBIA, en la base de datos HISTO_CHEAPPUSH_2012, ¡dentro de las tablas SEPTIEMBRE y CAMPAÑAS se encuentra el registro del mensaje que origino en intercambio de mensajes enviado el día 19 de septiembre de 2012 a las 12:15 horas con el texto “hola encontré mi móvil antiguo y viendo mensajes leí los tuyos. Búa q d tiempo tal estas? Yo me separe! tengo ganas de verte! para cuando un café puedes hoy?” Ejemplo 4 En la tabla FICHA, vinculados a la línea ***TELEFONO.5 figuran como datos el nombre “ ***NOMBRE.15”, que vive en melilla, de profesión ***PROFESIÓN.7 y que es musulmán. Se han encontrado 54 parejas de mensajes intercambiados entre los días 17 y 24 de agosto de 2012 y una pareja del día 11 de enero de 2013. La primera pareja de mensajes intercambiado es, por parte de la operadora “INFO: ya me han dicho que tienes que volver hacer otra entrevista escríbeme al 27305 soy Ana (envía ANA al 27305)” y por parte del afectado “LEER” Los datos que constan se encuentran en mensajes enviados por el afectado con los textos: “ME llamó ***NOMBRE.15 si no te gusta me lo dices” “JAJAJAJAJAJA ANA tú sabes de que soy musulmán haber no te abras confundiste de persona” “***PROFESIÓN.7 cario” “Y como que damos para tomar algo si tu estas en ***LOCALIDAD.10 y yo en melilla” Sobre las medidas de seguridad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/71 Tal y como se ha establecido en las comprobaciones precedentes, el fichero que incluye los datos de los afectados contiene datos especialmente protegidos que según lo previsto en la normativa vigente obligan a que el sistema que trate los datos implemente las medidas de seguridad de nivel alto. No se ha podido acceder a la aplicación a través de la que se gestionaban los datos de los afectados y la documentación relativa al caso está siendo analizada dentro de las causas penales abiertas contra los responsables del fichero. Debido a ello hay determinados aspectos de las medidas de seguridad que no pueden ser comprobados, pero de aquellos que si han podido ser comprobados se observa que no cumplen con lo previsto en la normativa vigente. Se ha observado en reiterados correos que datos extraídos del fichero son enviados sin cifrar por LA SECRETARIA o por ***NOMBRE.3 a ***NOMBRE.2, ***NOMBRE.1 y otros destinatarios, tal como establece el artículo 104 del RDLOPD. Como ejemplo de los correos electrónicos citados se incluyen en el ANEXO 5 los siguientes documentos: DOC. 1 Correo electrónico remitido por LA SECRETARIA a ***NOMBRE.2, ***NOMBRE.1 y ***NOMBRE.3 el 25 de febrero de 2015 con datos (teléfono, Nick, sexo, nombre, población, provincia, estado civil, edad, relación 11) de 650 destinatarios de “matutinos”. Este correo se envía en respuesta a uno precio de ***NOMBRE.1 en el que dice a ***NOMBRE.2 “***NOMBRE.8 hoy tienes que empezar las pruebas del whatts app , para ello te tienen que dar los números de los usuarios identificados con algún dato de sus conversaciones” DOC. 2 Correo electrónico remitido por ***NOMBRE.3 a ***NOMBRE.1, ***NOMBRE.2, ***NOMBRE.6 y ***NOMBRE.36 el 4 de noviembre de 2014, en respuesta a un correo previo de ***NOMBRE.1 donde manifiesta que “Necesito el historial de push enviado y mensajes recibidos del número 646189097, envíalo cuanto antes.” El fichero adjunto contiene varios miles de mensajes intercambiados por lo que, a modo ilustrativo, se han impreso las primeras cuatro páginas. En el disco compacto que contiene los documentos de los anexos se incluye la versión electrónica completa. Tampoco se ha localizado el registro de accesos que impone el artículo 103 del RDLOPD para este tipo de ficheros. Analizadas las bases de datos halladas únicamente no se localiza ninguna tabla cuya estructura o contenido se corresponda con la información que el registro de accesos debería de almacenar. 11 El campo relación indica si el destinatario busca una relación de amistad o sexual. