← España

PS-00344-2013

1/13 Procedimiento Nº PS/00344/2013 RESOLUCIÓN: R/02423/2013 En el procedimiento sancionador PS/00344/2013, instruido por la Agencia Española de Protección de Datos a la entidad ING DIRECT NV SUCURSAL EN ESPAÑA, vista la denuncia presentada por A.A.A. y B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13/07/2012 tiene entrada en esta Agencia un escrito de A.A.A. y B.B.B. (en lo sucesivo los denunciantes), en el que declaran que, el día 01/06/2012 y utilizando sus propias claves, han podido acceder a los datos de otros clientes a través de las aplicaciones de ING DIRECT NV SUCURSAL EN ESPAÑA (en adelante ING DIRECT), para el acceso a la banca on-line mediante teléfonos inteligentes. Manifiestan que cada vez que se desconectaban y se volvían a conectar, siempre con sus propias claves, obtenían datos de otras personas. En el escrito de fecha de entrada en esta Agencia 18/01/2013 aportan impresiones de pantalla que contienen los accesos a datos de terceros. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos: - El 20/03/2011, se gira visita de inspección a la entidad ING DIRECT, poniéndose de manifiesto los siguientes hechos durante la inspección: 1 Los inspectores de la Agencia informaron a los representantes de la entidad que la inspección se realizaba como consecuencia de una reclamación presentada en la Agencia Española de Protección de Datos, en la que se ponía de manifiesto que dos clientes, utilizando sus propias claves, han podido acceder a los datos de otros clientes a través de las aplicaciones de ING DIRECT para el acceso a la banca on-line mediante teléfonos inteligentes. Los inspectores de la Agencia muestran las impresiones de los accesos, aportadas por los denunciantes, ante lo cual, los representantes de ING DIRECT realizan las siguientes manifestaciones en respuesta a las preguntas planteadas por los inspectores: 1.1 “ING DIRECT tuvo conocimiento de la incidencia a raíz de la llamada efectuada al Call Center por un cliente a las 2:49 horas de la madrugada del viernes 1 de junio de 2012, en la cual manifestaba que podía visualizar movimientos, números de cuentas y datos básicos de otros clientes a través de la aplicación para acceso mediante terminales móviles y utilizando su código de usuario y clave. 1.2 La incidencia fue escalada al Responsable de Seguridad y al Departamento de Operación de Tecnologías de Información (IT), siendo bloqueado el acceso mediante el canal móvil a la aplicación a las 3:01 horas. 1.3 A las 3:26 horas se restablece el Sistema comprobándose que no se sigue produciendo el error.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 2 Los inspectores actuantes solicitaron a los representantes de ING DIRECT el acceso al Registro de Incidencias tal y como consta en el REAL DECRETO 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, con relación a las medidas de seguridad. Los representantes de ING DIRECT hicieron entrega a los inspectores de la Agencia impresión del registro de la incidencia, que incluía un informe descriptivo de la misma, así como las acciones emprendidas por la entidad para su resolución. Tal y como recoge el informe, como consecuencia de una subida a producción de una nueva versión de la aplicación que da soporte al acceso de los clientes mediante el canal móvil, efectuada a las 2:17 horas del día 01/06/2012, un cliente conectado y que accediese a la consulta de movimientos, podía visualizar movimientos, números de cuentas y datos básicos de titularidad de otros clientes que se hubieran conectado a la aplicación inmediatamente antes que él. En ningún caso se accedió a datos de contraseñas ni era posible la realización de operaciones bancarias ni de ningún tipo, sino únicamente a consultas de movimientos de las cuentas y de su titularidad. Los representantes de la entidad manifestaron que antes de poner en funcionamiento una nueva versión de la aplicación, ésta es sometida a tres tipos de controles:  En primer lugar la nueva aplicación es probada componente a componente por el equipo de desarrollo.  En segundo lugar se efectúan las pruebas de aceptación, que de forma automática inspecciona el nuevo código y da como resultado un listado de errores y mejoras. Una de las mejoras de seguridad que fue recomendada consistía en el paso a tipo “final” de los métodos que gestionan el estado de la sesión de los usuarios, para evitar la realización de instancias de las clases, y mejorar la seguridad de la aplicación.  