PS-00320-2015

1/15 Procedimiento Nº PS/00320/2015 RESOLUCIÓN: R/02828/2015 En el procedimiento sancionador PS/00320/2015, instruido por la Agencia Española de Protección de Datos a la entidad VOYAGE PRIVE ESPAÑA, S.L.U., vista la denuncia presentada por DÑA. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 11/09/2014, tuvo entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante), en el que denuncia a la entidad VOYAGE PRIVE ESPAÑA, S.L. (en lo sucesivo VOYAGE PRIVE), con la que contrató un viaje, porque al tratar de acceder a la factura del servicio a través de Internet cada día recibe la factura de algún otros clientes, con detalle de sus datos personales, destinos, servicios contratados e importes. Añade que, por ese motivo, considera que su factura puede estar siendo recibida por otros clientes de aquella entidad. Aporta copia de nueve facturas emitidas por VOYAGE PRIVE entre el 7 y el 15 de julio de 2014 a nombre de otros clientes. Estas facturas corresponden a servicios turísticos (vuelos, estancias en hoteles, desplazamientos, excursiones, etc.) contratados en todos los casos por personas físicas, y contienen el detalle relativo a nombre, apellidos y domicilio del comprador; nombre, apellidos y tipo (adulto o niño) de los pasajeros y, en algunos casos, la fecha de nacimiento; servicios y productos contratados e importes de los mismos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes comprobaciones: 1. El 27 de enero de 2015 se realizó una visita de inspección a la sede de VOYAGE PRIVE en la que se constataron los siguientes hechos: 1.1. Los datos de la denunciante constan en el fichero de clientes de la entidad vinculados a una compra realizada el 1 de julio de 2014. 1.2. Consultados el fichero de facturación se observa que consta el pago de los servicios contratados y un abono por importe de 0 euros pero no una factura asociada, lo que los representantes de VOYAGE PRIVE definen como una anomalía. 1.3. Al acceder al sistema que registra los contactos con los clientes se observa que:  El 7 de julio de 2014 la denunciante llama para comunicar que existen errores en su factura.  El 8 de julio de 2014 vuelve a llamar la denunciante para notificar que al tratar de obtener su factura, obtiene las de otros clientes.  Del 9 al el 14 de julio figuran un total de cinco comunicaciones más remitidas por la denunciante en las que insiste en el problema.  El último contacto registrado, de 15 de julio de 2014, es una notificación remitida a la denunciante en la que se le comunica que la factura está correcta en su cuenta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 1.4. La entidad VOYAGE PRIVE no dispone en España de un servicio técnico ya que todos los servicios informáticos del grupo están ubicados en la central en Francia. Al consultar el sistema de gestión de incidencias se verifica que vinculadas al número de pedido de la denunciante se localizan dos incidencias, una relativa a la ausencia de número de factura del pedido y otra en relación a la visualización de facturas de otros clientes al acceder a la factura del pedido. Vinculadas a esta última incidencia figuran anotaciones en las que el departamento técnico describe el error como una incidencia que ya ha ocurrido previamente que se creía solucionada pero que se ha repetido con otros clientes. Según se describe, la incidencia se produce cuando un cliente trata de acceder a una factura que no tiene número, lo que parece ocurrir cuando el importe de la factura es 0 euros. En dichos casos, dado que el sistema utiliza el número factura para acceder a la factura, muestra otra elegida al azar. El 15 de julio solucionan manualmente los dos casos que han reclamado, mediante la actualización en base de datos del número de factura, pero la incidencia sigue sin estar resuelta y existen más casos de facturas sin número que no están limitados a España. El 24 de julio de 2014, durante una prueba, al tratar de acceder a los datos de un pedido que no corresponde a la denunciante se abre la factura de la denunciante. La incidencia consta como solucionada mediante una modificación que se programó el 19 de agosto, se probó entre los días 21 y 27 de agosto y se puso en producción el 3 de septiembre de 2014. La incidencia consta como cerrada una semana más tarde porque la propia herramienta software realiza el cierre 7 días después de la puesta en producción de los cambios. Los representantes de la entidad manifiestan que el periodo de notificación y resolución de la incidencia coincidió con los meses de mayor actividad de la entidad (julio y agosto) en los cuales la política de sistemas es la de minimizar las modificaciones en éstos que puedan afectar a la correcta operativa. 