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/71 Se ha localizado una tabla denominada REGISTRO_ACCESOS, en la base de datos ADMINISTRACION, del servidor PASARELA_ZONA, está vacía. Además, al consultar la estructura de la tabla se observa que su función no es la prevista en la normativa de protección de datos ya que donde ésta indica que “De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.”, mientras que la estructura de la base de datos únicamente almacena: identificador del acceso, usuario, sección (que no registro), dirección IP, y fecha. Sobre los mensajes no solicitados enviados Entre los documentos proporcionados por la denunciante figura un “INFORME DE LAS MERCANTILES IMPLICADAS EN LA INVESTIGACIÓN” en cuya página 150 se identifica a las sociedades del grupo que actúan como remitentes de los mensajes y el número de números cortos destinados a la prestación de servicios de tarificación o Premium de cada una. POLINDUS 21 S.L. – 24 Numeraciones SMS Premium asignadas. TRADICIONAL S.L. – 3 Numeraciones SMS Premium asignadas. ARABBESKO MADRILEÑA S.L. – 4 Numeraciones SMS Premium asignadas. OCIOTERAPIA LEVANTE S.L. – 7 Numeraciones SMS Premium asignadas. BUSCANDO SUERTE S.L. – 12 Numeraciones SMS Premium asignadas. NATURAL FLAVOR INTERNATIONAL 21 S.L. – 4 Numeraciones SMS Premium asignadas. ZONA DESCUBIERTA S.L. – 12 Numeraciones SMS Premium asignadas. Las tres primeras han sido sancionadas por esta Agencia previamente por el envío de mensajes SMS comerciales no solicitados. Tanto OCIOTERAPIA LEVANTE S.L. como BUSCANDO SUERTE S.L. han sido denunciadas, aunque no sancionadas por hechos idénticos. Como se ha descrito previamente, el disco duro aportado por la denunciante contiene 29 bases de datos distintas con decenas de tablas cada una. Muchas de esas tablas contienen lo que, por su nombre y contenido, parecen ser registros de los mensajes enviados y recibidos. Se han hallado mensajes enviados a los afectados en las siguientes tablas en el servidor PASARELA_ZONA: Base de datos CHAT2 C/ Jorge Juan, 6 28001 – Madrid Tabla Número de reg. Fecha inicial Fecha final HISTO_PUSH_TODO 9.301.600 31/10/2007 22/12/2014 www.agpd.es sedeagpd.gob.es 38/71 CHAT2 HISTO_PUSH2 1.720 19/02/2015 26/02/2015 PASARELA HISTO_ENVIADOS 432.542 01/01/2014 11/03/2015 PASARELA HISTO_ENVIADOS_fecha 95.417 14/10/2013 21/10/2013 PUSH ENVIADOS 1.469.831 01/10/2013 26/02/2016 WAP HISTO_MENSAJES 1.469.831 01/10/2013 26/02/2016 Durante el registro realizado por la denunciante en una de las sedes del grupo de empresas citado se localizó un manual de uso de la aplicación de chat que fue intervenido. En ese manual, consta el siguiente texto: “MATUTINOS: Desde el chat, podemos enviar mensajes a los clientes. Estos mensajes reciben el nombre de matutinos y ayudan a simular una conversación real con los distintos clientes“ Se describe pues como matutinos mensajes destinados a simular un servicio que realmente no existe y que por tanto no ha podido ser solicitado o autorizado. Como ejemplo del funcionamiento de este tipo de mensajes denominados matutinos, que se suelen citar abreviadamente como “matus”, se incluye en el ANEXO 7 un correo electrónico enviado el 26 de agosto de 2014 por ***NOMBRE.1 a ***NOMBRE.2, ***NOMBRE.3 y LA SECRETARIA, para organizar unas campañas de envíos de mensajes respondiendo a unas pruebas sobre las que informa LA SECRETARIA: “Os paso las respuestas de los matus de ayer. Se enviaron 1000 de cada uno.” Los textos para enviar a las respuestas obtenidas que se citan son los que siguen: 1. Me gustó tu comentario ¿has visto el mío?¿ qué te ha parecido? (3 Respuestas) 2. He visto que tú y yo opinamos lo mismo sobre el tema ¿viste lo que escribí yo? ¿qué te pareció? ¿te gustó? (6 Respuestas) 3. He visto que tú y yo opinamos lo mismo sobre el tema ¿viste lo que escribí yo? (10 Respuestas) 4. ¿Te llegan mis mensajes? Tengo una duda sobre lo que publicaste, podemos hablar (22 Respuestas) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 39/71 5. ¿Hola? ¿Te llegan mis mensajes? Vi lo que comentaste en opina online y quería preguntarte algo. ¿Podemos hablar? (31 Respuestas)” Se ha localizado el registro de los envíos de las pruebas el 25 de agosto de 2014 en el servidor PASARELA, en la base de datos PUSH, dentro de la tabla ENVIADOS. El número exacto de envíos hallados para cada mensaje se incluye en la siguiente tabla: Texto del mensaje Número de envíos Me gustó tu comentario ¿has visto el mío?¿ qué te ha parecido? 999 He visto que tú y yo opinamos lo mismo sobre el tema ¿viste lo que escribí yo? ¿qué te pareció? ¿te gustó? 846 He visto que tú y yo opinamos lo mismo sobre el tema ¿viste lo que escribí yo? 1.002 Te llegan mis mensajes? Tengo una duda sobre lo que publicaste, podemos hablar 751 Hola? Te llegan mis mensajes? Vi lo que comentaste en opina online y quería preguntarte algo. Podemos hablar? 1.023 En este ejemplo, y en relación con las “pruebas” citadas se han hallado registros del envío de 4.621 mensajes no solicitados que simulan ser de una persona conocida. Además de lo detallado previamente, del último de los mensajes de prueba que es el que ***NOMBRE.1 identifica como “el mejor” por las respuestas obtenidas, se han hallado registros de 9.995 envíos realizados el 26 de agosto de 2014. En la misma tabla se realiza una búsqueda por el texto del mensaje “Hola qué tal? Ha pasado mucho tiempo y tengo que explicarte muchas cosas, podemos hablar ahora?