En tercer lugar se efectúan las pruebas de regresión, donde se comprueba que, una vez realizada la integración final, todas las funcionalidades de la aplicación operan correctamente. Los representantes de la entidad manifestaron que como consecuencia de la modificación detallada, efectuada sobre los métodos de estado de sesión, y debido a un funcionamiento no predecible ni documentado del framework de Java “Spring”, se produjo la fusión de los espacios de memoria, ya que el framework con métodos del tipo “final” utiliza posiciones de memoria estáticas, de tal modo que, cuando un primer cliente accede visualiza correctamente sus datos, pero al acceder un segundo cliente, en lugar de visualizar sus propios datos, ve los datos del primer cliente. Es decir, en cada acceso se visualizaban los datos del cliente que accedió inmediatamente antes. Tal y como consta en el informe el problema afectó a 27 clientes, habiendo mantenido, el Departamento de Atención al Cliente, contactos con todos ellos al objeto de informarles del incidente y de sus detalles. De los 27 clientes, 3 de ellos mostraron un alto grado de preocupación por lo que a ellos se les realizó un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 análisis detallado, ofreciéndoles información sobre los accesos que podrían haberse efectuado a sus datos. 3 Los inspectores de la Agencia verificaron que en el listado PRUEBAS DE INSPECCION DEL CODIGO, constaba, en la página 29, cuatro recomendaciones en relación con el cambio a “final” de tres métodos y un parámetro. 4 Los inspectores de la Agencia solicitaron a los representantes de ING DIRECT el acceso al fichero de clientes, en cual, según manifestaciones de los representantes de la entidad, consta de unos 2.700.000 registros, realizando las siguientes comprobaciones: 4.1 Se realiza una búsqueda utilizando como argumento el NIF nº… verificando que se encuentran datos del cliente de nombre “el denunciante” Se realiza una búsqueda utilizando como argumento el NIF nº… verificando que se encuentran datos del cliente de nombre “la denunciante”. 5 4.2 Se accede al histórico de contactos mantenidos con “la denunciante” verificando que existe un contacto de fecha 01/06/2012 con relación a la incidencia producida. 4.3 Por otro lado se comprueba que los datos aportados por los denunciantes coincidían con los almacenados en el sistema de información de la entidad, verificando la titularidad de las tres cuentas que aparecen en las tres primeras impresiones de pantalla facilitadas por los denunciantes, correspondientes a terceras personas. También se comprobó la veracidad de uno de los movimientos, de fecha 03/04/2012 de una tarjeta, que figuraba entre la lista de movimientos de una tarjeta perteneciente a una tercera persona. Por último, utilizando un dispositivo tipo tablet perteneciente a una de las personas presentes en la inspección se accedió al canal móvil de ING DIRECT tal y como lo utilizaría un cliente de la entidad, comprobándose que se solicitaba la identificación de usuario consistente en su NIF, su fecha de nacimiento y tres dígitos aleatorios de los seis de su clave de usuario. Se comprobó que se podía acceder a los movimientos de las cuentas, sin obtener constancia que se volviera a producir la incidencia objeto del presente expediente de investigación. TERCERO: Con fecha 21/07/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ING DIRECT por presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. h)de dicha norma, pudiendo ser sancionada cada una, con multa de de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, en fecha 16/07/2013 ING DIRECT presento escrito de alegaciones, formulando, en síntesis, las siguientes: - C/ Jorge Juan, 6 28001 – Madrid La plena aceptación de los hechos consignados en el Acta de inspección, en relación con el incidente ocurrido en la aplicación de la entidad. El reconocimiento voluntario y espontaneo de la responsabilidad en los hechos acaecidos. - Subsidiariamente la aplicación del artículo 45.5, estableciendo www.agpd.es sedeagpd.gob.es 4/13 la cuantía de la sanción aplicando la escala relativa a las infracciones leves y, graduando la sanción en consideración a circunstancias concurrentes en el presente caso, en su grado mínimo. QUINTO: Con fecha 18/07/2013, se inició un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por los denunciantes y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/00607/2013. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00344/2013 presentadas por ING DIRECT y la documentación que a ellas acompaña. SEXTO: Al haber reconocido ING DIRECT los hechos que se le imputan, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO: En fecha 13/07/2012, los denunciantes presentaron escrito en esta Agencia Española de Protección de Datos, denunciando a ING DIRECT por posible infracción de la normativa de protección de datos, manifestando que el 01/06/2012, al hacer uso de una aplicación ofrecida por la citada compañía para el acceso desde el teléfono móvil a sus posiciones bancarias, observaron que podían acceder a las cuentas de otros clientes y que los datos visualizados eran además de financieros, de otra índole y naturaleza (folios 1 a 6) . SEGUNDO: Los denunciantes han aportado las impresiones de pantalla de telefonía móvil en las que figuran información correspondientes a clientes de ING DIRECT, en las que constan sus números de cuenta bancaria, fecha de apertura, titularidad, movimientos de las mismas incorporando su descripción: recibos, nominas, reintegros, intereses, etc., fecha de cada uno de ellos, su importe, pudiendo acceder igualmente a la información detallada de cada uno de los citados movimientos (folios 14 a 20). TERCERO: Consta Acta de Inspección E/0607/2013-I/1, de 20/03/2013, realizada en la sede de ING DIRECT, señalando que: 1. Los inspectores de la Agencia informaron a los representantes de la entidad que la inspección se realizaba como consecuencia de una reclamación presentada en la Agencia Española de Protección de Datos, en la que se ponía de manifiesto que dos clientes, utilizando sus propias claves, han podido acceder a los datos de otros clientes a través de las aplicaciones de ING DIRECT para el acceso a la banca on-line mediante teléfonos inteligentes. Los inspectores de la Agencia muestran las impresiones de los accesos, aportadas por los denunciantes, ante lo cual, los representantes de ING DIRECT realizan las siguientes manifestaciones en respuesta a las preguntas planteadas por los inspectores: 1.1 “ING DIRECT tuvo conocimiento de la incidencia a raíz de la llamada efectuada al Call Center por un cliente a las 2:49 horas de la madrugada del viernes 1 de junio de 2012, en la cual manifestaba que podía visualizar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 movimientos, números de cuentas y datos básicos de otros clientes a través de la aplicación para acceso mediante terminales móviles y utilizando su código de usuario y clave. 1.2 La incidencia fue escalada al Responsable de Seguridad y al Departamento de Operación de Tecnologías de Información (IT), siendo bloqueado el acceso mediante el canal móvil a la aplicación a las 3:01 horas. 1.3 A las 3:26 horas se restablece el Sistema comprobándose que no se sigue produciendo el error.” 2. Los inspectores actuantes solicitaron a los representantes de ING DIRECT el acceso al Registro de Incidencias… Los representantes de ING DIRECT hicieron entrega a los inspectores de la Agencia impresión del registro de la incidencia, que incluía un informe descriptivo de la misma, así como las acciones emprendidas por la entidad para su resolución. Tal y como recoge el informe, como consecuencia de una subida a producción de una nueva versión de la aplicación que da soporte al acceso de los clientes mediante el canal móvil, efectuada a las 2:17 horas del día 01/06/2012, un cliente conectado y que accediese a la consulta de movimientos, podía visualizar movimientos, números de cuentas y datos básicos de titularidad de otros clientes que se hubieran conectado a la aplicación inmediatamente antes que él. En ningún caso se accedió a datos de contraseñas ni era posible la realización de operaciones bancarias ni de ningún tipo, sino únicamente a consultas de movimientos de las cuentas y de su titularidad. (…) Tal y como consta en el informe el problema afectó a 27 clientes, habiendo mantenido, el Departamento de Atención al Cliente, contactos con todos ellos al objeto de informarles del incidente y de sus detalles. De los 27 clientes, 3 de ellos mostraron un alto grado de preocupación por lo que a ellos se les realizó un análisis detallado, ofreciéndoles información sobre los accesos que podrían haberse efectuado a sus datos. 3. (…) 4. Los inspectores de la Agencia solicitaron a los representantes de ING DIRECT el acceso al fichero de clientes…, realizando las siguientes comprobaciones: 4.1 Se realiza una búsqueda utilizando como argumento el NIF “***NIF.1” verificando que se encuentran datos del cliente de nombre “el denunciante”. Se realiza una búsqueda utilizando como argumento el NIF “***NIF.2” verificando que se encuentran datos del cliente de nombre “la denunciante”. 4.2 Se accede al histórico de contactos mantenidos con “la denunciante” verificando que existe un contacto de fecha 01/06/2012 con relación a la incidencia producida. 