1.5. Se accede al sistema de facturación de la entidad en el que se buscan tres de las nueve facturas aportadas por la denunciante, hallándose facturas con datos coincidentes en los tres casos. 1.6. El sitio web www.voyage-prive.es dispone de una función accesible a los managers de VOYAGE PRIVE que permite emular el acceso de un cliente. Se accede al sitio web emulando el acceso que realizaría la clienta y se accede a la factura de su pedido sin incidencia alguna. A la cuestión de por qué no aparece la factura en la consulta descrita en el punto 1.2, los representantes de la entidad manifiestan que no se muestra en el sistema que utiliza el departamento de operaciones (y utilizado para la consulta durante la inspección) porque como parte de la solución inicial a la incidencia se decidió ocultar las facturas sin número que estaban generando los errores y no se ha considerado prioritario volver a mostrarlas ahora que el problema está solucionado dado que las facturas son accesibles a través del sitio web. 2. El 2 de febrero de 2015, tal y como quedó requerido en el acta de inspección, VOYAGE PRIVE remitió copia del registro de incidencias de la entidad en el que consta la incidencia denunciada. TERCERO: Con fecha 03/06/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad VOYAGE PRIVE, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. h)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento sancionador, se recibe escrito de la entidad VOYAGE PRIVE en el que solicita el archivo del procedimiento o, subsidiariamente, se acuerde apercibir según lo previsto en el artículo 45.6 de la LOPD o la imposición de una multa por el importe mínimo establecido para las infracciones leves por la concurrencia de los supuestos indicados en los apartados a),
2. b)y
3. d)del artículo 45.4 de la misma norma. Todo ello conforme a las consideraciones siguientes: . El objeto de la denuncia se refiere a una anomalía informática puntual que sufrieron los sistemas y procedimientos de seguridad de la entidad Voyagé Privé, que permitió a la denunciante acceder puntualmente a determinados datos de contacto de otros clientes, así como a los viajes o paquetes de viaje que habían contratado (en ningún caso fueron objeto de acceso datos sensibles o especialmente protegidos, ni datos de facturación de los clientes). Dicha incidencia, tal y como se desprende del registro de incidencias con número 48389-339583 (“el registro de incidencias”) obrante en el expediente, fue efectivamente registrada en fecha 8 de julio de 2014, en cuanto el incidente fue notificado por la denunciante, y subsanada tan sólo 7 días después, el 15 de julio de 2014. Igualmente, en fecha 18 de agosto de 2014 el servicio técnico de Voyage Privé bloqueó temporalmente la visualización de facturas para todos los clientes mientras se realizaban las modificaciones necesarias para subsanar de forma general y definitiva la anomalía informática y con el fin de que ningún cliente más se viese afectado por la misma. La solución provisional adoptada -efectiva para evitar el acceso de clientes a datos de terceros, pero provisional a efectos informáticos-, se justificó en que la anomalía informática se produjo en un mes de máxima actividad turística, en el que no es recomendable introducir ajustes en el sistema informático precisamente para evitar nuevos incidentes. Finalmente, tal y como consta en el registro de incidencias, en fecha 3 de septiembre de 2014 la anomalía informática fue solventada de forma definitiva. . Durante la inspección realizada se accedió a la información de un usuario y se constató que el sistema funcionaba correctamente, mostrando sólo los datos propios del usuario. Durante todo el proceso de inspección, Voyage Privé ha mostrado una actitud colaboradora. Desde el primer momento ha reconocido que se había producido una anomalía informática, ha colaborado con esta Administración respondiendo a las comunicaciones, facilitando la labor de inspección y aportando los documentos requeridos. . Con anterioridad a que se produjera la incidencia, VOYAGE PRIVE tenía implementados mecanismos de control de acceso y de identificación de usuarios (el incidente se produce al acceder la denunciante al sistema informático con su usuario), existiendo registros de accesos o intentos de acceso, por lo que entiende que no se ha vulnerado lo dispuesto en los artículos 