(info@comercialpolindus.es,902001315 1,45eur)” cuyo envío al ***TELEFONO.6 fue investigado y que concluyó con la apertura del procedimiento sancionador PS/00093/2015. En los registros consta que todos los mensajes fueron remitidos indicando como origen el número 25006, utilizados en esas fechas 12 para la prestación de servicios de tarificación adicional por COMERCIAL POLINDUS 21 SL. 12 Constan antecedentes del uso de dicha numeración por COMERCIAL POLINDUS 21 SL en el expediente E/07318/2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 40/71 Los buzones de correos proporcionados por la denunciante contienen docenas de mensajes de idéntica índole que no se incluyen con ánimo de ser sucinto en el informe y al considerar este ejemplo suficientemente ilustrativo. Se realiza una búsqueda en los registros de la tabla ENVIADOS de la base de datos PUSH, agrupando los registros por el texto de los mensajes y limitando la búsqueda a los textos enviados en más de una ocasión y a los envíos realizados a partir del 1 de julio de 2014. Los primeros cinco resultados, que siguen la misma dinámica y hacen pensar al receptor que el remitente es alguien que conoce, son los que figuran en la tabla que sigue a este párrafo. Id Texto del mensaje Número de envíos 1 Hola!! Te acuerdas de mí, no? hace tiempo que te estoy buscando pero no me respondes, que pasa es que te has olvidado de mi en este tiempo? Dime algo por favor 82.622 2 Q Pensaras de mí, q x q te insisto tanto verdad? Quiero enviarte 1 foto y quitarte las dudas, y la verdad no puedo esperar más. Me das permiso?? 58.159 3 Se ha detectado en nuestros sistemas algunos mensajes urgentes que están dirigidos a Ud. para recibirlos ahora en tu móvil envía RECIBIR 53.087 4 Ei tuve q pillar el móvil d mi hermano para hablar contigo que pasa por q me has bloqueado?? te puedo llamar por tfno. por favor?? m lo vas a coger si te llamo? Di 39.486 5 Hola!! Te acuerdas de mí, no? hace tiempo que te estoy buscando pero no me respondes, que pasa es que te has olvidado de mi en este tiempo? Dime algo por favor! 38.090 Esta tabla, que sólo tiene en cuenta los 5 textos más numerosos hallados en registros de envíos realizados a partir del 1 de julio de 2014, suma 271.444 envíos. Ignorando la naturaleza engañosa de los mensajes a través de los cuales se recaba la información, si se considera que todo aquel que contestó a los mensajes remitidos por alguna de las sociedades podría ser considerado cliente y por tanto cabría enviarle comunicaciones comerciales de servicios o productos similares, parece interesante preguntarse si los destinatarios de los miles de envíos de la tabla superior han enviado previamente mensajes a alguna de las sociedades del grupo. Para comprobarlos se ha consultado, dentro del servidor (PASARELA_ZONA) y base de datos (CHAT2) que almacenan los datos de carácter personal de los clientes, las cuatro tablas que parecen almacenar los mensajes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 41/71 recibidos y que se citaban previamente y que con un total de casi 13 millones de registros cubren un periodo que va del 08 de febrero de 2004 al 21 de marzo de 2015. El total de mensajes enviados desde el 1 de julio de 2014 a números de línea que no figuran en las tablas HISTO_RESPUESTAS, HISTO_RESPUESTAS_COPIA, HISTO_RESPUESTAS_COPIA2 y HISTO_ENTRADAS se observa que los destinatarios de 21.378 mensajes no figuran en la lista de “posibles clientes”. TERCERO: Con fecha 3 de junio de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ***NOMBRE.1, ***NOMBRE.2, ARABBESKO MADRILEÑA, SL., BUSCANDO SUERTE SL., CALL CENTER LEVANTE SL., COMERCIAL POLINDUS 21 SL, EMPORIO EUROPA 21 SL, FALCON INTERCEPTOR SL., GAMBRRO TECHNOLOGIES SL., GAROV SINERGIAS SL., GESTORA DE OFERTAS DE TRABAJO SOCIEDAD LIMITADA, IBERICA PREMIUM TELECOMUNICACIONES SL., IEBOLINA TRADICIONAL, SL., LINEA SMS SL., MENSAJERÍA INALAMBRICA SL, NATURAL FLAVOR INTERNATIONA 21 SL., OCIOTERAPIA LEVANTE SL., , SERVICIOS OFIMÁTICOS Y CENTRO DE NEGOCIOS SL, SIMOES BIS SL., TELECOM WORLD SYSTEMS, SL, ZIGZAGUEANTE ASOCIADOS 21 SL., con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta comisión de las infracciones que a continuación se indican: 1- Infracción del artículo 4.7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos.” Tipificada como muy grave en el artículo 44.4
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.