4.3 Por otro lado se comprueba que los datos aportados por los denunciantes coincidían con los almacenados en el sistema de información de la entidad, verificando la titularidad de las tres cuentas que aparecen en las tres primeras impresiones de pantalla facilitadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 por los denunciantes, correspondientes a terceras personas. También se comprobó la veracidad de uno de los movimientos, de fecha 03/04/2012 de una tarjeta, que figuraba entre la lista de movimientos de una tarjeta perteneciente a una tercera persona. 5. Por último, utilizando un dispositivo tipo tablet perteneciente a una de las personas presentes en la inspección se accedió al canal móvil de ING DIRECT tal y como lo utilizaría un cliente de la entidad, comprobándose que se solicitaba la identificación de usuario consistente en su NIF, su fecha de nacimiento y tres dígitos aleatorios de los seis de su clave de usuario. Se comprobó que se podía acceder a los movimientos de las cuentas, sin obtener constancia que se volviera a producir la incidencia objeto del presente expediente de investigación. (folios 34 a 37). CUARTO: ING DIRECT en escrito de fecha 16/07/2013, ha reconocido su responsabilidad en los citados hechos, señalando que “reconoce, voluntariamente y de forma espontánea sin necesidad de ser instado a ello, la responsabilidad por la sanción que le pueda corresponder a raíz de los hechos consignados en el Acta de inspección” y que “nada exime a esta entidad de ser considerada responsable y culpable de este fallo de seguridad…” (folios 85 y 86). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que ING DIRECT ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III Se imputa a la entidad ING DIRECT la vulneración del principio de seguridad de los datos personales, establecido en el artículo 9.1 de la LOPD. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  3. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  4. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
  5. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 identificables”. En este mismo sentido se pronuncia el artículo 2
  6. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  7. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  8. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  9. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  10. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  11. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por la entidad ING DIRECT, correspondiendo adoptar las calificadas de nivel medio, en atención al tipo de información básica que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.2 del citado Reglamento señala que “Deberán implantarse, además de las medidas de seguridad de nivel básico, las medidas de nivel medio, en los siguientes ficheros o tratamientos de datos de carácter personal: …
  12. d)Aquéllos de los que sean responsables las entidades financieras para finalidades relacionadas con la prestación de servicios financieros”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 automatizados, establece: “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
  13. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad ING DIRECT, está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, como lo recoge el informe descriptivo de la incidencia habida y se refleja en el acta de inspección llevado a cabo en la sede de la compañía, puesto que la aplicación para el acceso mediante móviles y utilizando el código de usuario y clave, no impidió que los denunciantes pudieran acceder a datos personales de otros clientes usuarios de la entidad denunciada. En concreto, consta que los denunciantes accedieron en la madrugada el 01/06/2012, mediante su usuario y contraseña, comprobando que podían visualizar movimientos, números de cuentas, productos contratados, saldos, etc, datos personales que correspondían a otros clientes de la entidad. Por tanto, el mecanismo de acceso a la información contenida en los sistemas de la entidad, no cumplió las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, identificación y autenticación de usuarios, por cuanto mostró datos que no pertenecían a los usuarios identificados. En consecuencia, se considera que la entidad ING DIRECT ha incurrido en la infracción grave descrita. Tales hechos quedaron acreditados por la documentación aportada por los denunciantes, que incluía las impresiones de pantalla que contenía la información a la que accedieron los mismos, que muestra los datos personales identificativos de otros clientes, los productos bancarios contratados, saldos, etc. (folios 14 a 20); corroborado por el Acta de Inspección de fecha 20/03/2011 y que han sido reconocidos por ING C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 DIRECT (folios 34 a 37). IV El artículo 44.3.