91 y 93 del RLOPD en relación con el control de accesos y los procedimientos de identificación y autenticación de sus usuarios. Sin perjuicio de lo anterior, admite y reconoce que los referidos sistemas y medidas de seguridad sufrieron la incidencia denunciada durante el mes de julio de 2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 . Subsidiariamente, considera aplicable lo dispuesto en el artículo 45.6 de la LOPD, al no haber sido sancionada con anterioridad y por la concurrencia de los criterios establecidos en el artículo 45, apartados 4 y 5, de la LOPD, en concreto: . La incidencia no tuvo un carácter continuado. . No hubo más afectados que la denunciante. . No se obtuvo por esta parte ningún tipo de beneficio ni provocado perjuicios. . No hubo ningún tipo de intencionalidad en la comisión de la infracción ni reincidencia. . Con anterioridad a los hechos, tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de los mismos y no debida a una falta de diligencia exigible a VOYAGE PRIVE. . Regularizó la situación irregular de forma diligente, pese a la imprevisibilidad e imposibilidad técnica de detectar la incidencia sufrida con anterioridad al despliegue de sus efectos. . VOYAGE PRIVE ha reconocido espontáneamente su culpabilidad, describiendo la misma en su registro de incidencias y adoptando las medidas oportunas para su corrección y diligente subsanación. Esta parte considera que siempre ha colaborado con esta Administración a los efectos de demostrar su transparencia y buena fe, en aras de resolver la incidencia de forma satisfactoria para todas las partes implicadas. . Subsidiariamente, solicita la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, por la concurrencia de los supuestos descritos en los apartados a),
4. b)y
5. d)del referido artículo, según se detallado con anterioridad. QUINTO: En fecha 20/07/2015, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, así como los documentos obtenidos por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05918/2014. Asimismo, se tuvieron por presentadas las alegaciones a la apertura del procedimiento formuladas por VOYAGE PRIVE. SEXTO: Con fecha 06/10/2015, se emitió propuesta de resolución en el sentido de que se sancione a la entidad VOYAGE PRIVE con multa de 20.000 euros (veinte mil euros) por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h), y de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, se recibió escrito de alegaciones de la entidad VOYAGE PRIVE en el que reitera sus argumentos anteriores para solicitar el archivo de las actuaciones, estimando que no se ha vulnerado lo dispuesto en los artículos 91 y 93 del RLOPD en relación con el control de accesos y los procedimientos de identificación y autenticación de sus usuarios, al haber quedado probado que disponía de los medios requeridos, o, subsidiariamente, la imposición de una multa por el importe mínimo previsto para las infracciones leves en atención a los siguientes criterios: . El volumen de datos accedidos . La ausencia de beneficios . El grado de intencionalidad . La diligencia en la subsanación de la situación irregular . La ausencia acreditada de perjuicios . Que la incidencia no resulta de una ausencia total de medidas de seguridad En relación a lo expuesto, señala que los más recientes procedimientos se han resuelto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 con la imposición de sanciones por importes inferiores (PS/00185/2015, PS/00195/2015 y PS/00165/2015). HECHOS PROBADOS 1. La entidad VOYAGE PRIVE es titular del sitio web www.voyage-prive.es, que dispone de una zona a la que pueden acceder los clientes, a través de sus cuentas de usuarios, para obtener información sobre los servicios contratados y facturación. 2. Los datos de la denunciante constan en el fichero de clientes de VOYAGE PRIVE vinculados a una compra realizada el 1 de julio de 2014. En el fichero de facturación consta el pago de los servicios contratados y un abono por importe de 0 euros, pero no una factura asociada. 3. A través del sitio web www.voyage-prive.es, la denunciante pudo acceder a nueve facturas de otros clientes de VOYAGE PRIVE emitidas entre el 7 y el 15 de julio de 2014, correspondientes a servicios turísticos (vuelos, estancias en hoteles, desplazamientos, excursiones, etc.) contratados en todos los casos por personas físicas, que contienen el detalle relativo a nombre, apellidos y domicilio del comprador; nombre, apellidos y tipo (adulto o niño) de los pasajeros y, en algunos casos, la fecha de nacimiento; servicios y productos contratados e importes de los mismos. 4. Entre el 7 y el 14 de julio de 2014, la denunciante contactó en siete ocasiones con VOYAGE PRIVE advirtiendo sobre la incidencia reseñada en el Hecho Probado Tercero. 5. En el sistema de gestión de incidencias de VOYAGE PRIVE constan dos incidencias asociadas a la denunciante, una relativa a la ausencia de número de factura del pedido y otra en relación a la visualización de facturas de otros clientes al acceder a la factura del pedido. Vinculadas a esta última incidencia figuran anotaciones en las que el departamento técnico describe el error como una incidencia que ya ha ocurrido previamente, que se creía solucionada y que se ha repetido con otros clientes. Según se describe, la incidencia se produce cuando un cliente trata de acceder a una factura que no tiene número, lo que parece ocurrir cuando el importe de la factura es 0 euros. En dichos casos, dado que el sistema utiliza el número factura para acceder a la factura, muestra otra elegida al azar. En esta incidencia, consta una anotación de 15 de julio según la cual solucionaron manualmente los dos casos. La incidencia consta como solucionada mediante una modificación que se programó el 19 de agosto, se probó entre los días 21 y 27 de agosto y se puso en producción el 3 de septiembre de 2014. 6. Con fecha 27/01/2015, los Servicios de Inspección comprobaron que al acceder al sitio web www.voyage-prive.es emulando el acceso que realizaría la denunciante se obtiene la factura de su pedido sin incidencia alguna. 7. La incidencia reseñada en el Hecho Probado Tercero consta reseñada en el Registro de Incidencias de VOYAGE PRIVE con las siguientes indicaciones: . Fecha: 08/07/2014 – 12:16 horas. . Acceso por parte de una clienta a facturas erróneas de otros clientes. . “Medidas correctoras aplicadas: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 . Se abre incidencia técnica con fecha 08/07/2014 en cuanto la clienta notifica el problema y el departamento técnico verifica la existencia de la misma. . El departamento técnico responde que lo revisarán pero a priori indican que no podrán hacer modificaciones/desarrollos a nivel técnico porque estamos en el periodo de code freeze (congelación de código web), durante los meses de julio y agosto, debido al alto riesgo que conlleva. . Se concluye que la incidencia técnica es debida a que cada vez que se le reenvía una factura a la clienta, el sistema le hace llegar una diferente. Se trabaja en solucionar esta eventualidad. . El departamento técnico consigue arreglar provisionalmente la incidencia y, con fecha 15/7/2014, informamos a la clienta por email que ya puede acceder a las facturas correctas a través de su cuenta de socia y que el envío de facturas erróneas está bloqueado. Se le pide disculpas y se le explica que es algo muy inusual. . En fecha 18/08/14 se resuelve bloquear temporalmente la visualización de facturas para todos los clientes, mientras se realizan las oportunas modificaciones para que el error no vuelva a producirse con otros clientes. . La resolución definitiva (’fix”) se implementa finalmente el 03/09/2014 (habiendo testeado otros casos y ratificado que la incidencia está solventada). Se reactiva la opción de visualizar facturas que se había bloqueado temporalmente el 18/08/14”. 8. En su escrito de alegaciones a la apertura del procedimiento, VOYAGE PRIVE ha reconocido espontáneamente su culpabilidad. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece la definición de responsable de fichero o tratamiento: “
7. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. III Se imputa a la entidad VOYAGE PRIVE el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
8. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
9. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
10. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
11. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
12. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
13. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
14. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal contenidos en los ficheros de clientes de los que es responsable la entidad VOYAGE PRIVE, procediendo adoptar las correspondientes al nivel básico de seguridad en atención al tipo de información que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