  14. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que ING DIRECT ha incurrido en la infracción grave descrita. V El artículo 45.1, 2, 4 y 5 LOPD, según su redacción aprobada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, aplicable al presente supuesto, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  15. a)El carácter continuado de la infracción.
  16. b)El volumen de los tratamientos efectuados.
  17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  18. d)El volumen de negocio o actividad del infractor.
  19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  20. f)El grado de intencionalidad.
  21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 comisión de la infracción.
  28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. ING DIRECT solicita la aplicación del artículo 45. 5 de la LOPD, como consecuencia de la concurrencia de varios de los criterios del apartado 4 del citado artículo que permiten apreciar una cualificada disminución de la culpabilidad y de la antijuridicidad del hecho, así como la regularización de la situación creada de manera diligente, al ponerle remedio de manera inmediata. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, ha quedado acreditado que ING DIRECT vulneró el principio de seguridad contenido en el artículo 9.1 de la LOPD, al no impedir el acceso por parte de terceros, en este caso los denunciantes, a los datos de carácter personal de clientes de la entidad, permitiendo visualizar los datos relativos a números de cuenta, movimientos, saldos, productos contratados, etc., incumpliendo las exigencias contenidas en la normativa sobre protección de datos, sobre control de accesos, identificación y autenticación de usuarios, por lo que la actuación de ING DIRECT ha de ser objeto de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia de la circunstancia prevista en el apartado
  30. d)“Cuando el infractor haya reconocido espontáneamente su culpabilidad”, por lo que es posible la aplicación de una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Además, ING DIRECT actuó de manera diligente al regularizar la situación creada de manera inmediata, poniendo remedio a fallo cometido tan pronto tuvo conocimiento de los hechos ocurridos, estableciendo contacto con los afectados y adoptando nuevas medidas de seguridad para evitar que el fallo pudiera repetirse. Por lo que atañe a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, en cuanto a la circunstancia prevista en el apartado
  31. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la citada operadora hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a titulo de simple negligencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 En cuanto a la circunstancia prevista en el apartado
  32. e)del artículo 45.4 tampoco pueden aceptarse. La Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados” y en sentencia de fecha 02/12/2010, señala que “También ha considerado la Sala irrelevante a los efectos de la aplicación de la citada atenuación privilegiada la falta de beneficios para la recurrente o la ausencia de perjuicios para el denunciante”. Alega igualmente la representación de ING DIRECT las circunstancias previstas en las letras g), falta de reincidencia e
  33. i)que la entidad tenia implantados procedimientos adecuados para la recogida y tratamiento de los datos; sin embargo, hay que indicar que las citadas circunstancias por su propia naturaleza no puede operar como atenuantes de la conducta examinada, premiando la no infracción de la normativa sobre protección de datos y el cumplimiento de deberes que la ley impone. No obstante, es necesario tener en cuenta circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el apartado “
  34. c)la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeña la entidad denunciada se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado “
  35. d)Volumen de negocio o actividad del infractor”, toda vez que se trata de una gran entidad entidad financiera por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 6.000 €, por vulneración del artículo 9.1 de la LOPD, de la que ING DIRECT debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ING DIRECT NV SUCURSAL EN ESPAÑA, por una infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  36. h)de dicha norma, una multa de 6.000 € (seis mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ING DIRECT NV SUCURSAL EN ESPAÑA y a A.A.A., B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.