15. b)del citado Reglamento define la “autenticación” como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la “identificación” como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad VOYAGE PRIVE está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, la citada entidad incumplió esta obligación, al haber quedado acreditada la posibilidad de acceder, sin restricción alguna, a los datos personales relativos a clientes a través del área habilitada en su web www.voyage-prive.es para que éstos pudieran obtener información sobre los servicios contratados y facturación. En concreto, consta en los Hechos Probados que la denunciante accedió al mencionado sitio web tiene, al área de clientes usuarios y obtuvo copia de nueve facturas de otros clientes de VOYAGE PRIVE emitidas entre el 7 y el 15 de julio de 2014, correspondientes a servicios turísticos (vuelos, estancias en hoteles, desplazamientos, excursiones, etc.) contratados en todos los casos por personas físicas, que contienen el detalle relativo a nombre, apellidos y domicilio del comprador; nombre, apellidos y tipo (adulto o niño) de los pasajeros y, en algunos casos, la fecha de nacimiento; servicios y productos contratados e importes de los mismos. El sistema de gestión de accesos a la zona de usuarios de la web de la entidad no impidió de manera fidedigna que la denunciante pudieran acceder a datos personales de otros clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 Se trata de deficiencias apreciadas en el sistema de información diseñado por la propia entidad VOYAGE PRIVE que quedaron acreditadas por la documentación aportada por la denunciante, que incluía el detalle de la información accedida, por las comprobaciones realizadas por los Servicios de Inspección y han sido reconocidos por la propia entidad imputada. Por tanto, el mecanismo de acceso a la información contenida en el sistema no cumplió las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, identificación y autenticación de usuarios, por cuanto mostró datos personales que no pertenecían al usuario identificado. Así, los datos personales de los clientes de VOYAGE PRIVE resultaron accesibles desde la zona habilitada para los mismos en la web www.voyage-prive.es, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que VOYAGE PRIVE ha incurrido en la infracción grave descrita. VOYAGE PRIVE es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad. Este acceso por terceros a los datos personales reseñados supone la comisión, por parte de VOYAGE PRIVE, de una infracción del artículo 9.1 de la LOPD, al haberse constatado que tales hechos se producen por una deficiente implementación de las medidas de seguridad obligatorias según la naturaleza y el nivel de seguridad asignado al fichero en cuestión. IV La entidad VOYAGE PRIVE ha alegado que sus sistemas de información disponen de las medidas de seguridad requeridas. Sin embargo, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. En Sentencia de 19/10/2010, la Audiencia Nacional considera conforme la resolución recurrida, en la que se graduó la multa tomando en consideración la existencia de medidas de seguridad. En dicha Sentencia se declara que “La Administración le impuso, no obstante, una sanción de… utilizando los criterios de corrección del art. 45.4 de la LOPD, al haber ponderado que la empresa tenía medidas de seguridad…”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad VOYAGE PRIVE la responsable del fichero y, por tanto, la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. V El artículo 44.3.
16. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que VOYAGE PRIVE ha incurrido en la infracción grave descrita. VI La Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de fecha 25/02/2010, en relación con un caso en el que se examina un posible fallo de seguridad en los sistemas de información, señala lo siguiente: “…la recurrente no realizó actividad alguna, pese a que era consciente del riesgo de una posible revelación o publicidad del fichero…”. “… un comportamiento adecuado y activo de la misma pudo impedir o, al menos, minimizar el riesgo real de revelación de los datos personales de los usuarios. Es decir, su comportamiento omisivo (no advirtiendo de la fuga a los usuarios, no presentando denuncia, no cambiando la contraseña etc.) facilitó o, al menos, no obstaculizó la revelación de los datos…”. “La recurrente, como garante de los datos personales de terceros que figuraban en sus ficheros, no tuvo la diligencia exigible sino que propició la revelación como cooperador necesario por omisión. Siendo ello así, la Sala entiende cometida, como también recoge la resolución impugnada, la infracción del artículo 10 de la LOPD, tipificada en el artículo 44.3.
17. g)de la citada norma, es decir la vulneración del deber de guardar secreto…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 Los criterios contenidos en la Sentencia citada se han tenido en cuenta para no imputar a VOYAGE PRIVE una infracción de lo dispuesto en el artículo 10 de la LOPD, por incumplimiento del deber de secreto en relación con los datos personales de sus clientes, considerando la actuación desarrollada por la misma con posterioridad al incidente para regularizar la situación y minimizar los riesgos, que consta detallada en los hechos probados. VII El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
18. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
19. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. VOYAGE PRIVE ha solicitado la aplicación de este artículo, dada la inexistencia de expedientes sancionadores previos en esta materia. En este caso, se cumplen los presupuestos establecidos en dicho artículo, considerando que la infracción imputada está calificada como grave y que VOYAGE PRIVE no ha sido sancionada en materia de protección de datos de carácter personal con anterioridad. No obstante, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el artículo citado, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera la diligencia que se exige a las entidades que, por su actividad, realizan un alto volumen de tratamiento de datos y que, según las anotaciones que constan en los sistemas de información de VOYAGE PRIVE, la incidencia de seguridad que ha dado lugar al procedimiento había tenido lugar con anterioridad sin que dicha entidad la hubiese subsanado de forma definitiva. VIII El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
20. a)El carácter continuado de la infracción.
21. b)El volumen de los tratamientos efectuados.
22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
23. d)El volumen de negocio o actividad del infractor.
24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
25. f)El grado de intencionalidad.
26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<… no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. Habida cuenta que VOYAGE PRIVE ha reconocido su culpabilidad conforme a lo dispuesto en el apartado
35. d)del artículo 45.5, procede la aplicación de lo dispuesto en el citado precepto y por lo tanto imponer una multa cuyo importe se encuentre entre 900 € y 40.000 €, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de infracción grave, para sancionarse con el importe de las multas correspondientes a las infracciones leves. Por lo que respecta a la graduación de la sanción y tomando en consideración, por un lado, el volumen de datos accedidos, la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción, el grado de intencionalidad, la diligencia en la subsanación de la situación irregular, la ausencia acreditada de perjuicios causados a los afectados, distintos a los que conlleva el fallo de seguridad, que la incidencia no resulta de una ausencia total de medidas de seguridad, el volumen de negocio o actividad de VOYAGE PRIVE y la ausencia de reincidencia (dicha entidad no ha sido sancionada anteriormente en materia de protección de datos de carácter personal), y por otro lado, la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad (las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos; y que el fallo de seguridad se había producido anteriormente sin que hubiese sido subsanado definitivamente; procede la imposición de una multa por importe de 10.000 euros por la infracción del artículo 9 de la LOPD. Considerando las circunstancias expuestas, no cabe estimar la solicitud formulada por VOYAGE PRIVE en su escrito de alegaciones para que se acuerde la imposición de una multa por el importe mínimo previsto. Especialmente, se tiene en cuenta que la incidencia se había producido en una ocasión anterior a los hechos que han motivado la presente denuncia y que dicha incidencia fue conocida por VOYAGE PRIVE, que no adoptó las medidas adecuadas para su subsanación definitiva; circunstancia esta que diferencia el presente supuesto de los antecedentes invocados por dicha entidad en su escrito de alegaciones a la propuesta de resolución. Además, dos de los antecedentes invocados (PS/00185/2015 y PS/00195/2015) se refieren a supuestos de hecho distintos al examinado en el presente expediente, aunque se sancione por la misma infracción del artículo 9 de la LOPD); y en el tercer caso se tuvo en cuenta el escaso volumen de datos afectados por la incidencia (únicamente los relativos al denunciante). Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VOYAGE PRIVE ESPAÑA, S.L.U., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
36. h)de dicha norma, una multa de 10.000 euros (diez mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VOYAGE PRIVE ESPAÑA, S.L.U. y a DÑA. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es